Una brecha de seguridad obliga a notificar a la AEPD en un plazo máximo de 72 horas. El plazo arranca cuando el responsable tiene constancia de que el incidente afectó a datos personales, y cuenta fines de semana y festivos, que es justo donde se pierden la mayoría de las notificaciones. A esto se suma una segunda capa de obligaciones, la de NIS2, que en España todavía no tiene ley propia. Aquí tienes los dos calendarios juntos, quién notifica a quién y qué hay que tener preparado antes de que ocurra.
Lo esencial
- 72 horas es el plazo máximo del artículo 33 del RGPD para notificar a la AEPD, contadas desde que se tiene constancia de la brecha, incluyendo fines de semana y festivos.
- La comunicación a los afectados (artículo 34) procede cuando hay alto riesgo para sus derechos. El RGPD no le fija un plazo concreto, solo exige que sea sin dilación indebida.
- NIS2 no obliga todavía en España: la Comisión Europea remitió a España al Tribunal de Justicia de la UE el 8 de julio de 2026 por no haber transpuesto la directiva. Mientras tanto se aplica el Real Decreto 43/2021.
- Las notificaciones del RD 43/2021 son escalonadas: inicial inmediata, intermedia a 24, 48 o 72 horas según el nivel, y final a 20 o 40 días.
- Incumplir los artículos 33 o 34 encaja en el tramo sancionador de hasta 10 millones de euros o el 2% de la facturación anual mundial.
¿Qué son las brechas de seguridad?
Una brecha de seguridad de datos personales es, en los términos del RGPD, toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a esos datos. La clave está en la palabra «datos personales»: un incidente que tumba un servidor de pruebas sin datos reales es un incidente de seguridad, pero no una brecha notificable a la AEPD.
Eso tiene una consecuencia operativa que suele sorprender. El correo enviado por error con los datos de treinta clientes en copia abierta es una brecha notificable. El ransomware que cifra una carpeta de la que tienes copia íntegra y recuperas en dos horas también lo es, porque hubo pérdida temporal de disponibilidad y probable acceso no autorizado. No hace falta que haya un atacante sofisticado: la mayoría de las brechas que llegan a la Agencia tienen un origen interno y accidental.
¿Qué tipos de brechas hay?
Se clasifican por la propiedad de la información que se ve comprometida, y la clasificación importa porque condiciona la evaluación del riesgo y lo que hay que comunicar. Son tres, y una misma brecha puede ser de varios tipos a la vez.
- De confidencialidad: acceso o divulgación no autorizados. El caso típico es el envío erróneo, la exposición de una base de datos o la exfiltración tras una intrusión.
- De integridad: alteración no autorizada de los datos. Menos frecuente de detectar y más difícil de explicar a los afectados, porque el dato sigue ahí pero ya no es correcto.
- De disponibilidad: pérdida de acceso o destrucción. Entra aquí el ransomware, el borrado accidental y el fallo de hardware sin copia de seguridad recuperable.
¿Cuándo empiezan a contar las 72 horas?
El plazo empieza en el instante en que el responsable del tratamiento tiene constancia de que el incidente ha afectado a datos personales, no cuando se cierra la investigación ni cuando se conoce el alcance exacto. La guía de la AEPD es explícita en que el cómputo incluye fines de semana y festivos, así que una brecha detectada un viernes por la tarde vence el lunes por la tarde.
Ese es el punto donde fallan más organizaciones, y no por desconocimiento del plazo sino por una confusión previa: esperar a tener todos los datos antes de notificar. El RGPD permite expresamente notificar por fases. Es mejor una notificación inicial incompleta dentro de plazo, ampliada después, que una notificación perfecta a las 96 horas.
Si quien detecta la brecha es un encargado del tratamiento, su obligación es informar al responsable sin dilación indebida. El RGPD no le pone un plazo numérico, y por eso la AEPD recomienda concretarlo en el contrato de encargo. En la práctica, si tu proveedor de hosting tarda cuatro días en avisarte, tu plazo de 72 horas ya está consumido y la responsabilidad frente a la Agencia sigue siendo tuya.
¿A quién hay que notificar y en qué plazo?
Conviven dos calendarios distintos que casi nunca se publican juntos: el de protección de datos y el de seguridad de las redes. Si tu organización es operador de servicios esenciales y además trata datos personales, te aplican los dos a la vez y por vías diferentes.
| Vía | Quién notifica | A quién | Plazo inicial | Seguimiento |
|---|---|---|---|---|
| RGPD, art. 33 | Responsable del tratamiento | AEPD o autoridad autonómica competente | 72 horas desde que se tiene constancia, festivos incluidos | Ampliación por fases si no se dispone de toda la información |
| RGPD, art. 33.2 | Encargado del tratamiento | Responsable del tratamiento | Sin dilación indebida, el RGPD no fija plazo | Conviene fijarlo en el contrato de encargo |
| RGPD, art. 34 | Responsable del tratamiento | Interesados afectados | Sin dilación indebida, solo si hay alto riesgo | Sin plazo numérico, el retraso debe justificarse |
| RD 43/2021, nivel CRÍTICO | Operador de servicios esenciales | Autoridad competente a través del CSIRT de referencia | Inmediata | Intermedia a 24 o 48 horas, final a 20 días |
| RD 43/2021, nivel MUY ALTO | Operador de servicios esenciales | Autoridad competente vía CSIRT | Inmediata | Intermedia a 72 horas, final a 40 días |
| RD 43/2021, nivel ALTO | Operador de servicios esenciales | Autoridad competente vía CSIRT | Inmediata | Sin notificación intermedia ni final |
Fuentes: guía de gestión y notificación de brechas de la AEPD y Real Decreto 43/2021, anexo, tabla 3. Consultadas el 27 de octubre de 2026.
La notificación a la AEPD se presenta por el formulario electrónico de su Sede Electrónica, y el acceso exige certificado electrónico reconocido o Cl@ve permanente con PIN24H. Conviene comprobar que alguien de la organización tiene ese acceso operativo antes de necesitarlo, porque resolver un problema de certificado dentro de las 72 horas es una forma rápida de agotarlas.
¿Cuándo hay que comunicar la brecha a los afectados?
Solo cuando sea probable que la brecha entrañe un alto riesgo para los derechos y libertades de las personas. No todas las brechas notificables a la AEPD se comunican a los afectados: son dos decisiones distintas, con umbrales distintos, y confundirlas lleva tanto a comunicar de más como a no comunicar cuando tocaba.
Para decidirlo, la propia Agencia publica una herramienta de ayuda, Comunica-Brecha RGPD, que orienta sobre si procede la comunicación. El RGPD no fija plazo numérico para este paso, solo exige que sea sin dilación indebida, pero cualquier demora relevante hay que poder justificarla después. El criterio práctico es sencillo: si el afectado podría hacer algo para protegerse (cambiar una contraseña, vigilar un cargo bancario, desconfiar de una llamada), la comunicación casi siempre procede.
¿Obliga ya NIS2 en España?
No. A 27 de octubre de 2026, España no ha transpuesto la Directiva (UE) 2022/2555, conocida como NIS2, y por tanto no existe todavía una ley nacional que imponga sus obligaciones de notificación. El plazo de transposición venció el 17 de octubre de 2024. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, la Comisión Europea envió dictamen motivado el 7 de mayo de 2025 y el 8 de julio de 2026 remitió a España al Tribunal de Justicia de la UE, junto a Irlanda, Francia y los Países Bajos, pidiendo una suma a tanto alzado y multas diarias hasta que se notifique la transposición completa.
Lo que esto significa para una empresa española, en términos prácticos, son tres cosas. Primera: hoy las obligaciones de notificación de incidentes siguen siendo las del Real Decreto-ley 12/2018 y su desarrollo en el Real Decreto 43/2021, no las de NIS2. Segunda: las obligaciones del RGPD frente a la AEPD son independientes de todo esto y están plenamente vigentes, así que no hay ningún vacío en materia de datos personales. Tercera: la transposición llegará, y cuando llegue ampliará de forma notable el número de sujetos obligados y añadirá responsabilidad expresa de los órganos de dirección.
La lectura razonable no es esperar. Es preparar el procedimiento de notificación con el calendario actual del RD 43/2021 y diseñarlo de forma que absorba sin rehacerse el escalonado de NIS2, que es muy parecido en su lógica. Quien tenga ya un procedimiento con registro de incidentes, clasificación por nivel y responsable designado tendrá que ajustar plazos y destinatarios, no empezar de nuevo.
Fuente: nota de la Comisión Europea del 8 de julio de 2026, consultada el 27 de octubre de 2026.
¿Qué sanciones conlleva gestionar mal una brecha?
El incumplimiento de las obligaciones de los artículos 33 y 34 del RGPD encaja en el tramo sancionador del artículo 83.4, que prevé multas de hasta 10 millones de euros o, en el caso de una empresa, hasta el 2% del volumen de negocio total anual global del ejercicio anterior, optando por la cuantía mayor.
Conviene entender cómo se agrava en la práctica. La sanción no suele venir por la brecha en sí, que puede ocurrirle a una organización diligente, sino por lo que la rodea: no notificar, notificar tarde sin justificación, no poder acreditar cuándo se tuvo constancia del incidente, o no haber implantado las medidas técnicas y organizativas apropiadas que exige el artículo 32. Ese último punto es el que convierte una brecha en un expediente más amplio, porque la Agencia revisa el estado general de las medidas, no solo el incidente.
¿Qué hay que tener preparado antes de la brecha?
Las 72 horas no dan margen para improvisar, así que todo lo que se puede preparar antes conviene tenerlo cerrado. Este es el paquete mínimo:
- Procedimiento escrito con responsable designado, suplente y teléfono de contacto fuera de horario. Una brecha no espera al lunes.
- Registro de brechas, que el RGPD exige mantener incluso para las que no se notifican, con la justificación de por qué no se notificó.
- Criterio de evaluación de riesgo escrito y aplicado siempre igual, para que la decisión de notificar o no sea defendible.
- Acceso operativo a la Sede Electrónica de la AEPD, comprobado y con más de una persona habilitada.
- Cláusulas de notificación en los contratos de encargo, con plazo numérico para que el proveedor te avise.
- Plantillas de comunicación a los afectados, redactadas en frío y revisadas, no escritas en caliente a las dos de la madrugada.
Formalizar todo esto es exactamente lo que persigue un sistema de gestión de incidentes de protección de datos. Si además tienes un SGSI, el procedimiento que exige la ISO 27001 cubre la mayor parte del trabajo, y si prestas servicios al sector público el circuito de notificación al CSIRT de referencia ya lo tienes montado por la adecuación al ENS. Para situar estas obligaciones en el mapa completo, tienes el área de seguridad de la información y nuestra guía de compliance en España.
Preguntas frecuentes sobre brechas de seguridad
¿Hay que notificar todas las brechas a la AEPD?
No. Se notifican salvo que sea improbable que la brecha suponga un riesgo para los derechos y libertades de las personas. Las que no se notifican sí hay que registrarlas, con la justificación de la decisión.
¿Qué ocurre si notifico después de las 72 horas?
Hay que indicar los motivos de la dilación. El retraso no justificado es por sí mismo un incumplimiento del artículo 33 y encaja en el tramo sancionador de hasta 10 millones de euros o el 2% de la facturación anual global.
¿Un ataque de ransomware es siempre una brecha notificable?
Casi siempre, porque implica pérdida de disponibilidad y, en la mayoría de los casos, probable acceso no autorizado. Tener copia de seguridad recuperable reduce el riesgo y puede cambiar la comunicación a los afectados, pero no convierte el incidente en no notificable por defecto.
¿Cuentan los fines de semana en el plazo de 72 horas?
Sí. La guía de la AEPD confirma que el cómputo incluye fines de semana y festivos, así que una brecha detectada un viernes por la tarde vence el lunes por la tarde.
¿Tengo que cumplir ya los plazos de NIS2?
No, porque España no ha transpuesto la directiva. Hoy aplican los plazos del Real Decreto 43/2021 y, en paralelo, las 72 horas del RGPD. La Comisión remitió a España al Tribunal de Justicia de la UE el 8 de julio de 2026 por ese retraso.
¿Quién firma la notificación a la AEPD?
El responsable del tratamiento, a través de quien tenga poder de representación o certificado habilitado. Si hay delegado de protección de datos designado, lo habitual es que prepare y tramite la notificación, aunque la responsabilidad sigue siendo del responsable.
Por dónde empezar
Si hoy no sabes quién notificaría una brecha detectada un sábado por la noche, ese es el primer hueco que hay que cerrar, antes de cualquier inversión técnica. Designa responsable y suplente, comprueba que el acceso a la Sede Electrónica de la AEPD funciona y mete un plazo numérico de aviso en los contratos con tus proveedores. Son tres medidas de coste casi nulo que resuelven la mayor parte de las notificaciones que se presentan fuera de plazo.
Contenido actualizado el 27 de octubre de 2026.
