Son las 11 de la mañana de un martes cualquiera. Un empleado te avisa de que no puede acceder a unos archivos, o que ha recibido un mensaje extraño pidiendo verificar credenciales, o que el sistema se comporta de forma rara. En ese momento, sin saberlo todavía, empieza una cuenta atrás legal y operativa que ya no se detiene.

Lo que hagas, o dejes de hacer, en los primeros 30 minutos determina si tu empresa controla la situación o si la situación te controla a ti durante las próximas semanas. La improvisación en ese momento es el error más común y más caro. Por eso, antes de que ocurra, necesitas saber exactamente qué hacer.

1. Minuto 0 a 10: contener, no investigar

El primer instinto de mucha gente es intentar entender qué ha pasado. Es un error. La prioridad absoluta en los primeros minutos es contener el daño, no analizarlo.

Las acciones inmediatas son:

• Aísla los sistemas afectados. Desconecta de la red los equipos comprometidos, pero no los apagues sin criterio: si sospechas de ransomware, apagar un equipo puede destruir evidencias que están solo en la memoria RAM.
• Revoca accesos sospechosos. Si crees que una cuenta ha sido comprometida, bloquéala de inmediato y fuerza el cierre de sesión en todos los dispositivos.
• Activa al equipo de respuesta. No hace falta una reunión formal: una llamada de cinco minutos con IT, dirección y, si existe, tu proveedor de seguridad gestionada es suficiente para coordinar los primeros pasos.
• Abre un registro del incidente desde el segundo cero. Anota quién detectó el problema, a qué hora, qué sistemas están afectados y qué acciones se van tomando. Este registro será la base de todo lo que venga después.

El reloj legal empieza a correr desde el momento en que cualquier persona de la empresa tiene conocimiento razonable del incidente, no cuando se confirma oficialmente.

2. Minuto 10 a 30: preservar evidencias y empezar a evaluar

Una vez contenida la amenaza inicial, el objetivo cambia: preservar pruebas y empezar a entender el alcance real, sin perder más tiempo del necesario.

• Documenta antes de limpiar nada. Capturas de pantalla, logs, correos sospechosos, cualquier rastro del incidente. Si borras o reinstalas antes de documentar, pierdes información que puede ser clave tanto para la investigación técnica como para una eventual notificación a la AEPD.
• Identifica qué tipo de datos pueden estar comprometidos. No es lo mismo un archivo interno de trabajo que datos personales de clientes, datos financieros o información de empleados. El tipo de dato determina directamente el nivel de gravedad legal.
• Estima cuántas personas o sistemas están afectados. Aunque sea una cifra aproximada en esta fase, es el primer paso para valorar si existe obligación de notificar.
• No comuniques nada externamente todavía sin criterio. Es tentador escribir a clientes o publicar en redes para «ser transparentes», pero una comunicación prematura y sin datos confirmados puede generar más daño reputacional que el propio incidente.

A los 30 minutos deberías tener: la amenaza contenida, un registro del incidente abierto, evidencias preservadas y una primera idea de qué datos están en riesgo. Si no tienes ninguna de estas cuatro cosas, todavía estás en la fase más peligrosa.

3. Qué obligaciones legales se activan a partir de aquí

A partir de los primeros 30 minutos, el problema deja de ser solo técnico y pasa a ser también legal. En España conviven actualmente dos marcos normativos que pueden activarse según el tipo de empresa y de incidente:

RGPD (si hay datos personales afectados):

• Plazo de 72 horas desde que se tiene constancia de la brecha para notificar a la AEPD, si existe riesgo para los derechos de las personas afectadas.
• Si el riesgo es alto, también hay que comunicarlo directamente a los afectados, en lenguaje claro y explicando qué pueden hacer para protegerse.

NIS2 (si tu empresa está dentro de su ámbito de aplicación):

• Alerta temprana en 24 horas desde que se tiene conocimiento de un incidente significativo.
• Notificación detallada en 72 horas, con información más completa sobre el impacto y las medidas adoptadas.
• El incumplimiento del plazo de alerta temprana se considera una infracción autónoma, independiente del propio incidente.

El mensaje importante aquí es que la rapidez ya no es opcional: es una obligación legal con plazos y sanciones propias, separadas de las consecuencias del ataque en sí.

4. El error que más empresas cometen: no tener nada de esto decidido antes

Todo lo anterior asume que sabes quién debe hacer qué. En la práctica, la mayoría de las pymes no lo sabe hasta que ya es demasiado tarde. Cuando ocurre una brecha real, no hay tiempo para decidir roles, buscar contactos o improvisar un plan.

Un plan de respuesta mínimo, preparado con antelación, debería definir:

• Quién lidera la respuesta técnica y quién toma las decisiones de comunicación.
• La cadena de contactos de emergencia, incluyendo proveedor de IT, asesor legal y, si aplica, DPO.
• Los procedimientos de contención según el tipo de incidente (ransomware, robo de credenciales, dispositivo perdido, envío erróneo de datos).
• Plantillas de notificación ya preparadas para la AEPD y para los afectados, de forma que no haya que redactarlas bajo presión.

Tener este plan escrito antes de que ocurra algo no es burocracia: es la diferencia entre reaccionar en 30 minutos con criterio o perder horas críticas decidiendo qué hacer.

Preguntas Frecuentes

¿Debo avisar siempre a la AEPD si detecto una brecha?
No siempre. Solo es obligatorio cuando existe riesgo probable para los derechos y libertades de las personas afectadas. Pero aunque decidas no notificar, estás obligado a documentar internamente el análisis que te ha llevado a esa decisión, porque la AEPD puede solicitarlo en cualquier inspección.

¿Qué pasa si no notifico a tiempo?
El incumplimiento del plazo es una infracción independiente del propio incidente, tanto bajo RGPD como bajo NIS2. Es decir, puedes acabar sancionado por la tardanza en notificar aunque el incidente en sí se haya gestionado correctamente.

¿Debo apagar los equipos afectados inmediatamente?
No sin criterio técnico. En muchos casos, especialmente en ataques de ransomware, apagar un equipo puede destruir evidencias que solo existen en memoria RAM y que son necesarias para la investigación. Lo correcto es aislar el equipo de la red, no necesariamente apagarlo.

¿Qué empresas están obligadas a cumplir con NIS2 en España?
NIS2 aplica a un abanico de sectores considerados esenciales o importantes, que va mucho más allá de las infraestructuras críticas tradicionales e incluye también a proveedores dentro de sus cadenas de suministro. Conviene revisar con detalle si tu actividad está dentro del ámbito de aplicación, porque el umbral se ha ampliado significativamente respecto a la normativa anterior.

Los primeros 30 minutos tras detectar una brecha de seguridad no dan margen para pensar desde cero. O tienes un protocolo claro ya decidido, o improvisas bajo presión con plazos legales corriendo en tu contra. La preparación previa es, en la práctica, la única diferencia real entre gestionar un incidente y sufrirlo.

Prepara con Epic el protocolo de respuesta ante incidentes de tu empresa