el cliente pregunta con qué rapidez les notificaríamos una fuga de datos

Tres momentos de notificación en 72 horas, no uno

El cliente pregunta por un plazo de notificación, pero el artículo 21, apartado 2 de NIS2 no establece un plazo único — se trata de una serie de tres momentos. En el plazo de 24 horas tras la detección de un incidente significativo, se envía una alerta temprana a la autoridad competente o al CSIRT. En el plazo de 72 horas se remite una notificación más detallada con una evaluación inicial de la gravedad e impacto. Y en el plazo de un mes tras la resolución se remite un informe final con la causa, las medidas adoptadas y los efectos transfronterizos. Si la lista de preguntas simplemente pregunta "¿en cuántas horas notificará una filtración de datos", la respuesta es en realidad triple, y puede rellenarse así: no un único número, sino los tres pasos con su propio plazo.

Detalle importante: estos plazos se aplican a las entidades que están sujetas a la directiva, y la obligación de notificación es ante la autoridad supervisora propia — no automáticamente ante el cliente que envía la lista de preguntas. Si la empresa es en sí misma una entidad con obligación de notificación depende del sector y el tamaño; esto se describe en ¿Está la empresa sujeta a la Directiva NIS2 o a su transposición nacional. Lo que el cliente normalmente quiere saber es si existe un procedimiento interno que cumple estos plazos — este es un aspecto diferente de la obligación legal de notificación a las autoridades, y se trata por separado en hay un procedimiento para el tratamiento de incidentes de seguridad.

Donde esto se indica en la directiva: artículo 21, apartado 2, letra b

Los tres momentos de notificación — 24 horas, 72 horas, un mes — se derivan directamente del artículo 21, apartado 2, letra b de la Directiva (UE) 2022/2555. La Ley holandesa de ciberseguridad transpone esta obligación al derecho nacional y entra en vigor el 15 de agosto de 2026; hasta esa fecha, la directiva en sí es la fuente, después el texto de la ley tal como se publica en wetten.overheid.nl.