Reglas de reporte de incidentes sectoriales

Los operadores de infraestructura crítica suelen tener obligaciones de reporte propias de su sector. En la Unión Europea, la Directiva NIS2 (Directiva (UE) 2022/2555) incluye entre sus entidades a los operadores de distribución y de transmisión de electricidad, y su artículo 23 fija tres hitos ante un incidente significativo: una alerta temprana sin demora y como máximo en 24 horas desde que se tiene constancia, la notificación del incidente en 72 horas y un informe final a más tardar un mes después de esa notificación. Cada Estado miembro lo incorpora a su ley nacional y designa a quién se avisa.

Fuera de la UE las reglas, las autoridades y los plazos son otros, y no se inventan: la matriz de Yareta lo dice expresamente para Colombia. Lo que sí es común es el principio: el reloj empieza cuando la organización tiene constancia del incidente, no cuando termina de investigar ni cuando conoce la causa. Un sistema de IA no cambia esas reglas, pero añade un actor más, su fabricante, con su propio plazo contractual.

Con el momento de constancia fijado, cada plazo se calcula sumando horas a esa marca, no a la del envío anterior. Una alerta temprana tardía no mueve el plazo de la notificación.

Revisar el cumplimiento es comparar cada envío de la cronología con su plazo en la matriz. Ojo con dos confusiones: un envío puede salir tarde aunque el siguiente salga a tiempo, y la obligación de un tercero no es una obligación de la filial.

Cuando el incidente nace en la cadena de suministro de un sistema de IA, el primer aviso depende del fabricante. Su plazo lo fija el contrato, y se cuenta desde que el fabricante detecta, no desde que confirma ni desde que decide llamar.

La alerta temprana es corta a propósito, pero tiene contenido mínimo. NIS2 pide que, cuando corresponda, indique si se sospecha que el incidente se debe a un acto ilícito o malicioso y si podría tener impacto en otros países. La causa definitiva y las medidas finales son del informe final, no de la alerta.