Saltar al contenido

Brecha de seguridad: qué hacer en tu empresa en las primeras 72 horas

Por Grupo CGS, 06/11/2026.
Equipo de una pyme revisando de noche un incidente de ciberseguridad en el portátil

Si tu empresa sufre una brecha de seguridad, qué hacer se resume en cuatro pasos: contener el incidente sin destruir pruebas, comprobar si afecta a datos personales, notificarlo a la Agencia Española de Protección de Datos (AEPD) sin dilación indebida y, de ser posible, en un máximo de 72 horas, salvo que sea improbable que suponga un riesgo para las personas, y avisar a los afectados si el riesgo es alto. Además, valora denunciar, pedir apoyo a INCIBE y, si tienes seguro, avisar a tu aseguradora.

En resumen

  • No todo incidente informático es una brecha de datos personales, pero todos deben gestionarse.
  • Salvo que el riesgo para las personas sea improbable, se notifica a la AEPD sin dilación y, si es posible, en 72 horas desde que tienes constancia (art. 33 del RGPD).
  • Si el riesgo es alto, también hay que avisar a los afectados (art. 34).
  • Toda brecha de datos personales, se notifique o no, debe documentarse.
  • A 17 de octubre de 2026 no hay en el BOE ley que transponga la Directiva NIS2.

¿Te está pasando algo parecido?

Cuéntanos tu caso: te indicamos los pasos a seguir y el coste previsto antes de empezar.

Llamar al 822 26 30 01Escribir al despacho

¿Qué es una brecha de seguridad de datos personales?

El Reglamento General de Protección de Datos (RGPD) la define como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a ellos (art. 4.12).

Según la guía de la AEPD, un ransomware (programa que cifra tus sistemas y pide un rescate) es una brecha de disponibilidad y, si no puede descartarse que se hayan extraído datos, también de confidencialidad. En cambio, recibir un correo con malware que nadie llegó a ejecutar no es por sí solo una brecha, aunque debes gestionarlo como incidente.

El responsable del tratamiento decide para qué y cómo se tratan los datos (normalmente, tu empresa); el encargado los trata por cuenta del responsable (por ejemplo, tu proveedor informático).

¿Cuándo hay que notificar a la AEPD y cómo se hace?

El responsable debe notificar la brecha sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas; si se retrasa, debe explicar por qué (art. 33.1 del RGPD).

Para una empresa privada establecida solo en España, también en Tenerife o el resto de Canarias, la autoridad competente es la AEPD, y se notifica por su sede electrónica. La notificación debe describir, como mínimo, qué ha pasado (con el número aproximado de personas y registros afectados, si es posible), un punto de contacto, las posibles consecuencias y las medidas adoptadas o previstas (art. 33.3).

El RGPD permite aportar la información de manera gradual (art. 33.4) y la guía de la AEPD prevé una notificación «inicial» en plazo, que se completa después antes de 30 días hábiles. Según la AEPD, notificar no implica necesariamente que se abra un procedimiento.

¿Cuándo hay que avisar a los afectados?

Cuando sea probable que la brecha entrañe un alto riesgo para las personas, hay que comunicárselo sin dilación indebida, en lenguaje claro: qué ha pasado, a quién dirigirse, posibles consecuencias y medidas adoptadas (art. 34 del RGPD).

No es necesario si los datos eran ininteligibles para terceros (por ejemplo, cifrados), si medidas posteriores garantizan que ya no es probable que el alto riesgo se concrete o si avisar uno a uno supone un esfuerzo desproporcionado; en este caso, se hace una comunicación pública (art. 34.3). La AEPD puede exigirte el aviso (art. 34.4). Su herramienta Comunica-Brecha RGPD te ayuda a decidir si debes comunicarla.

¿Y si la brecha la sufre tu proveedor?

El encargado debe avisarte sin dilación indebida (art. 33.2 del RGPD) y ayudarte a cumplir tus obligaciones (art. 28.3.f). Como el RGPD no fija un plazo para ese aviso, la AEPD recomienda concretarlo en el contrato sin superar las 72 horas. Notificar a la AEPD es obligación tuya como responsable: el contrato puede encargar al proveedor que lo haga en tu nombre, pero delegar la tarea no traslada la responsabilidad. Ese reparto de papeles se repite en otros tratamientos, como la videovigilancia en la empresa.

Registro interno de brechas y sanciones

Toda brecha de datos personales debe documentarse, aunque no se notifique (art. 33.5 del RGPD). La Ley Orgánica 3/2018 (LOPDGDD) clasifica así los incumplimientos; según su preámbulo, esa clasificación solo fija el plazo de prescripción, no la multa:

Incumplimiento Calificación (LOPDGDD) Prescripción de la infracción
No notificar una brecha que debía notificarse Grave (art. 73.r) Dos años
Notificación incompleta, tardía o defectuosa Leve (art. 74.m) Un año
No documentar la brecha Leve (art. 74.n) Un año
No avisar a los afectados de una brecha de alto riesgo Leve (art. 74.ñ); grave si la AEPD lo había requerido (art. 73.s) Un año; dos si es grave
El encargado no avisa al responsable Grave (art. 73.q) Dos años
No tener medidas de seguridad adecuadas al riesgo o quebrantarlas por falta de diligencia Grave (art. 73.f y g) Dos años

Para estas obligaciones, la multa puede llegar a 10 millones de euros o, en una empresa, al 2 % de su volumen de negocio total anual global del ejercicio anterior, si es mayor (art. 83.4 del RGPD); si se vulneró el principio de integridad y confidencialidad (art. 5.1.f), a 20 millones o el 4 % (art. 83.5). La cuantía se fija caso por caso y tiene en cuenta, entre otras cosas, si notificaste la brecha (art. 83.2 del RGPD y art. 76 de la LOPDGDD). Quien sufra daños por una infracción del RGPD puede reclamar además una indemnización (art. 82).

Denuncia, INCIBE y seguro

Un ciberataque puede ser delito: acceso ilícito a sistemas (art. 197 bis del Código Penal), daños informáticos (art. 264) u obstaculización de sistemas (art. 264 bis), entre otros. Puedes denunciar ante la Policía Nacional, la Guardia Civil o el juzgado de guardia; INCIBE lo recomienda, sobre todo ante un ransomware.

El 017 es la línea de ayuda en ciberseguridad de INCIBE: gratuita, confidencial y disponible todos los días de 8:00 a 23:00, también por WhatsApp (900 116 117) y Telegram (@INCIBE017). INCIBE-CERT, el equipo de respuesta a incidentes de referencia para ciudadanos y entidades privadas, recibe avisos a través de su web.

Si tienes un seguro que lo cubra, la Ley de Contrato de Seguro obliga a comunicar el siniestro en un máximo de siete días desde que lo conoces, salvo que la póliza fije un plazo mayor (art. 16).

¿Te afecta ya la Directiva NIS2?

La Directiva (UE) 2022/2555 (NIS2) amplía las obligaciones de ciberseguridad a muchos más sectores y prevé, para entidades esenciales e importantes, una alerta temprana en 24 horas y una notificación en 72 horas de los incidentes significativos (art. 23.4). El plazo para transponerla terminó el 17 de octubre de 2024.

A 17 de octubre de 2026 no consta en el BOE la ley española de transposición. El Consejo de Ministros aprobó en enero de 2025, en primera vuelta, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, y las Cortes están disueltas desde el 6 de octubre de 2026 por la convocatoria de elecciones (Real Decreto 806/2026). Mientras tanto siguen vigentes el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, que obligan a notificar incidentes a los operadores de servicios esenciales y a ciertos proveedores de servicios digitales, no a cualquier empresa; esa notificación no sustituye la de la AEPD. Si tu actividad puede entrar en NIS2, prepárate sin dar por cerradas obligaciones cuyo texto aún no existe.

Brecha de seguridad en la empresa: qué hacer si te ocurre

  1. Contén el incidente y conserva evidencias: registros, capturas, notas de rescate.
  2. Anota por escrito cuándo tuviste constancia de que había datos personales afectados.
  3. Identifica qué datos y personas están afectados y valora el riesgo (la herramienta Asesora Brecha de la AEPD ayuda).
  4. Salvo que el riesgo sea improbable, notifica a la AEPD sin dilación y, si es posible, en 72 horas, aunque sea con una notificación inicial.
  5. Si el riesgo es alto, avisa a los afectados.
  6. Documenta la brecha y tus decisiones, también si no notificas.
  7. Valora denunciar y, si necesitas apoyo técnico, llama al 017 o contacta con INCIBE-CERT.
  8. Avisa a tu aseguradora, si procede, y pide colaboración a los proveedores implicados.

Este artículo es información general y no sustituye el análisis de tu caso: las obligaciones dependen de los datos afectados y de tu actividad.

Preguntas frecuentes

¿Hay que notificar a la AEPD todas las brechas de seguridad?

No. Solo las que puedan suponer un riesgo para los derechos y libertades de las personas. Si ese riesgo es improbable, no hay que notificar, pero sí documentar la brecha con sus hechos, efectos y medidas correctoras (art. 33.5 del RGPD). Esa documentación permite a la AEPD verificar después que cumpliste.

¿Desde cuándo se cuentan las 72 horas para notificar una brecha?

Desde que el responsable tiene constancia de que el incidente ha afectado a datos personales. Según la guía de la AEPD, el plazo incluye fines de semana y festivos. Si aún no tienes toda la información, puedes presentar una notificación inicial y completarla después. Si notificas pasadas las 72 horas, debes explicar el motivo del retraso (art. 33.1 del RGPD).

¿Conviene denunciar un ciberataque ante la policía?

Suele ser recomendable: INCIBE aconseja denunciar, sobre todo ante un ransomware. Además, el acceso ilícito a sistemas solo se persigue, por regla general, si denuncia la persona agraviada o su representante legal, salvo, entre otros casos, que afecte a los intereses generales o a una pluralidad de personas (art. 201 del Código Penal). La denuncia no sustituye la notificación a la AEPD.

¿Está ya en vigor en España la ley que transpone NIS2?

No. A 17 de octubre de 2026 no se ha publicado en el BOE. El Gobierno aprobó en enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad y las Cortes están disueltas desde el 6 de octubre. Siguen vigentes el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, para operadores de servicios esenciales y ciertos proveedores digitales.

Cómo te ayudamos ante una brecha de datos

Una brecha obliga a decidir rápido si notificar, qué decir a los afectados y cómo documentarlo. Estudiamos tu caso, revisamos la notificación y los avisos y preparamos tu registro y tus contratos. Puedes conocer nuestro asesoramiento en derecho digital y protección de datos, leer qué hace un abogado de derecho digital o ampliar con nuestro artículo sobre ciberseguridad en pymes.

Fuentes

¿Te encuentras en una situación parecida?

En Grupo Global CGS, despacho de abogados en Icod de los Vinos (Tenerife), llevamos asuntos de Derecho Digital en Tenerife, en el resto de Canarias y online. Cuéntanos tu caso y te indicamos los pasos a seguir y el coste previsto antes de empezar.

Llamar al 822 26 30 01Escribir al despacho