Si vives en la UE, tres leyes determinan con qué rapidez una empresa debe admitir que ha sido hackeada. Una comparativa de 2026 de NIS2, DORA y RGPD analiza el ámbito de aplicación, los plazos de incidentes de 24 y 72 horas, las multas en una banda de 10 a 20 millones de euros, y qué Estados miembros habían actuado en noviembre de 2026. Este artículo lo traduce a un lenguaje sencillo. La versión corta de la notificación de brechas en NIS2 DORA RGPD: los plazos son ajustados, las sanciones son elevadas y las normas no se aplican de la misma manera en todos los países.
Qué significan realmente los plazos de notificación de brechas en NIS2, DORA y RGPD
Los dos números que destacan en la comparativa son 24 horas y 72 horas. Son plazos que empiezan a correr una vez que una organización tiene conocimiento de un incidente grave. No son promesas de que te informarán en un día o en tres.
En la práctica, estos plazos se refieren principalmente a que la empresa informe a un regulador o a una autoridad de supervisión. Ese informe temprano permite a los responsables ver si un ataque está afectando a varias organizaciones a la vez. Un primer plazo más corto (24 horas) generalmente significa un aviso temprano, mientras que uno más largo (72 horas) deja tiempo para tener una imagen más completa de lo ocurrido. La comparativa de origen no detalla cada aspecto de cómo cada ley asigna sus plazos, así que consulta el texto oficial de cada reglamento o a tu autoridad nacional para conocer la redacción exacta.
Las tres leyes también cubren ámbitos diferentes:
- El RGPD trata sobre datos personales y se aplica a organizaciones que tratan los datos de personas en la UE.
- NIS2 trata sobre la seguridad de las redes y los sistemas de información en sectores considerados importantes para la sociedad.
- DORA trata sobre la resiliencia operativa digital en el sector financiero.
Debido a esta superposición, un mismo incidente puede activar más de una ley al mismo tiempo. Un ciberataque contra una entidad financiera que exponga datos de clientes podría plantear cuestiones bajo las tres.
Cuándo una empresa tiene que informarte sobre una brecha: qué significa esto para ti
Aquí es donde hay que ajustar las expectativas. Un plazo de 24 o 72 horas no significa que tu bandeja de entrada se ilumine al día siguiente. El primer informe suele ir dirigido a las autoridades, y la notificación a las personas afectadas es un paso separado con sus propias condiciones. Esas condiciones dependen de la ley en cuestión y de la gravedad del riesgo para ti.
Lo que puedes razonablemente extraer del marco:
- Los reguladores se enteran primero. Espera que el plazo formal se aplique al informe a la autoridad, no a un anuncio público.
- Los avisos tempranos pueden ser incompletos. Un primer informe breve puede omitir la causa, la escala o si tus datos estuvieron involucrados.
- Tus derechos provienen principalmente del RGPD. Es la ley centrada en los datos personales, así que es la que debes consultar cuando quieras saber a qué tienes derecho a que te informen.
- El sector importa. Si tu banco, un proveedor de pagos o un servicio esencial se ve afectado, las obligaciones de NIS2 o DORA pueden aplicarse además del RGPD.
Nada de esto sustituye tu propia cautela. Incluso un sistema de notificación bien gestionado deja un margen entre un incidente y tu notificación, así que conviene cambiar contraseñas, activar la autenticación multifactor y vigilar tus cuentas en busca de actividad inusual en cuanto te enteres de una brecha.
Cómo se comparan las multas de NIS2, DORA y RGPD
La comparativa enmarca las sanciones como una banda que va de 10 a 20 millones de euros. Ese rango indica la seriedad con que los legisladores tratan los plazos incumplidos y la seguridad deficiente. No notificar a tiempo es en sí mismo un incumplimiento normativo, independiente de la brecha.
Una advertencia sobre la precisión. El resumen de origen da la banda general pero no un desglose línea por línea que muestre qué ley fija qué cifra. No vamos a adivinar los importes por ley, porque las estructuras de sanciones pueden incluir topes diferentes, porcentajes de facturación y decisiones nacionales de implementación. Para DORA en particular, los detalles pueden depender de cómo cada Estado miembro fija sus sanciones. Si necesitas cifras exactas para una ley concreta, lee el reglamento mismo o la guía de tu autoridad nacional.
Lo que la banda sí te dice es que los reguladores tienen influencia real. Para las empresas que deben cumplir varias obligaciones superpuestas, un incidente mal gestionado puede generar más de un problema de cumplimiento a la vez.
Cómo comprobar si tu país de la UE ha aplicado NIS2 y DORA
La comparativa también hace seguimiento de qué Estados de la UE habían actuado en noviembre de 2026, lo que recuerda que las normas de la UE no siempre entran en vigor en todas partes a la vez. NIS2 es una directiva, así que cada Estado miembro debe transponerla a su derecho nacional, y el avance puede diferir de un país a otro. Formas prácticas de comprobar en qué punto está el tuyo:
- Busca la autoridad nacional de ciberseguridad de tu gobierno. Suele publicar el estado de la legislación nacional de NIS2 y enumerar quién debe registrarse o notificar.
- Consulta a tu regulador financiero. Para DORA, el supervisor financiero nacional es la mejor fuente sobre cómo se aplican las normas a bancos, aseguradoras y entidades de pago.
- Consulta a tu autoridad de protección de datos. Para el RGPD, explica cómo presentar una reclamación y qué derechos de notificación tienes.
- Lee los textos oficiales de la UE. Los reglamentos y las directivas son la última palabra sobre plazos y ámbito de aplicación.
Si tu país ha ido lento, eso no elimina el RGPD. Se aplica en toda la UE desde hace años y sigue siendo tu herramienta más directa cuando se exponen datos personales.
Puntos clave
Entender la notificación de brechas en NIS2 DORA RGPD se reduce a unos pocos puntos: los plazos de 24 y 72 horas rigen principalmente los informes a los reguladores, las multas son sustanciales y la adopción nacional varía. Dedica unos minutos esta semana a consultar el estado de NIS2 y DORA en tu propio país, y revisa tus derechos del RGPD a ser informado y a reclamar ante tu autoridad de protección de datos.
Si quieres ver cómo un régimen no perteneciente a la UE aborda cuestiones similares, lee nuestra cobertura del UK Cyber Security Resilience Bill, que incorpora la infraestructura crítica a un marco nacional formal y aborda sus propias obligaciones de notificación de incidentes. Compararlo con el enfoque de la UE muestra cómo distintos gobiernos están convergiendo hacia una divulgación de brechas más rápida y estructurada.
