¿Qué es un plan de respuesta a incidentes?
Es el documento que dice, antes de que pase nada, quién decide, a quién se avisa y qué se hace primero ante un incidente: un secuestro de datos (ransomware) o un portátil robado. INCIBE lo resume en un equipo responsable, un punto de contacto único y una lista de contactos para actuar rápido.
No es lo mismo que el plan de continuidad de negocio, que dice cómo seguir trabajando mientras dura el problema, ni que la lista de a quién llamar el día del ataque, aunque la incluye. NIST recomienda sincronizar los dos planes, porque un incidente pone a prueba la continuidad del negocio.
| Documento | Qué responde | Cuándo se usa |
|---|---|---|
| Plan de respuesta a incidentes | Quién decide, a quién se avisa y qué se hace primero | En las primeras horas de un incidente |
| Lista de llamadas | A quién se llama y en qué orden | El día del incidente |
| Plan de continuidad de negocio | Cómo se sigue trabajando y en cuánto tiempo se recupera | Mientras dura la interrupción |
| Registro de incidentes | Qué pasó, qué se hizo, a qué hora y quién lo hizo | Durante el incidente y después |
¿Por qué te piden un plan de respuesta a incidentes?
Porque la gestión de incidentes es una de las diez medidas mínimas del artículo 21.2 de la NIS2, y las empresas obligadas tienen que cuidar la seguridad de sus proveedores directos. El RGPD exige además documentar toda brecha de datos personales, se notifique o no (artículo 33.5).
- La NIS2: el artículo 21.2.b pone «la gestión de incidentes» entre las medidas mínimas, y el artículo 23 fija los avisos. Si no sabes si te aplica, mira primero el umbral de la NIS2.
- Tus clientes: si un cuestionario de seguridad pregunta qué haces ante un incidente, el plan escrito y fechado es la prueba que se adjunta.
- El RGPD: el artículo 33.5 obliga a documentar cada brecha de datos personales, sus efectos y las medidas tomadas.
- La guía #StopRansomware de CISA, MS-ISAC, NSA y FBI (septiembre de 2023): tener un plan básico, ensayarlo con regularidad y guardar una copia en papel y otra sin conexión.
¿Qué fases tiene la respuesta a un incidente de ciberseguridad?
Para una pyme sirven cuatro: detectar y avisar, contener para que no se extienda, recuperar desde las copias y aprender qué cambiar. La guía NIST SP 800-61r3 (abril de 2025) las reparte entre las seis funciones del marco CSF 2.0 y deja elegir el modelo que mejor encaje.
Detectar: alguien ve algo raro y avisa al responsable del plan, sin intentar arreglarlo solo.
¿Afecta a más de un equipo o a una cuenta compartida?
- Sí
- Contener a la vez: desconectar de la red todos los equipos afectados.
- No
- Contener ese equipo o esa cuenta.
Recuperar: limpiar o reinstalar y restaurar desde copias comprobadas.
Aprender: apuntar qué pasó, qué falló y qué cambia en el plan.
| Fase del modelo anterior | Funciones del CSF 2.0 (revisión 3) | Qué significa en una pyme |
|---|---|---|
| Preparación | Gobernar, Identificar y Proteger | Plan escrito, responsables, copias y doble factor antes de que pase nada |
| Detección y análisis | Detectar, y Mejora dentro de Identificar | Alguien o algo da la alarma y se valora el alcance |
| Contención, erradicación y recuperación | Responder y Recuperar, y Mejora | Aislar, limpiar y restaurar desde las copias |
| Actividad posterior al incidente | Mejora, dentro de Identificar | Revisar qué falló y actualizar el plan |
La revisión 3 sustituye a la 2 desde el 3 de abril de 2025 y explica el cambio: antes un incidente se resolvía en uno o dos días; hoy la recuperación puede llevar semanas o meses, así que la mejora es continua y no un paso final. Para una pyme, las cuatro fases siguen siendo una forma clara de ordenar la hoja.
¿Qué tiene que caber en un plan de respuesta a incidentes de una página?
Seis apartados: quién decide y su suplente, a quién se avisa, todos los teléfonos impresos, los primeros pasos, los plazos de aviso y dónde se registra lo que pasa. Si no cabe en una página, es difícil leerlo con prisa. Los procedimientos técnicos detallados van aparte, en manos de quien lleve tu informática.
Quién
- La persona que decide durante un incidente, y su suplente.
- Quién lleva la parte técnica: tu informático o tu proveedor, interno o externo.
- Quién de la dirección tiene que estar informado en todo momento.
A quién se avisa
- Tu persona de contacto de seguridad o tu informático.
- Tu banco, si hay un pago de por medio.
- Tu aseguradora, con el número de póliza, si tienes ciberseguro.
- La AEPD, si hay datos personales en riesgo.
- El 017 de INCIBE, para orientación gratuita.
- La policía, para denunciar.
Primeros pasos
- Desconectar de la red el equipo afectado, sin apagarlo.
- No borrar nada: ni correos, ni archivos, ni la nota del rescate.
- Avisar por teléfono, no por el correo que puede estar comprometido.
- Apuntar la hora en que se detectó.
Plazos y registro
- Los plazos de aviso que te aplican (ver la cronología de más abajo).
- Dónde se apunta cada paso: fecha, hora, qué se hizo y quién.
- Dónde está la copia impresa y quién guarda la digital fuera de la red.
INCIBE pide, en su política de respuesta a incidentes para pymes, nombrar un equipo responsable que incluya a la dirección, concretar qué situaciones cuentan como incidente, fijar un punto de contacto único y tener a mano la lista de contactos. La guía de CISA añade dos detalles: que la dirección apruebe el plan por escrito y que haya una copia en papel.
El orden de las llamadas el día del incidente está en a quién llamar ante un ciberataque. Cómo se guarda el plan como prueba, en el dossier de evidencias.
¿Qué plazos de aviso tiene que recoger el plan de respuesta a incidentes?
Dos marcos. El RGPD: notificar una brecha de datos personales a la AEPD sin dilación y, si es posible, en 72 horas desde que se tiene constancia, salvo que sea improbable el riesgo. La NIS2, cuando te aplique: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
0 h
Constancia del incidente
Desde aquí cuentan los plazos: apunta la fecha y la hora.
24 h
Alerta temprana (NIS2)
Al CSIRT o a la autoridad competente, si eres entidad obligada y el incidente es significativo.
72 h
Notificación a la AEPD (RGPD) y notificación del incidente (NIS2)
La del RGPD, si hay riesgo para las personas; si llega más tarde, con los motivos del retraso.
1 mes
Informe final (NIS2)
Un mes después de la notificación de las 72 horas.
| Situación | Cuándo | Quién avisa |
|---|---|---|
| AEPD | Brecha de datos personales con riesgo: en 72 horas | Tu empresa, como responsable del tratamiento |
| Personas afectadas | Si el riesgo es alto, sin dilación (artículo 34 del RGPD) | Tu empresa, en lenguaje claro |
| CSIRT o autoridad (NIS2) | Si te aplica la NIS2 y el incidente es significativo | La entidad obligada |
| Aseguradora | Lo que diga tu póliza | Quien figure en la póliza |
| Policía | Si hay delito: para denunciar, con las pruebas | La empresa o la persona afectada |
| 017 de INCIBE | Para orientación: de 8 a 23 horas, los 365 días | Cualquiera de la empresa |
Decide si se notifica la empresa, como responsable del tratamiento, no el proveedor: lo explica la guía de las 72 horas. Para la NIS2, un incidente es significativo si causa o puede causar perturbaciones graves o pérdidas económicas a la empresa, o perjuicios considerables a otros (artículo 23.3).
¿Qué no hay que hacer en las primeras horas de un incidente de ciberseguridad?
No apagar el equipo afectado si puedes desconectarlo de la red: al apagarlo se pierden pistas de la memoria. No borrar nada. No avisar por el correo que puede estar comprometido: mejor por teléfono. Y no pagar ni negociar un rescate sin hablar antes con quien lleve tu seguridad y con tu aseguradora.
| Haz | No hagas | Por qué |
|---|---|---|
| Quita el cable de red o el wifi del equipo afectado | Apagarlo, salvo que no puedas desconectarlo | Al apagarlo se pierde lo que había en memoria, que sirve para saber qué pasó |
| Avisa por teléfono al responsable del plan | Avisar por el correo de la empresa | Si quien ha entrado lee el correo, sabrá que lo has detectado |
| Haz fotos de la pantalla y de la nota del rescate | Borrar archivos, correos o la nota | Son las pruebas para la denuncia, la aseguradora y el análisis |
| Apunta la hora de cada paso | Reconstruirlo de memoria al día siguiente | Los plazos de aviso cuentan desde que tienes constancia |
| Espera a saber qué se puede recuperar | Pagar o contestar a los atacantes por tu cuenta | Primero hay que saber qué ha pasado y qué copias sirven |
La guía de CISA pide aislar los equipos afectados y apagarlos solo si no hay otra forma de desconectarlos, porque así se pierden pruebas de la memoria. Y comunicarse por canales fuera de la red, como el teléfono, para no alertar a quien haya entrado. Si el incidente es un secuestro de datos, sigue en qué hacer en la primera hora de un ransomware.
¿Cómo se prueba un plan de respuesta a incidentes?
Con un ejercicio de mesa de una hora: se elige un caso, como un ransomware en el ordenador de administración, las personas implicadas recorren el plan paso a paso y se apunta lo que falla. NIST y CISA recomiendan ejercicios periódicos, y el acta del ejercicio sirve de prueba ante un cliente o un auditor.
- Elige un caso realista para tu empresa: un ransomware en el ordenador de administración, una cuenta de correo robada o un portátil olvidado en un taxi.
- Reúne una hora a quien decide, a quien lleva la informática y a alguien de la dirección. Se trabaja con el plan impreso.
- Recorred el plan en voz alta: quién llama a quién, con qué teléfono, qué se desconecta y cuándo empieza a contar el plazo de 72 horas.
- Apunta lo que falla: un teléfono que ya no existe, alguien que no sabía su papel, una copia que nadie sabe restaurar.
- Actualiza el plan y guarda el acta, con fecha y asistentes: es la prueba del ejercicio.
NIST señala que los ejercicios y las pruebas preparan al personal y a los proveedores clave para un incidente real, y que de ellos salen mejoras para el plan. Si en el ejercicio nadie sabe cuánto tardaríais en volver a trabajar, falta fijar cuánto tiempo puedes estar parado y cuántos datos puedes perder: es lo que miden el RTO y el RPO.
¿Cada cuánto se revisa el plan de respuesta a incidentes?
Al menos una vez al año, después de cada incidente y cada vez que cambia algo importante: un proveedor nuevo, una persona clave que se va, un sistema que se sustituye. INCIBE pide fijar la periodicidad y actualizar tras un cambio significativo; NIST, revisar los planes periódicamente o cuando se identifica una mejora necesaria.
Cada revisión deja una versión con fecha. Guárdalas: quien revise tu seguridad, sea un cliente o un auditor, puede preguntar no solo si hay plan, sino cuándo se revisó por última vez y cuándo se ensayó.
Con Talvit, redactamos el plan contigo y lo guardamos en tu dossier con cada revisión, como parte del sistema de seguridad documentado, que se presupuesta aparte de la cuota. Si ya estás en mitad de un incidente, la página de ayuda tras un ciberataque dice qué hacemos.
Lo que esta guía no cubre
- No da procedimientos técnicos de análisis forense ni de limpieza de equipos: son de quien lleve tu informática.
- No sustituye a tu asesoría en la decisión de notificar una brecha.
- No es un documento descargable: la plantilla es la lista de comprobación de esta página.
Preguntas frecuentes
¿Hay una plantilla de plan de respuesta a incidentes en PDF?
Aquí no damos PDF: la plantilla es la lista de comprobación de esta guía. INCIBE publica una política de respuesta a incidentes para pymes, con su propia lista de controles.
¿Tiene que ser largo un plan de respuesta a incidentes?
No. Para una pyme, una página que todos conocen vale más que un manual que nadie ha leído. Los procedimientos técnicos van aparte.
¿Dónde se guarda el plan?
En papel y en digital fuera de la red de la empresa: si los sistemas caen, tiene que poder leerse. La guía de CISA pide expresamente una copia impresa y otra sin conexión.
¿Quién tiene que aprobarlo?
La dirección, por escrito. CISA lo pide así, y la NIS2 exige que los órganos de dirección aprueben las medidas de gestión de riesgos y supervisen su aplicación (artículo 20).
Fuentes
- INCIBE, Políticas de seguridad para la pyme: respuesta a incidentes, consultado el
- NIST SP 800-61r3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management, abril de 2025, consultado el
- NIST, nota del 3 de abril de 2025: la SP 800-61r3 sustituye a la revisión 2, consultado el
- Reglamento (UE) 2016/679 (RGPD), arts. 33 y 34, consultado el
- Directiva (UE) 2022/2555 (NIS2), arts. 20, 21 y 23, en el BOE (DOUE-L-2022-81963), consultado el
- CISA, MS-ISAC, NSA y FBI, #StopRansomware Guide, septiembre de 2023, consultado el
- Comisión Europea, 8 de julio de 2026: lleva a España ante el Tribunal de Justicia por no transponer la NIS2, consultado el
- INCIBE, Tu Ayuda en Ciberseguridad 017, consultado el
Registro de cambios
- : Publicación.
- : Reescrita entera: plantilla de una página, plazos del RGPD y de la NIS2, qué no hacer en la primera hora y la referencia vigente de NIST (SP 800-61r3), con sus fuentes.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
