El Real Decreto 311/2022 recoge esta realidad en sus artículos 25 y 33 y establece que las entidades sujetas al ENS deben contar con un sistema formal, documentado y coordinado para gestionar los incidentes de seguridad.

1. El ciclo de vida de la respuesta ante incidentes

Gestionar una crisis de ciberseguridad de forma improvisada puede tener consecuencias importantes: pérdida de datos, interrupciones prolongadas de los servicios o incluso sanciones administrativas. Para cumplir con el ENS y responder de manera eficaz, es necesario contar con un proceso estructurado y con unas fases claramente definidas:

• Detección e identificación temprana: consiste en supervisar continuamente los sistemas para detectar comportamientos anómalos lo antes posible. Cuanto menos tiempo permanezca un atacante dentro de la red —lo que se conoce como dwell time—, menor será el impacto que pueda causar.
• Contención y reducción del impacto: una vez identificado el incidente, es fundamental actuar con rapidez. Esto puede implicar aislar equipos, segmentos de red o cuentas comprometidas para impedir que la amenaza se extienda a otras partes de la infraestructura.
• Erradicación y recuperación de los servicios: después de contener el incidente, hay que eliminar su causa y corregir la vulnerabilidad que lo hizo posible. A continuación, los sistemas deben recuperarse utilizando copias de seguridad limpias y previamente verificadas, dando prioridad a los servicios y procesos más críticos para la organización.
• Análisis forense y lecciones aprendidas: una vez controlada la situación, es necesario analizar qué ocurrió, cómo se produjo el ataque y qué recorrido siguió dentro de los sistemas. Documentar todo el proceso permite aprender de lo sucedido, mejorar las medidas de seguridad y disponer de evidencias útiles durante posibles auditorías o revisiones de cumplimiento.

2. El papel del CCN-CERT como aliado estratégico

Dentro del ámbito de la ciberseguridad en España, el CCN-CERT (Capacidad de Respuesta a Incidentes del Centro Criptológico Nacional) desempeña un papel fundamental en la prevención y respuesta frente a las ciberamenazas.

Para que las organizaciones puedan cumplir de forma adecuada con las exigencias del ENS, es importante conocer y aprovechar los recursos que proporciona:

• Guías de la serie CCN-STIC: ofrecen recomendaciones y criterios técnicos para configurar sistemas de forma segura y establecer procedimientos adecuados de respuesta ante incidentes.
• Indicadores de Compromiso (IoC): proporcionan información sobre las señales o evidencias que pueden indicar que un sistema ha sido comprometido. Estos datos permiten a los equipos de TI mejorar sus mecanismos de detección y adaptar sus medidas de protección de forma proactiva.
• Plataformas de coordinación, como Lucía, Reyes e Inés: facilitan la comunicación y notificación de incidentes, así como el intercambio de información y ciberinteligencia entre los distintos equipos implicados.

3. La conexión entre Ciberseguridad (ENS) y Privacidad (RGPD)

Uno de los escenarios más complejos aparece cuando un incidente de seguridad afecta a sistemas que contienen datos personales. En ese momento, la ciberseguridad y la protección de datos dejan de ser cuestiones separadas y deben abordarse conjuntamente.

Si un ciberincidente afecta a la confidencialidad, integridad o disponibilidad de datos personales, pueden entrar en juego los artículos 33 y 34 del RGPD. En estos casos, la organización debe valorar rápidamente el alcance del incidente y sus posibles consecuencias para las personas afectadas.

• Notificación a la Autoridad de Control (AEPD): cuando la brecha pueda suponer un riesgo para los derechos y libertades de las personas, debe notificarse a la autoridad de control correspondiente, en España la Agencia Española de Protección de Datos (AEPD), en un plazo máximo de 72 horas desde que se tiene constancia de ella, salvo que sea improbable que exista ese riesgo.
• Comunicación a las personas afectadas: si la brecha puede suponer un riesgo alto para los derechos y libertades de las personas, también será necesario informar a los afectados sin dilaciones indebidas, de manera que puedan adoptar las medidas necesarias para protegerse.

Todo esto hace que la coordinación entre los diferentes equipos sea especialmente importante. El CSIRT o CERT interno, los administradores de sistemas y el Delegado de Protección de Datos (DPD) deben tener definidos sus roles y canales de comunicación desde el principio.

Contar con estos procedimientos antes de que ocurra un incidente permite reaccionar con mayor rapidez, evitar bloqueos y tomar decisiones de forma coordinada. Además de facilitar el cumplimiento del ENS y del RGPD, una buena gestión de la respuesta ayuda a reducir el impacto del incidente y a mantener la confianza de clientes, usuarios y otras partes afectadas.

La entrada Gestión eficaz de ciberincidentes en el Esquema Nacional de Seguridad (ENS) se publicó primero en Adaptación RGPD.