El reloj de las 72 horas: protocolo hora a hora para gestionar una brecha de seguridad sin improvisar

Una brecha de seguridad no avisa. Un acceso no autorizado, un ransomware, un portátil extraviado: en el instante de la detección arranca un plazo que muchas organizaciones solo conocen de oídas. El RGPD concede 72 horas para decidir si se notifica a la autoridad de control, y no exige perfección: exige método, velocidad y evidencia.

El reloj arranca antes de lo que usted cree

El plazo no empieza cuando se reúne el comité de dirección, sino desde que la organización tiene constancia razonable de la violación de seguridad. Las primeras horas son de contención, no de deliberación:

• Hora 0-2: aislar los sistemas afectados, preservar registros y evidencias, activar al responsable de seguridad y al delegado de protección de datos.
• Hora 2-6: abrir el registro del incidente: qué se sabe, qué no se sabe y quién decide. Cada anotación, con fecha y hora.
• Hora 6-12: primera estimación del alcance: categorías de datos, número aproximado de afectados y origen probable.

¿Hay riesgo para los derechos de las personas? Esa es la única pregunta

No toda brecha se notifica. La obligación nace cuando existe riesgo para los derechos y libertades de los afectados, y esa evaluación debe quedar por escrito. Entre las horas 12 y 48, el equipo debe responder a tres cuestiones:

1. ¿Qué datos se han visto comprometidos y en qué dimensión: confidencialidad, integridad o disponibilidad?
2. ¿Qué consecuencias plausibles tiene para las personas: suplantación de identidad, fraude, daño reputacional, discriminación?
3. ¿Qué medidas mitigan ya ese riesgo: cifrado de los datos expuestos, revocación de credenciales, copias de respaldo íntegras?

Horas 48 a 72: decidir, notificar y comunicar

Si la evaluación concluye que hay riesgo, se notifica a la autoridad dentro del plazo aunque la información sea incompleta: la norma admite la notificación por fases. Si el riesgo es alto, además debe comunicarse a los afectados sin dilación indebida, en lenguaje claro y con medidas concretas que puedan adoptar. Esperar a tenerlo todo cerrado es el error que convierte un incidente en una infracción.

La autoridad rara vez sanciona la brecha en sí; sanciona la improvisación: no poder demostrar quién decidió, qué se evaluó y por qué se notificó —o no se notificó— dentro de plazo.

Documentarlo todo, también cuando decide no notificar

El registro interno de violaciones de seguridad es obligatorio incluso cuando se concluye que no procede notificar. Es la primera pieza que pedirá la autoridad, y su ausencia se paga cara: el RGPD contempla multas de hasta 20 millones de euros o el 4% de la facturación global anual. La documentación no es burocracia defensiva: es la prueba de que la organización actuó con diligencia bajo presión.

Y el estándar se globaliza: en Chile, la Ley 21.719, que entra en vigor en diciembre de 2026, incorpora deberes equivalentes de gestión y comunicación de incidentes, con multas de hasta 20.000 UTM. Quien opera en España y LATAM necesita un único protocolo, no uno por país improvisado sobre la marcha.

La conclusión operativa es simple: el protocolo de brechas se escribe, se asigna y se ensaya antes de necesitarlo, con roles nominales, plantillas de notificación y un simulacro anual. Del papel a la evidencia: si su plan no dice quién decide en la hora 48 de un sábado, todavía no tiene un plan.