Si un ransomware afecta a datos personales, el responsable del tratamiento debe notificar la brecha a la AEPD «sin dilación indebida y, de ser posible, a más tardar 72 horas» después de tener constancia de ella (art. 33.1 RGPD), salvo que sea improbable que suponga un riesgo para las personas. Aparte, el Esquema Nacional de Seguridad obliga a las entidades del sector público a notificar al CCN los incidentes con impacto significativo.
El tema 27 de nuestro temario TI (gestión de incidentes de seguridad) mezcla tres obligaciones que se parecen y que no son lo mismo: avisar a la AEPD por la brecha de datos personales, avisar al CCN-CERT por el incidente de seguridad y, en su caso, avisar al CSIRT de referencia. En un test la trampa está en confundir destinatario, plazo o norma. Aquí van separadas y con el texto de cada norma delante.
Qué dice el artículo 33 del RGPD
El artículo 33 del Reglamento (UE) 2016/679 se aplica cuando hay una «violación de la seguridad de los datos personales». La AEPD la define en su web como un incidente que ocasiona la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a ellos. Un ransomware que cifra o exfiltra historias clínicas encaja de lleno en esa definición.
Apartado
Qué establece
33.1
Notificar a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia. Si se supera el plazo, la notificación debe indicar los motivos de la dilación. No es obligatoria si es improbable que la violación suponga un riesgo para los derechos y libertades.
33.2
El encargado del tratamiento avisa al responsable sin dilación indebida.
33.3
Contenido mínimo: naturaleza de la violación (categorías y número aproximado de afectados y de registros), contacto del delegado de protección de datos, posibles consecuencias y medidas adoptadas o propuestas.
33.4
Si no se puede dar toda la información a la vez, se facilita de manera gradual.
33.5
El responsable documenta cualquier violación: hechos, efectos y medidas correctivas.
Dos detalles que suelen caer. Primero, el plazo cuenta desde que el responsable «ha tenido constancia» de la violación, no desde que empezó el ataque. Segundo, las 72 horas son un límite «de ser posible»: el texto admite notificar más tarde si se justifica el retraso, y admite notificar por fases. En un test con opciones cerradas, la respuesta esperada es 72 horas; en una pregunta de redacción literal, fíjate en ese matiz.
Cuando sea probable que la violación entrañe un alto riesgo para los derechos y libertades de las personas, el responsable debe comunicarla también al interesado, sin dilación indebida y en un lenguaje claro y sencillo. No es necesaria si se cumple alguna de estas condiciones (art. 34.3):
Había medidas técnicas y organizativas apropiadas aplicadas a los datos afectados que los hacen ininteligibles para quien no esté autorizado, como el cifrado.
Se han tomado medidas ulteriores que garantizan que ya no es probable el alto riesgo.
Supone un esfuerzo desproporcionado; en ese caso se opta por una comunicación pública.
Ojo con la primera: se refiere a medidas de protección que aplica el responsable. Que el atacante cifre los ficheros no cuenta como tal. Los datos de salud son categoría especial (art. 9.1 RGPD), lo que pesa al valorar el riesgo. La decisión de si hay riesgo o alto riesgo la toma el responsable, y la AEPD puede exigirle que comunique a los afectados (art. 34.4).
Tres notificaciones, tres destinatarios
Obligación
Norma
Destinatario
Cuándo aplica
Brecha de datos personales
Art. 33 RGPD
AEPD (autoridad de control)
Hay datos personales afectados y es probable el riesgo
Incidente de seguridad del sector público
Art. 33.2 del Real Decreto 311/2022 (ENS)
CCN (a través del CCN-CERT)
Incidentes con impacto significativo, según la Instrucción Técnica de Seguridad correspondiente
Incidente en servicios esenciales o digitales
Art. 19 del Real Decreto-ley 12/2018
Autoridad competente, a través del CSIRT de referencia
Operadores de servicios esenciales y proveedores de servicios digitales, ante incidentes con efectos perturbadores significativos
Sobre la primera fila: según la página de la AEPD sobre notificación de brechas, las administraciones públicas notifican con carácter general a la AEPD, salvo en Andalucía, Cataluña y País Vasco para las entidades de su sector público bajo su competencia. Galicia no figura entre esas excepciones. La notificación se hace por vía electrónica en la sede de la AEPD, y notificar no implica por sí mismo abrir un procedimiento.
El Real Decreto-ley 12/2018 añade dos reglas útiles: las notificaciones no sujetan a la entidad a una mayor responsabilidad (art. 20.1) y quien informe de un incidente no puede sufrir consecuencias adversas en su puesto, salvo mala fe (art. 20.2). Su art. 19.4 prevé una plataforma común de notificación para las autoridades y los CSIRT.
Qué exige el ENS en la gestión de incidentes
La medida op.exp.7 «Gestión de incidentes» del anexo II del Real Decreto 311/2022 pide un proceso integral para los incidentes que puedan afectar a la seguridad, con informe de eventos y debilidades y criterios de clasificación y escalado (op.exp.7.1). Si el incidente afecta a datos personales, se tendrá en cuenta el RGPD y la LOPDGDD, en especial su disposición adicional primera (op.exp.7.2). Desde la categoría MEDIA se suma el refuerzo R1 de notificación, con soluciones de ventanilla única para avisar al CCN-CERT. El art. 33 del ENS añade que el CCN-CERT articula la respuesta a incidentes y que, tras uno, determina el riesgo de reconexión de los sistemas afectados.
Las seis fases de respuesta
El temario presenta un ciclo de seis fases y lo atribuye a la guía NIST SP 800-61 y a la CCN-STIC 817. Ten en cuenta que la NIST SP 800-61 Rev. 2 agrupaba la respuesta en cuatro fases (preparación; detección y análisis; contención, erradicación y recuperación; actividad posterior al incidente) y que la NIST la sustituyó en abril de 2025 por la Rev. 3, alineada con el marco CSF 2.0. Las seis fases son el desglose que usa el temario, y el orden es lo que se pregunta:
Fase
Idea clave
1. Preparación
Antes del incidente: procedimientos, equipo, herramientas y copias
2. Detección y análisis
Confirmar que es un incidente, clasificarlo y valorar su alcance
3. Contención
Corto plazo: aislar lo afectado; largo plazo: medidas temporales mientras se prepara la solución
4. Erradicación
Eliminar la causa y el código malicioso
5. Recuperación
Restaurar los sistemas y vigilar que no reaparezca el problema
6. Lecciones aprendidas
Revisar qué falló y mejorar el procedimiento
Para ransomware, el temario destaca como medidas preventivas las copias fuera de línea con la regla 3-2-1, la segmentación de redes, el parcheo prioritario de SMB, RDP y VPN, no exponer RDP a internet y un EDR en los equipos. Si quieres profundizar en la parte técnica, tienes la guía de malware y seguridad perimetral y la de copias de seguridad y continuidad.
Corrección sobre el temario. Nuestro material resume el art. 33 como «72 horas» sin más. El texto oficial añade «sin dilación indebida y, de ser posible» y la obligación de justificar el retraso. Conviene saber ambas versiones.
Cómo te lo preguntarán
«¿A quién se notifica una brecha de datos personales?»: a la AEPD, en 72 horas, art. 33 RGPD.
«¿Cuándo hay que informar al afectado?»: cuando el riesgo es alto, art. 34.
«¿Qué organismo responde a incidentes del sector público?»: CCN-CERT, del Centro Criptológico Nacional. El INCIBE-CERT es la referencia para ciudadanos y entidades privadas.
«¿Qué medida del ENS regula los incidentes?»: op.exp.7.
Reglamento (UE) 2016/679 (RGPD), de 27 de abril de 2016, arts. 9, 33 y 34. Texto en el BOE (DOUE-L-2016-80807).
Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. «BOE» núm. 106, de 4 de mayo de 2022. Art. 33 y anexo II (op.exp.7).
Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información. «BOE» núm. 218, de 8 de septiembre de 2018. Arts. 19 y 20.
AEPD, página de notificación de brechas de datos personales (última modificación indicada: 14 de septiembre de 2026).
Temario OpoSERGAS TI, tema 27 (fases de respuesta y medidas anti-ransomware).
Practica seguridad con preguntas tipo examen
Bloque de incidentes y seguridad del temario TI con test y penalización real.
¿En cuánto tiempo hay que notificar un ransomware a la AEPD?
Si afecta a datos personales y es probable que suponga un riesgo para las personas, sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia (art. 33.1 RGPD). Si se supera el plazo, hay que indicar los motivos.
¿Hay que avisar siempre a los pacientes afectados?
No. Solo cuando sea probable un alto riesgo para sus derechos y libertades (art. 34 RGPD), salvo las excepciones del art. 34.3, como medidas de protección previas que hagan los datos ininteligibles.
¿Qué diferencia hay entre notificar a la AEPD y al CCN-CERT?
La AEPD recibe las brechas de datos personales (RGPD). El CCN recibe los incidentes de seguridad con impacto significativo de las entidades del sector público (art. 33.2 del ENS). Son obligaciones distintas y pueden darse a la vez.
¿Qué medida del ENS trata la gestión de incidentes?
La op.exp.7 «Gestión de incidentes», en el anexo II del Real Decreto 311/2022. Exige un proceso integral y, desde la categoría media, soluciones de ventanilla única para notificar al CCN-CERT.
💻
Practica ahora con preguntas reales de TI SERGAS
2.400+ preguntas tipo test · Tests por tema · Simulacros cronometrados · 100% gratis
🍪 Usamos cookies propias y de terceros para analizar el tráfico (Google Analytics), y recoger opiniones (Trustpilot). Puedes aceptar todas, rechazar o consultar el detalle en nuestra
Política de cookies.