Test de 15 preguntas sobre gestión de incidentes de seguridad: brechas de datos (RGPD), respuesta del Esquema Nacional de Seguridad con el CCN-CERT y operadores esenciales. Sirve a la oposición de Técnico de Sistemas TI del SERGAS (programa del DOG 126/2021; comprueba allí el epígrafe).

Lo que tienes que saber antes de empezar

  • Notificación a la autoridad de control en 72 horas desde la constancia, salvo riesgo improbable (art. 33.1).
  • Con alto riesgo, también se comunica a los interesados (art. 34).
  • ENS (RD 311/2022, art. 33.2): impacto significativo, se notifica al CCN; la medida es op.exp.7.
  • El encargado del tratamiento no notifica a la autoridad: avisa al responsable sin dilación indebida (art. 33.2 RGPD).
  • Toda violación se documenta, también la que no se notifica (art. 33.5 RGPD).
  • Los operadores de servicios esenciales notifican a la autoridad competente a través del CSIRT de referencia (art. 19.1 RDL 12/2018).
ObligaciónNormaDestinatario
Brecha de datosArt. 33 RGPDAEPD
Alto riesgoArt. 34 RGPDInteresados
Incidente significativoArt. 33.2 RD 311/2022CCN

Test de gestión de incidentes de seguridad: CCN-CERT, brechas y ransomware

El examen de TI de la OPE 2025, resuelto
Las preguntas reales con la plantilla provisional y su explicación, gratis con una cuenta.
Ver el examen resuelto →

  1. Según el art. 33.1 RGPD, ¿en qué plazo se notifica una violación de seguridad a la autoridad de control, salvo riesgo improbable?

    A) Sin dilación indebida y, si es posible, en 24 horas desde que se produjo la violación.

    B) En 72 horas, si es posible, desde que se tuvo constancia.

    C) En 30 días naturales desde su detección por el responsable.

    D) En 5 días hábiles, sin prórroga.

  2. Las 72 horas del art. 33.1 RGPD se cuentan desde que:

    A) el atacante inició la intrusión en los sistemas.

    B) se cierra el informe forense.

    C) la autoridad pide información.

    D) el responsable tuvo constancia de ella.

  3. Un encargado del tratamiento conoce una violación de datos que trata por cuenta del responsable. Según el art. 33.2 RGPD, debe:

    A) notificarla sin dilación indebida al responsable.

    B) comunicarla él mismo a los interesados en 72 horas.

    C) esperar a que el responsable le pida un informe.

    D) notificarla a la autoridad de control en lugar del responsable.

  4. ¿Qué forma parte del contenido mínimo de la notificación a la autoridad de control (art. 33.3 RGPD)?

    A) La lista nominal de todos los afectados con sus datos.

    B) El código fuente del malware usado.

    C) Las medidas adoptadas o propuestas.

    D) La sanción que el responsable estima que le corresponde.

  5. Según el art. 33.2 del RD 311/2022 (ENS), las entidades del sector público notifican al CCN los incidentes con:

    A) impacto significativo en los sistemas de información.

    B) cualquier evento de seguridad registrado.

    C) afectación a más de 500 interesados al mes.

    D) coste de recuperación superior al fijado por cada administración.

  6. En el anexo II del ENS, ¿cómo se titula la medida op.exp.6, la primera barrera frente a un ransomware?

    A) Gestión de cambios

    B) Registro de la actividad

    C) Gestión de incidentes

    D) Protección frente a código dañino

  7. Según el art. 19.1 del RDL 12/2018, los operadores de servicios esenciales notifican los incidentes con efectos perturbadores significativos:

    A) a la AEPD, mediante el formulario de su sede electrónica.

    B) solo al Ministerio del Interior.

    C) a la autoridad competente, vía el CSIRT de referencia.

    D) al CCN, sin la autoridad competente.

  8. Un trabajador informa de un incidente de seguridad. Según el art. 20.2 del RDL 12/2018:

    A) puede ser sancionado si el informe llega tarde.

    B) no puede sufrir consecuencias adversas, salvo mala fe.

    C) responde personalmente de los daños que cause el incidente.

    D) solo está protegido si informa por escrito en 24 horas.

  9. Con probable alto riesgo para las personas, ¿en qué caso NO hay que comunicar la violación a los interesados (art. 34.3 RGPD)?

    A) Si ya se notificó a la autoridad de control, con acuse de recibo.

    B) Si los datos estaban cifrados e ininteligibles para terceros.

    C) Si los afectados son menos de cien.

    D) Si la brecha ocurrió en un encargado.

  10. Se notifica una brecha a la AEPD a las 90 horas de tener constancia. Según el art. 33.1 RGPD:

    A) debe indicar los motivos de la dilación.

    B) la obligación ya no es exigible.

    C) la AEPD debe rechazarla por extemporánea.

    D) hay que comunicarla además a los interesados en 24 horas.

  11. A las 72 horas aún no se conocen todos los detalles de la brecha. Según el art. 33.4 RGPD, el responsable puede:

    A) aplazar toda la notificación hasta tener el informe completo.

    B) notificar solo si la autoridad se lo pide.

    C) facilitar la información de manera gradual.

    D) sustituir la notificación por su registro interno.

  12. Una brecha supone probablemente riesgo, pero no alto riesgo. El responsable debe:

    A) solo documentarla internamente.

    B) comunicarla a los interesados, no a la autoridad.

    C) notificarla a la autoridad y comunicarla siempre a los interesados.

    D) notificarla a la autoridad; comunicarla a los interesados exige alto riesgo.

  13. Un ransomware cifra las historias clínicas de un hospital del SERGAS, con impacto significativo en sus sistemas. ¿A qué autoridades hay que notificarlo?

    A) Solo a la AEPD, por tratarse de datos personales de pacientes.

    B) Solo al CCN, por ser entidad pública.

    C) A la AEPD (art. 33 RGPD) y al CCN (art. 33.2 ENS).

    D) A ninguna mientras dure el análisis forense.

  14. Una empresa de mantenimiento, encargada del tratamiento del SERGAS, descubre que un técnico envió por error un fichero de pacientes a un tercero. ¿Qué debe hacer?

    A) Notificarlo a la AEPD en nombre propio en un plazo de 72 horas.

    B) Esperar 72 horas por si el tercero lo devuelve.

    C) Comunicarlo a los pacientes.

    D) Avisar sin dilación indebida al SERGAS, el responsable.

  15. Se pierde un pendrive con datos personales cifrados con clave robusta no comprometida, y el responsable concluye que es improbable un riesgo. Según el art. 33 RGPD:

    A) no notifica a la AEPD, pero sí documenta la violación.

    B) debe notificarla a la AEPD en todo caso.

    C) no tiene que dejar constancia alguna.

    D) debe comunicarla a los interesados aunque no notifique a la AEPD.

Soluciones razonadas

  1. Respuesta: B. Art. 33.1 RGPD. Dice «a más tardar 72 horas después de que haya tenido constancia de ella».

  2. Respuesta: D. Art. 33.1 RGPD; AEPD. Cuenta desde la constancia, no desde el ataque ni el fin del análisis.

  3. Respuesta: A. Art. 33.2 RGPD. El encargado avisa «al responsable del tratamiento». Lo demás es del responsable.

  4. Respuesta: C. Art. 33.3.d RGPD. El art. 33.3 pide naturaleza y cifras aproximadas, contacto del DPD, consecuencias y medidas adoptadas o propuestas; no lista nominal.

  5. Respuesta: A. Art. 33.2 RD 311/2022. Se limita a incidentes de «impacto significativo» en la seguridad de los sistemas. No hay umbrales de afectados ni de coste.

  6. Respuesta: D. Anexo II RD 311/2022. op.exp.6 es «Protección frente a código dañino». Gestión de cambios es op.exp.5; gestión de incidentes, op.exp.7; registro de la actividad, op.exp.8.

  7. Respuesta: C. Art. 19.1 RDL 12/2018. El texto dice «a la autoridad competente, a través del CSIRT de referencia». La AEPD recibe brechas de datos, otra obligación.

  8. Respuesta: B. Art. 20.2 RDL 12/2018. Quien informa no sufre consecuencias adversas, salvo mala fe acreditada.

  9. Respuesta: B. Art. 34.3.a RGPD. La excepción exige medidas técnicas y organizativas aplicadas a los datos, como el cifrado. No hay umbral de personas.

  10. Respuesta: A. Art. 33.1 RGPD, última frase. «Deberá ir acompañada de indicación de los motivos de la dilación». El retraso no extingue la obligación.

  11. Respuesta: C. Art. 33.4 RGPD. La información puede darse «de manera gradual». El registro interno es otra obligación (art. 33.5).

  12. Respuesta: D. Arts. 33.1 y 34.1 RGPD. El art. 33.1 obliga a notificar salvo riesgo improbable; el art. 34.1 exige comunicar a los interesados solo con alto riesgo. Documentar no sustituye a notificar.

  13. Respuesta: C. Art. 33 RGPD y art. 33.2 RD 311/2022. La brecha de datos va a la AEPD y el incidente significativo al CCN, sin esperar al fin del análisis; aparte, a los pacientes se les comunica si hay alto riesgo (art. 34).

  14. Respuesta: D. Art. 33.2 RGPD. El encargado avisa al responsable sin dilación indebida; es el responsable quien cuenta las 72 horas ante la AEPD.

  15. Respuesta: A. Art. 33.1 y 33.5 RGPD. El art. 33.1 exime de notificar si el riesgo es improbable, pero el art. 33.5 obliga a documentar «cualquier violación». Comunicar a interesados exige alto riesgo.

Cómo corregir tu resultado

Cada acierto suma 1 y cada error resta un cuarto de acierto; en blanco no puntúa. Nota neta = aciertos − errores × 0,25. Ejemplo: 10 aciertos y 3 errores dan 10 − 0,75 = 9,25 sobre 15.

Preguntas frecuentes

¿El encargado del tratamiento notifica la brecha a la AEPD?

No. El encargado avisa al responsable sin dilación indebida (art. 33.2 RGPD) y es el responsable quien notifica a la autoridad de control.

¿Qué pasa si la notificación a la AEPD se hace pasadas las 72 horas?

Sigue siendo obligatoria, pero debe indicar los motivos de la dilación (art. 33.1 RGPD). Si falta información, puede darse de manera gradual (art. 33.4).

¿Sigue vigente el Real Decreto-ley 12/2018?

Sí. El texto consolidado del BOE, con última actualización publicada el 30/03/2022, no recoge su derogación a 05/11/2026. Sus arts. 19 y 20 regulan la notificación de incidentes y la protección del notificante.

Referencias

Sigue practicando

Repasa oposición de Técnico de Sistemas TI, el artículo sobre ransomware y notificación a la AEPD y el resumen del ENS. Y practica más preguntas de esta materia en OpoSERGAS.