El Decreto 685-22 establece obligaciones de notificación de incidentes con plazos que se cuentan en horas, no en días. La pregunta que de verdad importa no es "¿tenemos una política de incidentes?" — es "¿alguien en mi organización sabría, en la madrugada de un sábado, exactamente a quién notificar y en qué formato?".
Lo que un plan real necesita
- Un canal de detección claro (quién se entera primero, y qué hace con esa información)
- Una cronología que se documenta mientras el incidente está vivo, no reconstruida de memoria después
- Un cierre con causa raíz real — un incidente cerrado sin saber por qué pasó es un cierre cosmético, no una lección aprendida
La parte que casi nadie prepara
La decisión de notificar o no al regulador no debería tomarse por primera vez en medio de la crisis. Vale la pena que tu vCISO — interno o externo — tenga ya mapeado qué escenarios probablemente disparan esa obligación, antes de que ocurra uno de verdad.
¿Te fue útil este artículo?