¿Qué exige este criterio?
El plazo de 24 horas es estricto y vinculante. El procedimiento de notificación debe: (1) definir qué es un incidente 'significativo' (criterios claros para evitar ambigüedad); (2) establecer el canal de notificación al supervisor (formulario, email oficial); (3) definir el contenido mínimo de la notificación inicial; (4) prever notificaciones de seguimiento conforme evoluciona el incidente; (5) contemplar la notificación a usuarios afectados si procede; (6) ser ensayado con simulacros anuales. La Ley 6/2020 art. 23 cataloga el incumplimiento de este plazo como infracción muy grave con sanción hasta 1.500.000 €.

¿Qué hay que revisar al cliente?

• Procedimiento documentado de notificación de incidentes al supervisor (con plazos explícitos).
• Criterios de clasificación de incidentes: ¿cuándo aplica el plazo de 24h?
• Canal de notificación al supervisor habilitado y probado.
• Plantilla de notificación inicial de incidente al supervisor.
• Procedimiento de notificación a usuarios afectados.
• Registro de simulacros realizados (al menos uno al año).

Preguntas clave para las entrevistas

• ¿Hay un procedimiento documentado con el plazo de 24h explícito para notificación al supervisor?
• ¿Qué criterios definen que un incidente es 'significativo' y activa la obligación de notificación?
• ¿Se conoce el canal de notificación al supervisor? ¿Está habilitado y probado?
• ¿Se ha simulado alguna vez el proceso de notificación de incidente?
• ¿Cuánto tiempo tardaríal prestador en detectar y notificar un incidente significativo dentro de las 24h?

¿Por qué es esencial para QERDS y TSA?
El plazo de 24h es el más exigente de todos los requisitos procedimentales de eIDAS. En la práctica, desde que se detecta el incidente hasta que se notifica al supervisor pueden pasar solo horas. Sin un procedimiento probado, el riesgo de incumplir el plazo es muy alto. La sanción de hasta 1.500.000 € hace que este requisito sea crítico.

Evidencia que demostraría conformidad

• Procedimiento de notificación de incidentes con el plazo de 24h explícito.
• Criterios de clasificación de incidentes (tabla de criterios).
• Canal de notificación al supervisor habilitado.
• Plantilla de notificación inicial.
• Registro del último simulacro realizado.