¿Qué exige este criterio?
Procedimiento end-to-end de gestión de incidentes específico del servicio cualificado: detección, clasificación (criticidad, tipo), respuesta inicial y contención, investigación y resolución, comunicación interna y externa, post-mortem y lecciones aprendidas. Plantillas y simulacros periódicos.

¿Qué hay que revisar al cliente?

• Procedimiento documentado y vigente.
• Categorías y criticidades definidas.
• Plantillas de respuesta y comunicación.
• Simulacros realizados y resultados.
• Histórico de incidentes con análisis post-mortem.
• Integración con notificación al supervisor (24h eIDAS).

Preguntas clave para las entrevistas

• ¿Cuándo se realizó el último simulacro de incidente del servicio?
• ¿Cómo se distingue un incidente de servicio cualificado de uno corporativo?
• ¿Quién es responsable de coordinar la respuesta?
• ¿Cómo se asegura la notificación al supervisor en 24h?

¿Por qué es esencial para QERDS y TSA?
Un procedimiento improvisado durante un incidente provoca decisiones erróneas, daño mayor y problemas regulatorios. La notificación tardía es infracción muy grave (Ley 6/2020 art. 23). El procedimiento debe estar ensayado y vivo.

Evidencia que demostraría conformidad

• Procedimiento documentado.
• Plantillas de respuesta.
• Actas de simulacros.
• Histórico de incidentes con post-mortems.