## Capítulo 9 — Comunicación, ética e informes ### Mapa de la lección Lección 09 publicada. Mapa, ejemplo, EX041. ```mermaid flowchart TD N0["Resultados de aprendizaje y conexión"] N1["9.1 A quién hay que informar y cuándo"] N2["9.2 Clientes críticos"] N3["9.3 Comunicación pública"] N4["9.4 Ética"] N5["9.6 Informar a la dirección y al consejo"] N6["9.7 Actividad práctica"] N7["Síntesis del capítulo"] N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 N7 --> EX["Ejemplo resuelto"] EX --> Q["Ejercicio EX041"] ``` ### Dibujo lógico ```mermaid flowchart LR N0["Resultados de aprendizaje y conexión"] N1["9.1 A quién hay que informar y cuándo"] N2["9.2 Clientes críticos"] N3["9.3 Comunicación pública"] N4["9.4 Ética"] N5["9.6 Informar a la dirección y al consejo"] N6["9.7 Actividad práctica"] N7["Síntesis del capítulo"] N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX041"] ``` ```text [Resultados de aprendizaje y conexión] | v [9.1 A quién hay que informar y cuándo] | v [9.2 Clientes críticos] | v [9.3 Comunicación pública] | v [9.4 Ética] | v [9.6 Informar a la dirección y al consejo] | v [9.7 Actividad práctica] | v [Síntesis del capítulo] | v [Ejemplo resuelto] --> [Ejercicio EX041] ``` ### Resultados de aprendizaje y conexión Al terminar este capítulo debería ser capaz de: - identificar todas las obligaciones de notificación que puede desencadenar un incidente (legales, regulatorias, contractuales, de seguros) y gestionar sus relojes; - redactar una declaración provisional y una sesión informativa para un cliente crítico que sean exactas, útiles y honestas sobre la incertidumbre; - aplicar principios éticos a la comunicación: veracidad, proporcionalidad, equidad con las personas y corrección de los errores; - informar de los incidentes y del estado del programa a la dirección y al consejo de una forma que respalde las decisiones. Los capítulos 1–8 construyeron y ejercitaron el programa hacia dentro. Este capítulo mira hacia fuera. ### 9.1 A quién hay que informar y cuándo Un incidente en un servicio esencial puede poner en marcha varios relojes a la vez. Con la NIS2, por ejemplo, las entidades deben enviar al CSIRT nacional o a la autoridad competente una **alerta temprana en 24 horas** desde que tienen conocimiento de un incidente significativo, una **notificación del incidente en 72 horas** y un **informe final en el plazo de un mes** desde la notificación ([Directive (EU) 2022/2555, Article 23](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)). Otras jurisdicciones, sectores y contratos fijan desencadenantes y plazos distintos; las brechas de datos personales pueden acarrear obligaciones separadas; las aseguradoras suelen exigir un aviso rápido. Un coordinador prepara de antemano un **registro de notificaciones**: cada obligación, su desencadenante, destinatario, plazo, contenido, responsable y canal. Dos detalles deciden si cumple un reloj: **qué lo pone en marcha** (la detección, el conocimiento, la determinación de que el incidente es «significativo») y **quién registra ese momento**. Acuerde ambos antes de los incidentes y registre la hora de inicio en UTC en el registro de decisiones. ### 9.2 Clientes críticos Los hospitales, las residencias, los pacientes de diálisis, otras empresas de servicios y los servicios de emergencia pueden necesitar actuar antes que el público. Sus necesidades son prácticas: qué está afectado, qué deben hacer, durante cuánto tiempo, cuándo llega la próxima actualización y a quién llamar. Los acuerdos con ellos (capítulo 2) suelen prometer una llamada en un plazo corto. Mantenga probados sus contactos y mantenga el mensaje libre de detalles técnicos. El acuerdo del Kestrel General Hospital promete una llamada en las dos horas siguientes a cualquier evento que pueda afectar al suministro o a la calidad; los contactos son la guardia de instalaciones y, fuera de horario, el responsable de turno del centro. ### 9.3 Comunicación pública Una **declaración provisional** es un mensaje breve y factual que se emite pronto, antes de conocer el panorama completo. Dice lo que se sabe, lo que está haciendo la organización, lo que debe hacer el público (si debe hacer algo) y cuándo habrá más información. No especula sobre la causa ni la atribución, no minimiza («sin impacto») sin evidencia y no revela detalles útiles para un atacante. La redacta el responsable de comunicación; la aprueba el directivo que rinde cuentas (capítulo 6); operaciones confirma que cualquier afirmación sobre la seguridad («el agua es apta para beber») es cierta. ### 9.4 Ética La comunicación sobre los servicios esenciales tiene peso para la seguridad pública. Cuatro principios: - **Veracidad**: no afirme nunca como hecho lo que es un supuesto; no niegue nunca lo que sabe. - **Proporcionalidad**: detalle suficiente para que las personas se protejan, no más; evite causar alarma innecesaria y evite ayudar a los atacantes. - **Equidad con las personas**: no nombre ni culpe públicamente a un empleado o a un proveedor con información incompleta; el error humano suele ser un problema del sistema. - **Corrección**: cuando una declaración resulte errónea, corríjala con prontitud y de forma visible. Internamente, una cultura de notificación **sin culpa** (las personas comunican errores y casi accidentes sin miedo) da al coordinador las señales tempranas de las que depende la comunicación externa. ### 9.5 Ejemplo resuelto: los relojes del sábado (sintético) El sábado 13 de junio de 2026, a las 21:40 UTC, el responsable del incidente determina que un acceso no autorizado a la red de supervisión es un incidente significativo. Las normas ficticias de Kestrel Vale reproducen el patrón de 24 h / 72 h / un mes de la NIS2; el acuerdo del hospital exige una llamada en 2 horas; la póliza de seguro exige un aviso en 48 horas. El martes por la tarde, la coordinadora comprueba el registro con el **Lab 9**. **Lab 9** (guárdelo como `lab09.py` y ejecútelo con `python3 lab09.py`): ```python # Lab 9 - notification clocks after an incident (offline, standard library only; synthetic obligations) # The deadlines are ILLUSTRATIVE for the fictional Kestrel Vale jurisdiction; real duties come from your own # law, regulator and contracts. The 24 h / 72 h / one-month pattern mirrors EU NIS2 Article 23. from datetime import datetime, timedelta, timezone UTC = timezone.utc aware = datetime(2026, 6, 13, 21, 40, tzinfo=UTC) # incident judged significant (Saturday evening) OBLIGATIONS = [ # name, hours after awareness, recipient ("Critical-customer call (contract)", 2, "Kestrel General Hospital"), ("Regulator early warning", 24, "Kestrel Vale CSIRT"), ("Insurer notice (policy)", 48, "insurer"), ("Regulator incident notification", 72, "Kestrel Vale CSIRT"), ("Regulator final report", 24*30, "Kestrel Vale CSIRT"), # 'one month' modelled as 30 days ] SENT = {"Critical-customer call (contract)": datetime(2026, 6, 13, 23, 55, tzinfo=UTC), "Regulator early warning": datetime(2026, 6, 14, 18, 5, tzinfo=UTC), "Regulator incident notification": datetime(2026, 6, 16, 22, 30, tzinfo=UTC)} NOW = datetime(2026, 6, 16, 23, 0, tzinfo=UTC) for name, h, who in OBLIGATIONS: due = aware + timedelta(hours=h) sent = SENT.get(name) if sent: delta = (sent - due).total_seconds() / 3600 state = f"sent {sent:%a %d %H:%M}Z, {'LATE by' if delta > 0 else 'early by'} {abs(delta):.2f} h" else: state = "OVERDUE - not sent" if NOW > due else f"open, {(due - NOW).total_seconds()/3600:.1f} h left" print(f"{name:35s} due {due:%a %d %b %H:%M}Z {state}") ``` Salida esperada (Python 3.13.5): ```text Critical-customer call (contract) due Sat 13 Jun 23:40Z sent Sat 13 23:55Z, LATE by 0.25 h Regulator early warning due Sun 14 Jun 21:40Z sent Sun 14 18:05Z, early by 3.58 h Insurer notice (policy) due Mon 15 Jun 21:40Z OVERDUE - not sent Regulator incident notification due Tue 16 Jun 21:40Z sent Tue 16 22:30Z, LATE by 0.83 h Regulator final report due Mon 13 Jul 21:40Z open, 646.7 h left ``` Surgen tres problemas. La llamada al hospital llegó 15 minutos tarde: la coordinadora estaba al teléfono con el oficial de guardia del regulador y el responsable de comunicación creía que ella llamaría al hospital; es el defecto de los dos R del capítulo 6 en la vida real. Nunca se avisó a la aseguradora: nadie tenía la póliza en el registro de notificaciones. La notificación de 72 horas al regulador llegó 50 minutos tarde porque la aprobación del consejero delegado se pidió a las 21:00 para un plazo de las 21:40. La alerta temprana, preparada a partir de una plantilla, salió con antelación. La coordinadora registra estos hechos en el registro de decisiones sin culpar a nadie, avisa de inmediato a la aseguradora con una explicación y añade dos acciones para la revisión: incluir la obligación del seguro en el registro con un responsable y fijar plazos internos para las aprobaciones (por ejemplo, «aprobación solicitada a más tardar 6 horas antes del plazo externo»). El laboratorio calcula los relojes; no decide qué cuenta como «tener conocimiento», que sigue siendo un juicio documentado. ### 9.6 Informar a la dirección y al consejo Un informe breve de incidente para la dirección abarca: qué ocurrió (hechos, con el grado de confianza etiquetado); el impacto sobre el servicio y las personas; lo que se ha hecho y decidido; las obligaciones cumplidas e incumplidas; los riesgos actuales; las decisiones necesarias. Los informes del programa (mensuales o trimestrales) usan las métricas que impulsan decisiones del capítulo 5 y los principales riesgos clasificados por consecuencia del capítulo 4. Para el incidente del sábado, el informe a la dirección mostraría que la llamada al hospital llegó quince minutos tarde, que no se avisó a la aseguradora y que la notificación de 72 horas fue tardía, con las causas encontradas en lugar de nombres. Terminaría con las dos acciones para el registro y los plazos de aprobación, y pediría a la dirección que confirme ambas. Manténgalo en una página y adjunte los cálculos de los relojes, para que un lector pueda comprobar cada hora sin fiarse del resumen. ### 9.7 Actividad práctica Redacte un registro de notificaciones para una organización que conozca, con al menos cinco obligaciones. Para cada una, escriba qué pone en marcha el reloj y quién lo registra. Marque toda obligación cuya fuente no haya verificado. Incluya los contratos y los seguros además de la ley, ya que el incidente del sábado mostró que el plazo de aviso de una aseguradora puede incumplirse simplemente porque nadie lo había anotado. Para cada obligación, nombre un responsable, fije un plazo interno de aprobación anterior al externo y registre el documento de origen con su cláusula. Compruebe si dos obligaciones se ponen en marcha en el mismo momento; si es así, acuerde quién registra ese momento y en qué zona horaria. Revise el registro cada vez que se renueve un contrato o una póliza. ### 9.8 Errores comunes y límites - Obligaciones de notificación descubiertas durante el incidente. - Ningún plazo interno para las aprobaciones, de modo que se incumple el plazo externo. - Declaraciones provisionales que prometen «sin impacto» antes de que exista evidencia. - Nombrar prematuramente a personas o proveedores. - Las obligaciones legales reales varían; confirme las suyas con su asesoría jurídica y con su regulador. Los relojes de este libro son ilustrativos. - Dejar una llamada, como la sesión informativa al hospital, en manos de dos personas que dan por hecho que la hará la otra. - Poner en marcha cada reloj desde un momento distinto porque nadie acordó qué cuenta como tener conocimiento. - Olvidar las obligaciones contractuales y de seguros porque el registro solo enumera reguladores. ### Ejercicios — capítulo 9 **EX041 — Lea el Lab 9.** *Objetivo:* interpretar los relojes de notificación. *Insumos:* la salida del Lab 9. *Pasos:* para cada obligación, indicar el estado y la causa raíz de cualquier incumplimiento usando 9.5. *Evidencia esperada:* cinco filas. *Rúbrica:* 3 = hospital tarde por 0,25 h (responsabilidad poco clara), alerta temprana cumplida, aseguradora vencida (no figuraba en el registro), notificación tarde por 0,83 h (aprobación tardía), informe final abierto con 646,7 h; las causas raíz son de proceso, no de personas; 2 = solo los estados; 1 = parcial; 0 = nada. **EX042 — Redacte una declaración provisional.** *Objetivo:* comunicar pronto y con honestidad. *Insumos:* la empresa investiga un acceso no autorizado a sistemas que supervisan el tratamiento del agua; el personal de operaciones gestiona dos estaciones en manual; los análisis de calidad del agua son normales. *Pasos:* redactar una declaración de menos de 120 palabras. *Evidencia esperada:* la declaración. *Rúbrica:* 3 = solo hechos, lo que se está haciendo, lo que deben hacer los clientes (nada salvo que se les indique; cómo llegarán las actualizaciones), hora de la próxima actualización, sin especulación ni detalles útiles para un atacante, afirmación de seguridad solo tal como la confirme operaciones; 2 = especulación menor; 1 = «sin impacto, todo bien»; 0 = nada. **EX043 — Informe al hospital.** *Objetivo:* comunicación con un cliente crítico. *Insumos:* el mismo incidente; la presión de la zona este puede bajar hasta 4 horas mañana durante una conmutación controlada. *Pasos:* escribir el guion de la llamada. *Evidencia esperada:* el guion. *Rúbrica:* 3 = efecto en los términos del hospital, horario, seguridad del agua, lo que el hospital puede necesitar hacer (agua almacenada, prioridades), próxima actualización, contacto 24 h; pregunta qué necesita el hospital; 2 = ninguna pregunta al hospital; 1 = detalles técnicos; 0 = nada. **EX044 — Dilema ético.** *Objetivo:* aplicar los principios. *Insumos:* un periodista pregunta si el ingeniero de un proveedor causó el incidente; la evidencia interna sugiere que estuvo implicado el portátil robado del proveedor, sin confirmar. *Pasos:* redactar la respuesta y justificarla. *Evidencia esperada:* respuesta y razonamiento. *Rúbrica:* 3 = se niega a atribuir o nombrar con información sin confirmar, explica que la investigación sigue abierta, se compromete a actualizar, el razonamiento cita la veracidad y la equidad; 2 = respuesta correcta sin razonamiento; 1 = nombra al proveedor; 0 = nada. **EX045 — Arregle el proceso de aprobación.** *Objetivo:* evitar las notificaciones tardías. *Insumos:* 9.5. *Pasos:* diseñar plazos internos y delegaciones para los tres relojes externos. *Evidencia esperada:* el diseño. *Rúbrica:* 3 = plazos internos antes de cada plazo externo, aprobadores suplentes con nombre cuando el consejero delegado no está disponible, plantillas preparadas, inicio del reloj registrado en UTC por el responsable del incidente, aseguradora añadida al registro; 2 = solo plazos; 1 = «ser más rápidos»; 0 = nada. ### Síntesis del capítulo Los incidentes ponen en marcha varios relojes a la vez; conózcalos de antemano, acuerde qué pone en marcha cada uno y quién lo registra, y fije plazos internos de aprobación anteriores a los externos. Los clientes críticos necesitan mensajes prácticos y tempranos; el público necesita declaraciones provisionales veraces y proporcionadas. Comunique sin culpar ni especular, corrija los errores de forma visible e informe a la dirección con hechos, impacto, decisiones y obligaciones. ### Siga estudiando — capítulo 09 de 12 [← Capítulo 08](#ch-08) · [Índice de capítulos del curso](../SUBJECTS.md) · [Capítulo 10 →](#ch-10) Continúe con la siguiente lección escrita. ## Worked answers **EX041.** Llamada al hospital: vencía el sábado a las 23:40Z, se hizo a las 23:55Z, 0,25 h tarde; causa: dos personas creían que llamaría la otra (responsabilidad duplicada). Alerta temprana: vencía el domingo a las 21:40Z, se envió a las 18:05Z, 3,58 h de antelación; la plantilla funcionó. Aseguradora: vencía el lunes a las 21:40Z; vencida, no enviada; causa: la obligación no figuraba en el registro. Notificación del incidente: vencía el martes a las 21:40Z, se envió a las 22:30Z, 0,83 h tarde; causa: la aprobación se pidió 40 minutos antes del plazo. Informe final: abierto, quedan 646,7 h. Todas las causas son lagunas de proceso. **EX042.** «Kestrel Water está investigando un acceso no autorizado a sistemas informáticos que nos ayudan a supervisar el tratamiento del agua. Como precaución, nuestros operadores gestionan en manual dos estaciones de bombeo. Los análisis de calidad del agua son normales y el agua del grifo sigue siendo apta para beber. No necesita hacer nada. Trabajamos con las autoridades competentes y actualizaremos esta página y nuestras redes sociales antes de las 18:00 de hoy, o antes si algo cambia». **EX043.** «Le habla [nombre], coordinadora de guardia de Kestrel Water. Mañana, entre las 09:00 y las 13:00, conmutaremos de forma controlada las estaciones que abastecen a su centro. El agua sigue siendo apta para beber. La presión puede bajar en la zona este hasta cuatro horas; el suministro no debería interrumpirse. Por favor, revisen sus disposiciones de agua almacenada para los servicios de esterilización y la diálisis. ¿Hay algo en su centro que necesite presión plena en esa franja, o un horario que les vendría peor? Volveré a llamar mañana a las 08:00 para confirmarlo; nuestro número 24 horas es [número]». **EX044.** «Estamos investigando con las autoridades competentes y no sería correcto especular sobre la causa ni sobre ninguna persona o empresa mientras continúa ese trabajo. Compartiremos lo que podamos cuando podamos confirmarlo». Razonamiento: la información no está confirmada (veracidad); nombrar a un proveedor o a una persona podría perjudicarles injustamente y puede ser erróneo (equidad); nos comprometemos a actualizar (corrección y transparencia). **EX045.** Plazos internos: llamada al hospital, la responsable (la coordinadora) llama en los 60 minutos siguientes al inicio del reloj; alerta temprana, borrador a las 12 h y aprobación solicitada antes de las 18 h; notificación del incidente, borrador a las 48 h y aprobación solicitada antes de las 60 h; aseguradora, añadida al registro y avisada junto con la alerta temprana. Delegación: si el consejero delegado no está disponible, aprueba el director de operaciones (COO) y, después, el director del área de operaciones. Plantillas preparadas para cada caso. El responsable del incidente registra el inicio del reloj en UTC en el registro de decisiones.