Resumen

  • La Communications Regulation and Digital Hub Development Agency (Amendment) Act 2023, promulgada el 2 de marzo de 2023, obliga a notificar a ComReg los incidentes de seguridad de impacto significativo «sin demora indebida» y no fija ni una hora ni un día.
  • Los plazos de 24 horas, 72 horas y 30 días naturales no vienen de la ley: vienen de una decisión del regulador, la D08/24, publicada 297 días después de que la obligación entrara en vigor.
  • Callar tiene dos precios: hasta 5.000 € por la vía penal sumaria y un techo administrativo del mayor entre 5 millones de euros y el 10 % de la facturación irlandesa, que solo muerde tras la confirmación de la High Court.
  • El único dato que un tercero puede comprobar cada año es un recuento agregado: 15 incidentes en 2024 frente a 16 en 2023, mientras las horas de usuario perdidas subieron de 22.818.885 a 32.574.831.

El 9 de junio de 2023, un operador irlandés de redes o servicios de comunicaciones electrónicas que sufriera un incidente de seguridad con impacto significativo quedó obligado a contárselo a alguien. Ese alguien no es el National Cyber Security Centre. Es la Commission for Communications Regulation, ComReg. El texto promulgado de la Ley n.º 4 de 2023 lo dice con claridad en su sección 11(1): notificación al regulador «sin demora indebida». La sección 11(4) añade la obligación de ir informando sobre la resolución y la reparación. La sección 12(1) obliga además a avisar a los usuarios potencialmente afectados de las medidas de protección o remedios disponibles y, cuando proceda, a describirles la amenaza.

Esa es toda la cronología que contiene la ley. «Sin demora indebida» es una expresión, no un reloj. Y aquí es donde la cadena irlandesa se vuelve interesante: el reloj llegó después, y no lo puso el legislador. La decisión D08/24, publicada con ComReg 24/23 y fechada el 2 de abril de 2024, fija los umbrales, la información exigible y las etapas: un informe inicial lo antes posible y dentro de las primeras 24 horas, una actualización a las 72 horas si el incidente sigue sin resolverse, un aviso de resolución y un informe completo con análisis de causa raíz en un plazo de 30 días naturales desde el informe de incidente significativo. El párrafo 140 de la misma decisión ancla esa ventana de 24 horas al momento en que el operador detecta el problema, no al momento en que lo sufre.

Entre la entrada en vigor y ese documento median 297 días. Es aritmética sobre dos fechas publicadas —el 9 de junio de 2023 que fija el artículo 2 del S.I. n.º 299 de 2023, hecho el 6 de junio de 2023, y el 2 de abril de 2024 de la portada de ComReg 24/23—, y describe bien el carácter de la cadena: primero el deber, mucho después el cronómetro. La propia ley había tardado 99 días en pasar del texto promulgado a la vigencia, y el último texto impreso del Bill 2022, el n.º 86c registra el paso por ambas cámaras el 22 de febrero de 2023; el instrumento de inicio registró la publicación del aviso el 13 de junio de 2023.

El precio de callar tampoco es una cifra única. La sección 11(8)(a) convierte el incumplimiento del deber de notificación en delito, castigable por condena sumaria con una multa de clase A. La cuantía no está en la ley de comunicaciones; está en la sección 3 de la Fines Act 2010, que define la multa de clase A como una multa que no supera los 5.000 €. Es un máximo legal para un procedimiento sumario, no una tarifa fija ni una sanción observada en ningún caso concreto.

La otra tarifa es la administrativa, y es de otro orden. Las secciones 11(7) y 60(1)(a) conectan los deberes de la sección 11 con la Parte 7; las secciones 90(2) y 91(1)(a)-(b) habilitan direcciones de reparación y sanciones económicas; la sección 94(5)(a) sitúa el techo para una persona no natural en el mayor entre 5 millones de euros y el 10 % de la facturación irlandesa del ejercicio que termina en el año inmediatamente anterior al del último incumplimiento. La sección 92(1) exige la confirmación de la High Court conforme a la sección 109 antes de que la sanción administrativa surta efecto, y la sección 90(3) impide perseguir penalmente lo que ya se ha declarado como incumplimiento adjudicado. La sección 63(3) permite la vía administrativa cuando ComReg opta por no ir por la sumaria o tras una remisión sin proceso penal. Las directrices de adjudicación 25/03a describen el circuito completo —referencia por un funcionario autorizado con consentimiento de la Comisión, un menú de sanciones que incluye cesación o reparación, multas, devoluciones y compensaciones, y publicación de las adjudicaciones confirmadas con excepciones y tachaduras— y confirman en su párrafo 8.2 que nada surte efecto sin la High Court.

Entre 5.000 € y 5 millones de euros hay un factor de 1.000. Es la distancia entre dos límites legales, no una multa observada, y resume el diseño: la vía rápida y barata castiga el silencio con un importe que cualquier operador grande paga sin pestañear; la vía cara exige construir un expediente, obtener confirmación judicial y publicarlo.

Y el nombre que falta. En el texto promulgado que leí para este artículo no aparece el National Cyber Security Centre. La sección 5 define un CSIRT como una unidad departamental de respuesta a incidentes, y la sección 16(1)(a) permite a ComReg consultar, cooperar, intercambiar información con ella y obtener su asistencia. Nada más en ese documento le asigna funciones generales. La propia página CSIRT-IE del NCSC describe el equipo como el cuerpo dentro del NCSC que asiste a sus constituyentes en la respuesta a incidentes a nivel nacional, principalmente organismos públicos y proveedores de infraestructura crítica, y enumera seguimiento, avisos, respuesta, análisis de riesgo y participación en la red de CSIRT. Es una descripción organizativa sin fecha que no cita la ley de 2023 como fuente de esas responsabilidades.

Queda el dato que sí se puede comprobar desde fuera. La sección 11(9) exige un resumen anual de las notificaciones recibidas y de las acciones adoptadas, dirigido al ministro, a la Comisión Europea y a ENISA. La página Network Incidents de ComReg confirma ese resumen, identifica ComReg 24/23 y la D08/24 como el marco de reporte y remite a los operadores al portal de Data.ComReg. Las cifras publicadas viven en los informes anuales. El informe de 2023, ComReg 24/53, registra 16 incidentes notificados en 2023 frente a 12 en 2022, y 22.818.885 horas de usuario perdidas. El informe de 2024, ComReg 25/42R, fechado el 1 de julio de 2025, registra 15 incidentes en 2024 frente a 16 en 2023, y 32.574.831 horas de usuario perdidas.

La diferencia entre esas dos cifras de horas es de 9.755.946, un 43 % más. Es mi aritmética sobre dos totales del editor, y conviene no estirarla: los informes no dicen que el total de horas de usuario se extraiga solo de los incidentes notificados a ComReg, así que dividir horas entre incidentes produciría un número que ningún documento sostiene. Lo que sí sostiene el material es la dirección: un incidente menos y muchísimas más horas perdidas.

El marco tampoco está quieto. La consulta 25/84, fechada el 5 de diciembre de 2025, propone cambios en las plantillas de reporte relacionadas con el clima, en la frecuencia y los tiempos de reporte y en la evaluación geográfica de la significancia, a la luz de la experiencia con la tormenta Éowyn. Son propuestas: no establecí la disposición final, y la portada del documento se etiqueta a la vez como FINAL, lo que no convierte una consulta en una decisión operativa.

Dos límites concretos, acotados a lo que leí. La página Network Incidents no muestra las presentaciones individuales de cada operador ni las marcas de recepción, y no accedí al portal autenticado de proveedores; el enlace al portal no prueba que lo presentado sea público. Y en el conjunto revisado —la ley, la D08/24, las directrices de adjudicación y los dos informes anuales— no establecí ningún procesamiento, sanción ni adjudicación confirmada por la High Court contra un operador con nombre propio por la sección 11.

Hay una cifra que contradice el texto legal y merece quedar dicha con su fuente: la página de la vacante de jefe de la Unidad de Adjudicación de ComReg describe sanciones administrativas de hasta 10 millones de euros o el 10 % de la facturación. El texto promulgado dice 5 millones. No establecí la razón de la discrepancia y no uso esa cifra como techo operativo.

Lo que este artículo añade a lo ya publicado en esta misma ficha es concreto. Las dos piezas anteriores sobre este objeto de directorio —una del 21 de octubre de 2026 sobre un flujo de trabajo del gobierno británico donde un solo comentario ejecutaba código, y otra del 10 de octubre de 2026 sobre el plan suizo de una ley de ciberseguridad independiente— no prueban la cadena irlandesa: el deber, su destinatario, el reloj fabricado por el regulador, el precio partido y el retorno agregado que un tercero puede leer. Eso es lo que se prueba aquí.

Lo que cambiaría la clasificación también es concreto. Un procesamiento por la sección 11, una adjudicación confirmada y publicada, o un informe anual que desglosara operadores y tiempos de notificación convertirían el recuento agregado en una rendición de cuentas verificable. Mientras eso no exista, Irlanda tiene el instrumento, tiene el precio y tiene el contador; lo que no tiene, en el material que leí, es una forma de saber quién llegó tarde.

La ficha de directorio del National Cyber Security Centre recoge el objeto sobre el que se escribió esta pieza.