Saltar al contenido
03 · SOC Gestionado03 · Managed SOC

Comunicación de Crisis y Notificación RegulatoriaCrisis Communications and Regulatory Notification

Mensajes a partes interesadas y plazos de notificación al regulador.Stakeholder messaging and regulatory notification deadlines.

Notificación regulatoriaRegulatory notification 3.2 · Gestión de Incidentes3.2 · Incident Management

¿Qué es este servicio?What is this service?

Es la gestión de qué se dice, a quién y cuándo durante un incidente: mensajes a clientes, empleados, socios y prensa, y la notificación formal al regulador y a los afectados cuando corresponde, dentro de los plazos que apliquen a la organización.

Managing what is said, to whom and when during an incident: messages to customers, employees, partners and press, plus formal notification to the regulator and to affected individuals where applicable, within the deadlines that apply to the organisation.

¿Para qué se usa?What is it used for?

Sirve porque el daño reputacional casi nunca lo causa el ataque: lo causa el silencio, la contradicción o el comunicado que minimiza y después se desmiente. Y porque los plazos legales corren desde que se tuvo conocimiento, no desde que terminó la investigación. Bajo el RGPD el plazo para notificar a la autoridad de control es de setenta y dos horas, y a esas alturas casi nunca se sabe todo. Hay que saber notificar con información incompleta y completarla después.

It matters because reputational damage is rarely caused by the attack: it is caused by silence, by contradiction, or by the statement that downplays and is later disproved. And because legal clocks start from the moment of awareness, not from the end of the investigation. Under the GDPR the deadline to notify the supervisory authority is seventy-two hours, and by then the organisation almost never knows everything. Notifying with incomplete information and completing it afterwards is a discipline in itself.

Qué beneficios traeBenefits it delivers

  • Un solo relato coherente hacia fuera. Cuando cada área improvisa su versión, la contradicción es el titular.
  • Cumple los plazos regulatorios, que es donde se acumulan las sanciones más evitables del incidente.
  • Protege a la organización de admitir por escrito cosas que la investigación todavía no confirmó.
  • Baja la presión operativa sobre el equipo técnico, que en un incidente pasa media jornada respondiendo preguntas en vez de conteniendo.
  • One coherent external narrative. When every department improvises its own version, the contradiction becomes the headline.
  • Meets regulatory deadlines, where the most avoidable penalties of the whole incident accumulate.
  • Protects the organisation from putting in writing things the investigation has not yet confirmed.
  • Eases operational pressure on the technical team, who otherwise spend half the day answering questions instead of containing.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • En materia de datos personales rige la Ley 8968, con PRODHAB como autoridad. Hay un proyecto de reforma en trámite legislativo que la alinearía al modelo europeo, pero no está aprobado: lo aplicable hoy sigue siendo la 8968.
  • La ley vigente no fija un plazo de notificación equivalente a las setenta y dos horas del RGPD, así que conviene no asumir el modelo europeo por defecto.
  • Las entidades supervisadas por SUGEF, SUGEVAL, SUPEN y SUGESE reportan además al supervisor por sus propios canales, y la clase de datos 56 del perfil tecnológico recoge el histórico de incidentes de seguridad.
  • For personal data, Law 8968 governs, with PRODHAB as the authority. A reform bill is in the legislative pipeline that would align it with the European model, but it has not been approved: what applies today is still Law 8968.
  • The law in force sets no notification deadline equivalent to the GDPR seventy-two hours, so the European model should not be assumed by default.
  • Entities supervised by SUGEF, SUGEVAL, SUPEN and SUGESE additionally report to their supervisor through its own channels, and data class 56 of the technology profile collects the security incident history.

InternacionalInternational

  • El RGPD obliga a notificar la violación de datos personales a la autoridad de control en un plazo máximo de setenta y dos horas desde que se tuvo conocimiento, y a comunicar a los afectados cuando el riesgo para ellos es alto.
  • Las organizaciones que tratan datos de residentes europeos quedan sujetas al RGPD aunque la empresa esté en Costa Rica.
  • NIS2 y DORA imponen sus propios plazos de notificación escalonada a las entidades cubiertas, con un aviso inicial muy temprano y un informe posterior más completo.
  • The GDPR requires notifying a personal data breach to the supervisory authority within a maximum of seventy-two hours of becoming aware, and communicating it to affected individuals where the risk to them is high.
  • Organisations processing data on European residents fall under the GDPR even when the company sits in Costa Rica.
  • NIS2 and DORA impose their own staged notification deadlines on covered entities, with a very early initial warning and a fuller report later.

Requisitos mínimosMinimum requirements

  • Un mapa previo de ante qué reguladores responde la organización y bajo qué plazos. Averiguarlo durante la crisis es tarde.
  • Plantillas de comunicado preparadas en frío, para clientes, empleados y prensa, que solo haya que ajustar.
  • Un único portavoz designado y el resto del equipo instruido en no hablar. La fuga informal es la que más daño hace.
  • Coordinación cerrada entre legal, comunicación y el equipo técnico: lo que se comunica tiene que ser lo que la evidencia sostiene.
  • A prepared map of which regulators the organisation answers to and under which deadlines. Working it out mid-crisis is too late.
  • Statement templates drafted in advance for customers, employees and press, needing only adjustment.
  • A single designated spokesperson, with the rest of the team briefed not to speak. Informal leakage does the most damage.
  • Tight coordination between legal, communications and the technical team: what is communicated has to be what the evidence supports.

Plazo típico de entregaTypical delivery time

2 a 5 semanas 2 to 5 weeks rango habitual del mercado usual market range

Como preparación previa, montar el marco de comunicación de crisis con sus plantillas y su mapa regulatorio lleva de dos a cinco semanas. Durante un incidente real el reloj es otro: las primeras comunicaciones internas salen en horas y las notificaciones regulatorias se rigen por el plazo que aplique, que bajo el RGPD son setenta y dos horas desde el conocimiento.

As advance preparation, building the crisis communication framework with its templates and regulatory map takes two to five weeks. During a live incident the clock is different: the first internal communications go out within hours and regulatory notifications follow whichever deadline applies, which under the GDPR is seventy-two hours from awareness.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

RGPDRGPD
El reglamento europeo de protección de datos. Aplica a quien trate datos de personas en Europa, esté donde esté. The European data protection regulation. It applies to anyone processing data on people in Europe, wherever they are based.
PRODHABPRODHAB
La agencia costarricense de protección de datos, autoridad de la Ley 8968. The Costa Rican data protection agency, the authority under Law 8968.
NotificaciónNotification
El aviso formal al regulador. Distinto de la comunicación a los afectados, que tiene sus propios criterios. The formal notice to the regulator. Distinct from communicating to affected individuals, which has its own criteria.
PortavozSpokesperson
La única persona autorizada a hablar en nombre de la organización durante la crisis. The only person authorised to speak for the organisation during the crisis.
Holding statementHolding statement
Comunicado breve inicial que reconoce el hecho sin dar detalles que aún no están confirmados. A brief initial statement acknowledging the event without giving details that are not yet confirmed.