NIS2 y Divulgación Coordinada: salir de la zona gris

8 Min. de lectura

Quien descubre y reporta una vulnerabilidad de seguridad se mueve, en muchos casos, hasta hoy en una zona legal gris. Esto está cambiando ahora: con la implementación de NIS2, los investigadores de seguridad de buena fe obtienen una vía oficial y coordinada para reportar vulnerabilidades, en lugar de permanecer en la incertidumbre sobre posibles acciones legales. Portugal ha clarificado recientemente este marco con su implementación de NIS2, mostrando el rumbo que tomará Europa.

Relacionado:NIS2 en fase de ejecución  /  Type Confusion en el V8 de Chrome

Por qué la zona gris es un problema de seguridad

Una vulnerabilidad descubierta solo aporta seguridad cuando se reporta y se soluciona. Mientras los investigadores teman ser sancionados por el mero hecho de notificarla, algunos hallazgos permanecerán en silencio o, en el peor de los casos, acabarán en un mercado gris. La zona gris, por tanto, no protege al operador, sino que retiene conocimiento útil y prolonga el tiempo en que una vulnerabilidad puede ser explotada sin ser detectada.

La Coordinated Vulnerability Disclosure actúa precisamente aquí. En lugar de un riesgo difuso, existe un procedimiento claro: el investigador notifica a través de un canal oficial, una entidad coordinadora recibe el reporte, el operador dispone de tiempo para solucionarlo y solo después se hace público. NIS2 eleva este enfoque de una práctica voluntaria a un mecanismo obligatorio.

¿Qué es la Coordinated Vulnerability Disclosure? La Coordinated Vulnerability Disclosure es un proceso regulado en el que un investigador de seguridad reporta una vulnerabilidad descubierta a través de un canal oficial. Una entidad coordinadora actúa como intermediaria entre el informante y el operador, de modo que la vulnerabilidad se soluciona antes de que los detalles se hagan públicos.

Qué regula concretamente la aplicación de Portugal

Portugal transpuso la NIS2 a su derecho nacional a finales de 2025, entrando en vigor en abril de 2026. La vía de notificación coordinada para vulnerabilidades recae en el organismo nacional de ciberseguridad y su equipo de respuesta. Así, existe un destinatario designado que recibe las notificaciones y acompaña el proceso hasta su resolución. Para los investigadores de buena fe, esto crea un camino definido en lugar de un vuelo a ciegas legal.

Esta ampliación es la segunda parte de la historia. Con la vía de notificación, también crece el círculo de organizaciones que deben aceptar notificaciones de vulnerabilidades y cumplir con los requisitos de seguridad. Desde fabricantes medianos hasta municipios por encima de un determinado tamaño, de repente se ven afectados actores que hasta ahora se consideraban fuera del ámbito regulado. Quienes formen parte de este grupo necesitarán un manejo claro de las notificaciones entrantes.

Qué implica esto para investigadores y operadores

Para los investigadores de seguridad, la situación mejora notablemente. Un canal oficial con una entidad coordinadora reduce el riesgo de que una notificación de buena fe sea malinterpretada como un ataque. Esto no sustituye una coordinación cuidadosa en cada caso, pero reemplaza el miedo difuso por un procedimiento comprensible. Quien notifica dentro del marco establecido, se encuentra en una posición mucho más sólida que antes.

Para los operadores, la lógica se invierte. Una notificación de vulnerabilidad entrante no es un agravio, sino una advertencia gratuita. Las organizaciones que ahora quedan sujetas a las normas deberían crear un punto de entrada definido para estas notificaciones: una dirección, un proceso y un plazo de respuesta. Quienes ignoren o rechacen las notificaciones, desperdician el verdadero valor del procedimiento coordinado y quedarán en peor posición en caso de incidente.

La línea más amplia detrás de esto es europea. La NIS2 establece el mismo mecanismo básico en todos los Estados miembros, aunque la implementación nacional varíe. Para investigadores y empresas que trabajan a nivel transfronterizo, esto crea un marco más predecible, en el que notificar una vulnerabilidad se convierte en la norma y no en un riesgo.

Preguntas frecuentes

¿Protege la NIS2 a los hackers éticos de la persecución penal?

La NIS2 establece una vía oficial y coordinada de notificación, proporcionando un marco legal seguro para las notificaciones de buena fe. Esto no es un cheque en blanco para intrusiones arbitrarias, pero quien notifique una vulnerabilidad de manera responsable a través del canal previsto, se encontrará en una posición legal mucho más sólida que en la anterior zona gris.

¿Quién recibe las notificaciones?

Por lo general, el organismo nacional de ciberseguridad y su equipo de respuesta. En Portugal, es la entidad central con su CERT, que coordina entre el notificador y el operador, acompañando el proceso hasta su resolución.

¿Qué cambia para las empresas que ahora quedan sujetas a la NIS2?

Deben poder recibir notificaciones de vulnerabilidades de manera ordenada y cumplir con los requisitos de seguridad. En la práctica, esto significa crear un punto de entrada definido, un proceso y un plazo de respuesta para las notificaciones entrantes, en lugar de tratarlas como una molestia.

¿La vía de notificación solo es válida en Portugal?

No. La NIS2 establece la vía de notificación coordinada en toda Europa; Portugal es solo un ejemplo concreto de implementación nacional. Los detalles varían según el país, pero el mecanismo básico es el mismo en todos.

¿Sustituye el canal oficial un programa de recompensas por errores?

No, ambos se complementan. Un programa de recompensas por errores regula los incentivos y las reglas del juego dentro de una organización, mientras que la vía de notificación coordinada según la NIS2 es el marco superior, establecido por el Estado, que también entra en vigor cuando un operador no dispone de su propio programa.

Fuente de la imagen: generada por IA (junio de 2026), certificado C2PA incluido en la imagen