Artículo 21.- Plazos de reporte. Para garantizar el cumplimiento del deber de reporte, tratándose de los ciberataques e incidentes de ciberseguridad con efecto significativo, los organismos e instituciones del sector deberán informar al CSIRT-DN conforme a los siguientes plazos:
a) Dentro del plazo máximo de tres horas contadas desde que se tiene conocimiento de la ocurrencia del ciberataque o incidente de ciberseguridad que tiene impactos significativos, se deberá enviar una alerta temprana sobre la ocurrencia del evento.
b) Dentro del plazo máximo de setenta y dos horas, se deberá enviar una actualización de la información contemplada en el literal a), que incluya una evaluación inicial del incidente, su gravedad e impacto, así como indicadores de compromiso, si estuvieran disponibles. Sin embargo, en caso de que la institución afectada fuera un operador de importancia vital de la defensa y este viera afectada la prestación de los servicios esenciales a causa del incidente, la actualización de la información deberá entregarse al CSIRT-DN en un plazo máximo de 24 horas contadas desde que haya tenido conocimiento del incidente.
c) Dentro del plazo máximo de quince días corridos contados desde el envío de la alerta temprana contemplada en el literal a), se deberá enviar un informe final en el que se recojan al menos los siguientes elementos:
i. Una descripción detallada del incidente, incluyendo su gravedad e impacto.
ii. El tipo de amenaza o causa principal que probablemente haya provocado el incidente.
iii. Las medidas de mitigación aplicadas y en curso.
iv. Si procede, las repercusiones transfronterizas del incidente.
Sin perjuicio de lo anterior, tanto la Agencia, el Ministerio de Defensa Nacional y/o el CSIRT-DN, podrán requerir las actualizaciones pertinentes sobre la situación objeto del reporte.
El CSIRT-DN reportará a la Agencia los ciberataques e incidentes de ciberseguridad de efecto significativo, que le hayan reportado los organismos e instituciones del sector, salvo en los casos previstos en el artículo 19 del reglamento.