Notification d'incident NIS2 : que faut-il déclarer à 24 heures, 72 heures et 1 mois ?
·
Par 
Bertrand Bucelle · 5 min de lecture
En bref
- L'article 23 de NIS2 impose trois échéances pour tout incident important : une alerte précoce dans les 24 heures suivant la prise de connaissance, une notification complète dans les 72 heures avec une première évaluation de gravité, et un rapport final dans le mois. L'autorité peut demander des rapports intermédiaires, et les clients du service doivent être informés lorsque l'incident ou une cybermenace importante les concerne. En France, le destinataire est l'ANSSI.
Qu'est-ce qu'un « incident important » ?
Tout ne se notifie pas. L'article 23, paragraphe 3, qualifie d'important l'incident qui :
- a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité ; ou
- a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.
Un rançongiciel qui chiffre la production, une indisponibilité prolongée d'un service essentiel, une compromission qui expose les données de clients entrent dans la définition. Un poste de travail isolé réinstallé en une heure, non. La qualification doit être faite vite, par une personne désignée, selon des critères écrits à l'avance : c'est le premier test de votre procédure. Dans le doute sur le seuil, notifier est l'option sûre, l'alerte précoce étant précisément conçue pour être émise en situation d'incertitude.
Les trois échéances, contenu par contenu
| Échéance | Document | Contenu attendu |
|---|---|---|
| 24 h après prise de connaissance | Alerte précoce | Signalement de l'incident ; préciser si une origine illicite ou malveillante est suspectée et si un impact transfrontalier est possible |
| 72 h | Notification d'incident | Mise à jour de l'alerte : première évaluation de l'incident (gravité, impact), indicateurs de compromission disponibles |
| Sur demande de l'autorité | Rapport intermédiaire | État d'avancement de la gestion de l'incident |
| 1 mois après la notification | Rapport final | Description détaillée (gravité, impact), type de menace et cause profonde probable, mesures d'atténuation appliquées et en cours, impact transfrontalier le cas échéant |
Si l'incident est toujours en cours à l'échéance du rapport final, l'entité remet un rapport d'avancement, puis le rapport final dans le mois qui suit le traitement effectif de l'incident. L'alerte précoce n'est pas un aveu : elle déclenche aussi l'assistance du CSIRT, qui doit répondre dans les 24 heures avec des premières orientations.
Qui prévenir en plus de l'autorité ?
- Les destinataires de vos services : lorsqu'une cybermenace importante est susceptible de les affecter, l'article 23, paragraphe 2, impose de leur communiquer les mesures et remèdes qu'ils peuvent appliquer, et le cas échéant la menace elle-même.
- La CNIL et les personnes concernées si l'incident emporte une violation de données personnelles : notification CNIL sous 72 heures (article 33 du RGPD) et information des personnes en cas de risque élevé (article 34). Les deux horloges tournent en parallèle, pas l'une après l'autre.
- Vos clients régulés si vous êtes fournisseur : vos contrats prévoient désormais des clauses de notification, souvent plus courtes que la loi (voir l'article sous-traitants).
- L'assureur cyber, selon la police, sous peine de déchéance de garantie.
Le dispositif interne qui rend les délais tenables
Vingt-quatre heures, c'est court un samedi soir. Cinq éléments font la différence :
- Un décideur désigné (et son suppléant) habilité à qualifier l'incident et à déclencher la notification, joignable en astreinte.
- Des critères de qualification écrits avec des exemples propres à votre activité, revus annuellement.
- Des modèles pré-remplis d'alerte précoce et de notification : en crise, on complète un formulaire, on ne le rédige pas.
- Une main courante horodatée dès la détection : elle alimente les trois échéances et protège le dirigeant (voir sa responsabilité).
- Un exercice annuel incluant la notification à blanc : c'est l'exigence de gestion de crise de l'article 21, et le seul moyen de savoir si la chaîne tient en conditions réelles.
Les cinq erreurs qui coûtent cher
- Attendre d'avoir tout compris : l'alerte précoce se fait sur la base des éléments disponibles ; le détail vient à 72 heures et au rapport final.
- Confondre incident NIS2 et violation RGPD : les périmètres se recouvrent sans se confondre ; un sabotage sans données personnelles se notifie à l'ANSSI, pas à la CNIL, et inversement une fuite de fichier RH peut ne pas être un incident NIS2 important.
- Notifier sans informer la direction : l'organe de direction supervise la gestion des risques ; le tenir à l'écart fragilise sa position juridique.
- Négliger les clients : l'obligation d'information des destinataires est autonome et son oubli se paie en contentieux contractuel.
- Ne pas clôturer : le rapport final à 1 mois est celui qu'on oublie ; mettez une échéance automatique dans l'outil de gestion d'incident.
Passez à l’action
Pilotez votre conformité avec Data Comply One : logiciel tout-en-un et experts DPO/RSSI externalisés.
Découvrir le logiciel NIS2 →Tester ma conformité NIS2 →Sources
- Directive (UE) 2022/2555 (NIS2), article 23 (et article 30 sur la notification volontaire), EUR-Lex.
- Règlement (UE) 2016/679 (RGPD), articles 33 et 34, EUR-Lex.
- ANSSI, MesServicesCyber et CERT-FR : assistance et signalement des incidents.