Déclaration des incidents NIS2 : les délais de 24 heures, 72 heures et un mois

L'article 23 de NIS2 fixe un calendrier strict de déclaration des incidents importants. Le délai court à partir du moment où vous avez connaissance de l'incident, et non lorsque vous avez fini de l'analyser.

Qu'est-ce qu'un incident important ?

Un incident est important s'il a causé ou est susceptible de causer une perturbation opérationnelle grave de vos services ou des pertes financières pour votre organisation, ou s'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels ou moraux considérables (art. 23, paragraphe 3).

Pour les infrastructures numériques et les fournisseurs de services gérés, le règlement d'exécution (UE) 2024/2690 ajoute des seuils concrets, par exemple une perte financière directe supérieure à 500 000 € ou à 5 % du chiffre d'affaires annuel, le montant le plus faible étant retenu.

Le calendrier

• Dans les 24 heures : une alerte précoce, indiquant si l'incident est suspecté d'être malveillant et s'il pourrait avoir un impact transfrontière.
• Dans les 72 heures : une notification d'incident avec une évaluation initiale, la gravité et l'impact, ainsi que les indicateurs de compromission lorsqu'ils sont disponibles.
• Sur demande : rapports intermédiaires.
• Dans un délai d'un mois après la notification : un rapport final comprenant une description détaillée, la cause profonde, les mesures d'atténuation et tout impact transfrontière.

Pourquoi la plupart des organisations manquent la première échéance

Vingt-quatre heures ne suffisent pas pour déterminer qui décide si un incident est important, où se trouve le formulaire de déclaration et qui est habilité à l'envoyer. Ces décisions doivent être prises à l'avance.

• Désignez qui décide du caractère important et qui effectue la déclaration, avec des suppléants.
• Conservez sur papier le canal de déclaration de l'autorité et une fiche de contacts, au cas où la messagerie serait compromise.
• Convenez d'un canal de communication hors bande pour l'équipe de réponse.
• Obligez contractuellement les fournisseurs qui hébergent ou exploitent vos systèmes à vous prévenir rapidement.
• Entraînez-vous une fois par an avec un exercice sur table.

Des données à caractère personnel aussi ?

Si l'incident concerne également des données à caractère personnel, le RGPD exige une notification distincte à l'autorité de protection des données dans les 72 heures (art. 33 RGPD). Prévoyez les deux.

Notre kit NIS2 comprend une procédure de réponse aux incidents et de déclaration avec le test du caractère important, des modèles de rapport pour chaque échéance et un scénario d'exercice sur table.