Guide NIS2 · 7 min
Notification d'incident NIS2 : les délais de 24 et 72 heures expliqués
Quand un incident important survient, l'horloge démarre aussitôt, et NIS2 mesure ses délais en heures, pas en jours. Ce guide expose ce qui compte comme incident important, la séquence de notification exacte au titre de l'article 23, et le cas sur lequel les équipes trébuchent le plus : le moment où l'incident d'un fournisseur devient discrètement votre obligation de notification.
Points clés
- Un incident important déclenche une notification échelonnée : alerte précoce sous 24 heures, notification complète sous 72 heures, rapport final sous un mois (art. 23).
- « Important » signifie une grave perturbation opérationnelle ou une perte financière, ou un dommage considérable pour autrui : tout incident ne franchit pas cette barre.
- L'incident d'un fournisseur ou d'un tiers qui perturbe votre service peut démarrer votre horloge de 24 heures : la visibilité sur eux fait partie de la préparation.
- Les notifications vont à votre CSIRT national ou à l'autorité compétente ; vous pourriez aussi devoir informer les destinataires de vos services.
Ce qui compte comme incident « important »
Tout incident n'est pas à notifier. Au titre de l'article 23, un incident est important s'il a causé ou est susceptible de causer une grave perturbation opérationnelle des services ou des pertes financières pour l'entité, ou s'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant un dommage matériel ou immatériel considérable.
La Commission a fixé des seuils plus concrets pour certains fournisseurs numériques dans un règlement d'exécution, mais le principe vaut pour tous les secteurs : jugez selon la gravité et la portée de l'impact, pas selon la nouveauté de l'attaque. En cas de doute, documentez l'appréciation : la décision de ne pas notifier doit être aussi défendable que celle de notifier.
Le calendrier de notification (article 23)
La notification est échelonnée : d'abord un signal rapide, le détail ensuite. Chaque délai court à partir du moment où vous avez connaissance de l'incident important : pas de son commencement.
Sous 24 heures : alerte précoce
Une première alerte à votre CSIRT ou autorité compétente, indiquant si l'incident est soupçonné d'être malveillant ou illicite et s'il pourrait avoir un impact transfrontalier.
Sous 72 heures : notification d'incident
Une mise à jour portant une première évaluation : gravité et impact, ainsi que des indicateurs de compromission lorsque vous en disposez.
Sur demande : rapport intermédiaire
Si le CSIRT ou l'autorité le demande, un point d'avancement sur le traitement de l'incident.
Sous 1 mois après la notification : rapport final
Un compte rendu détaillé : cause profonde et type de menace, les mesures d'atténuation appliquées et en cours, et tout impact transfrontalier.
Si l'incident est toujours en cours au bout d'un mois, vous déposez à la place un rapport d'avancement, le rapport final étant dû dans le mois suivant le traitement de l'incident.
Quand l'incident d'autrui devient le vôtre
L'obligation de notification ne s'arrête pas aux incidents qui naissent dans vos propres systèmes. Si un fournisseur ou prestataire en subit un qui perturbe de façon importante les services que vous fournissez, l'obligation de notifier peut retomber sur vous, et l'horloge de 24 heures démarre quand vous avez connaissance, pas quand le fournisseur finit par vous le dire.
C'est là le point difficile : les fournisseurs ne divulguent pas toujours vite, et une notification qui arrive avec une semaine de retard a déjà consumé votre délai. La préparation repose donc sur une visibilité indépendante : savoir quand un fournisseur critique apparaît sur un site de fuite de rançongiciel, voit ses identifiants divulgués ou s'éteint, sans attendre son e-mail.
Voyez votre score réel et celui de vos fournisseurs
7 jours gratuits · sans carte bancaire · annulez à tout moment
Comment être prêt avant que l'horloge démarre
Tenir un délai de quelques heures est un exercice de préparation, pas d'héroïsme. Avant que quoi que ce soit n'arrive, assurez-vous de pouvoir répondre :
Source : Directive (UE) 2022/2555 (NIS2), article 23 — ainsi que le règlement d'exécution de la Commission sur les seuils d'incidents importants pour certains fournisseurs numériques ; vérifiez le portail de notification de votre CSIRT national pour le canal exact.
Comment norppa.io aide
La partie la plus dure du calendrier est celle que vous ne contrôlez pas : un incident chez un fournisseur dont vous êtes informé trop tard. norppa.io surveille vos fournisseurs en continu (les inscriptions sur les listes de victimes de rançongiciels et les fuites d'identifiants du dark web sont revérifiées environ toutes les six heures, avec une alerte immédiate) de sorte qu'un événement fournisseur vous parvient à temps pour démarrer votre propre horloge.
Et parce que chaque constat est horodaté et relié aux articles NIS2 auxquels il répond, l'historique dont une notification à 72 heures ou un rapport final à un mois a besoin (ce qui a été vu, quand, et ce qui a été fait) est déjà assemblé plutôt que reconstitué sous pression.