L'article 23 de la directive NIS2 impose un calendrier précis de notification des incidents significatifs à l'autorité nationale compétente. En France, c'est l'ANSSI. Ces délais sont stricts et leur non-respect peut entraîner des sanctions.
Qu'est-ce qu'un « incident significatif » ?
Avant de parler des délais, il faut comprendre ce qui déclenche l'obligation de notification. Un incident est considéré « significatif » si il répond à l'un de ces critères :
- Il a causé ou est susceptible de causer de graves perturbations opérationnelles des services ou des pertes financières pour l'entité
- Il a affecté ou est susceptible d'affecter des tiers en causant des dommages matériels, corporels ou moraux considérables
Les décrets d'application français précisent des seuils indicatifs : indisponibilité de services critiques pendant plus de 4 heures, accès non autorisé à plus de 1 000 enregistrements de données personnelles, impact sur des infrastructures tiers.
Les trois étapes de notification
Alerte initiale — sous 24 heures
Quoi : Une notification courte indiquant qu'un incident significatif s'est produit. Pas besoin d'analyse complète à ce stade.
Contenu minimum : Nature de l'incident, moment de détection, services affectés, impact estimé, mesures immédiates prises.
Comment : Via le portail ANSSI (MonEspaceNIS2) ou par email sécurisé si le portail est indisponible.
Rapport intermédiaire — sous 72 heures
Quoi : Une mise à jour avec l'analyse technique de l'incident et les premières conclusions.
Contenu : Évaluation de la gravité et de l'impact, indicateurs de compromission (IOC) si disponibles, statut des mesures de remédiation, besoin d'assistance.
Rapport final — sous 1 mois
Quoi : L'analyse complète post-incident.
Contenu : Description détaillée de l'incident (vecteur d'attaque, chronologie), impact réel sur les services et les données, mesures correctives mises en place, mesures préventives pour éviter la récurrence.
Le piège du délai : quand commence le compte à rebours ?
Le délai de 24h commence à courir à partir du moment où l'entité est informée de l'incident — pas à partir du moment où l'incident se produit. Cette distinction est importante mais peut créer des zones grises.
En pratique, considérez que le délai commence dès qu'une personne dans votre organisation a connaissance de l'incident, même de façon informelle. N'attendez pas d'avoir une analyse complète pour déclencher la notification.
Erreur fréquente : Attendre d'être certain que l'incident est bien significatif avant de notifier. L'ANSSI préfère une notification précoce qui sera éventuellement rétractée plutôt qu'une notification tardive. En cas de doute, notifiez.
Préparez votre procédure avant l'incident
La clé est de ne pas improviser sous stress lors d'un vrai incident. Votre procédure de gestion des incidents doit préciser :
- Qui a l'autorité pour décider qu'un incident est « significatif » ?
- Qui rédige et envoie la notification à l'ANSSI ?
- Où se trouve le modèle de notification ?
- Qui sont les contacts ANSSI (numéro d'urgence CERT-FR : 0800 200 663) ?
- Comment conserver les preuves de l'incident pour le rapport final ?
Les notifications à d'autres autorités
NIS2 n'est pas la seule réglementation qui impose des délais de notification. Si l'incident implique des données personnelles, la notification à la CNIL (RGPD) s'impose également sous 72h. Si votre secteur est régulé (banque, assurance, santé), des obligations sectorielles supplémentaires peuvent s'appliquer. Ces obligations sont cumulatives.