Notification d'incidents NIS2 : procédure complete 24h / 72h / 1 mois
L'article 23 de la directive NIS2 impose un schema de notification des incidents significatifs en trois temps. Voici la procédure détaillée, les seuils de declenchement et les bonnes pratiques pour se préparer.
L'avis conjoint CEPD 4/2026 du 18 mars 2026 recommande un point d'entree unique pour harmoniser les notifications entre l'article 33 du RGPD, l'article 23 de NIS2 et DORA.
Le schema de notification en 3 temps
| Echeance | Action | Contenu attendu |
|---|---|---|
| 24 heures | Alerte precoce | Déclaration initiale, suspicion d'origine malveillante, impact transfrontalier potentiel |
| 72 heures | Notification d'incident | Évaluation de la gravite, indicateurs de compromission (IoC), mesures prises ou envisagees |
| 1 mois | Rapport final | Description détaillée, type de menace, causes profondes, mesures correctives, lecons tirees |
Qu'est-ce qu'un incident significatif ?
Le seuil declenchant l'obligation de notification est l'incident significatif, défini comme un incident causant ou susceptible de causer une perturbation opérationnelle grave des services ou une perte financière importante pour l'entité, ou affectant d'autres personnes physiques ou morales en causant un dommage materiel, corporel ou moral considerable.
A qui notifier ?
La notification est adressee au CSIRT national (en France, le CERT-FR de l'ANSSI) ou a l'autorite competente. Le CERT-FR coordonne la réponse, partage les IoC avec les autres CSIRT sectoriels et alerte les entités susceptibles d'etre touchees.
Construire son plan de notification
- Identifier les interlocuteurs : qui notifie, a qui, via quel canal
- Définir les seuils internes : quand considerer qu'un incident est significatif
- Préparer les templates : formulaires pre-remplis pour les 3 étapes
- Tester la procédure : exercices de crise reguliers
- Documenter les incidents : registre des incidents et suivi des notifications
Pour la démarche globale, voir notre guide de mise en conformité et le guide complet NIS2. Le ReCyF structure ces exigences dans son pilier Défense.
Sources
- Directive (UE) 2022/2555, article 23
- Avis conjoint CEPD 4/2026, 18 mars 2026
- ReCyF, pilier Défense, ANSSI, mars 2026