Notifications : 24 h, 72 h, rapport final
Maîtriser le calendrier précis des obligations de notification d'incident significatif imposées par NIS 2.
À retenir
- L'alerte précoce doit être envoyée sous 24 h après connaissance de l'incident significatif.
- La notification d'incident détaillée suit sous 72 h avec une première évaluation de gravité.
- Le rapport final est dû sous 1 mois, avec un rapport d'avancement si l'incident perdure.
- L'obligation RGPD de notification à la CNIL (art. 33, 72 h) s'applique en parallèle de NIS 2.
Un calendrier de notification en trois temps
NIS 2 impose aux entités essentielles et importantes un processus de notification structuré en plusieurs échéances lorsqu'un incident significatif survient — un incident ayant un impact opérationnel grave sur la fourniture du service ou des pertes financières ou humaines conséquentes.
Alerte précoce sous 24 heures
Dès qu'une entité a connaissance d'un incident significatif, elle doit adresser une alerte précoce à l'autorité nationale compétente (en France, l'ANSSI) ou au CSIRT désigné, dans les 24 heures. Cette alerte indique si l'incident est présumé résulter d'un acte malveillant ou pourrait avoir un impact transfrontière, sans attendre de disposer d'une analyse complète.
Point clé
l'alerte précoce n'exige pas une compréhension exhaustive de l'incident ; l'objectif est la rapidité de signalement, quitte à préciser l'analyse dans les étapes suivantes.
Notification d'incident sous 72 heures
Dans un second temps, l'entité transmet une notification d'incident dans les 72 heures suivant la connaissance de l'incident. Ce document met à jour les informations de l'alerte précoce et fournit une première évaluation de l'incident, incluant sa gravité, son impact et, lorsqu'ils sont disponibles, les indicateurs de compromission.
Sur le terrain
pour un data center, ce délai de 72 heures implique de disposer d'une astreinte capable de qualifier rapidement un incident (coupure électrique majeure, intrusion physique avérée, compromission du système de contrôle d'accès) et de documenter les faits en temps réel, car reconstituer une chronologie a posteriori est bien plus difficile.
Rapport final sous un mois
Un rapport final est dû au plus tard un mois après la notification d'incident. Il détaille une description approfondie de l'incident, sa gravité et son impact réels, le type de menace ou la cause probable, les mesures d'atténuation appliquées et, le cas échéant, l'impact transfrontière. Si l'incident est toujours en cours à cette échéance, un rapport d'avancement est transmis à la place, suivi du rapport final dans le mois suivant sa résolution.
Attention
ce triptyque 24 h / 72 h / 1 mois est cumulatif et non substituable : transmettre directement un rapport final complet après 72 heures sans avoir émis l'alerte précoce constitue un manquement à la temporalité exigée par le texte.
Articulation avec l'article 33 du RGPD
Lorsque l'incident significatif implique également une violation de données à caractère personnel, l'obligation de notification à la CNIL au titre de l'article 33 du RGPD, elle aussi fixée à 72 heures dès que le responsable de traitement a connaissance de la violation, s'applique en parallèle et non en substitution de NIS 2. Les deux régimes ont des destinataires différents (autorité NIS 2 / CSIRT d'un côté, CNIL de l'autre) et des contenus de notification distincts, même si le délai de 72 heures est commun aux deux textes, ce qui permet en pratique de mutualiser une partie du travail de qualification de l'incident.
Astuce
construisez un modèle de fiche d'incident unique couvrant à la fois les champs attendus par NIS 2 et par l'article 33 du RGPD ; cela évite de dupliquer l'analyse sous pression lorsque les deux obligations se déclenchent simultanément.