NIS2 notification d'incident et RGPD : deux délais, un seul événement

Samedi, 02 h 10. Le serveur de fichiers de votre client, un groupe de cliniques lyonnais, commence à chiffrer ses données. À 8 h, vous savez trois choses : l'attaquant est dans le réseau, des dossiers de patients se trouvent sur ce serveur, et le compte à rebours a démarré au moment où vous en avez eu connaissance. Une alerte précoce de 24 heures est due au titre de NIS2. Une notification RGPD à la CNIL, sous 72 heures, l'est probablement aussi. Deux autorités, deux formats, et aucune des deux notifications ne remplace l'autre.

C'est le problème de la double notification. Il tombe d'abord sur le MSP, parce que le MSP détient en général les journaux.

NIS2 et RGPD : deux régimes, un seul incident

NIS2 (directive (UE) 2022/2555) protège la continuité et la sécurité des services. Le RGPD (règlement (UE) 2016/679) protège les personnes dont les données personnelles sont exposées. Un même incident peut violer les deux.

L'article 23 de NIS2 prévoit trois étapes pour un incident important : une alerte précoce dans les 24 heures suivant la connaissance de l'incident, une notification d'incident dans les 72 heures, et un rapport final au plus tard un mois après cette notification. L'article 33 du RGPD exige une notification à l'autorité de contrôle dans les 72 heures après avoir pris connaissance d'une violation de données personnelles, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes. L'article 34 ajoute l'information des personnes concernées en cas de risque élevé.

Les deux délais démarrent souvent au même moment. Ils n'expirent pas au même moment. L'alerte précoce NIS2 de 24 heures arrive à échéance la première, elle part donc la première.

Une seule notification ne couvre jamais les deux

Une déclaration auprès de l'autorité cyber ne vous libère pas de l'obligation RGPD. Une notification à la CNIL ne déclenche ni n'arrête la cascade NIS2. Les destinataires, les critères de déclenchement et le contenu diffèrent. La notification NIS2 porte sur l'impact opérationnel et les indicateurs techniques. La notification RGPD porte sur les catégories de données, le nombre de personnes concernées et les conséquences probables pour elles.

NIS2 reconnaît ce chevauchement. Ses considérants appellent à la coopération entre les autorités compétentes et les autorités de protection des données, et l'article 35 traite des violations impliquant des données personnelles. Cette coopération se joue entre autorités. Elle n'allège pas la charge de votre client.

La chronologie d'un incident qui touche des données personnelles

Traitez les 72 premières heures comme une seule opération à deux sorties.

Concrètement, trois réflexes :

1. Envoyer d'abord l'alerte précoce NIS2, même incomplète. C'est un signal, pas une analyse finie. Dites ce que vous savez, signalez ce que vous ignorez.
2. Consigner les faits une seule fois. Chronologie, systèmes touchés, catégories de données, nombre estimé de personnes, mesures de confinement. Les deux notifications réutilisent ce dossier.
3. Qualifier deux fois. « Incident important » au sens de NIS2 et « risque pour les personnes » au sens du RGPD sont deux critères distincts. Un incident peut passer l'un et pas l'autre.

Pour le volet NIS2 en détail, voir NIS2 : les délais de notification de 24 h, 72 h et un mois.

La France : le RGPD s'applique, NIS2 pas encore en droit national

En France, il n'existe pas encore de loi nationale de transposition en vigueur. Le projet de loi relatif à la résilience a été retiré de l'ordre du jour de l'Assemblée nationale le 6 octobre 2026, la veille du débat. Il n'y a donc, à ce jour, ni obligation légale nationale de notification NIS2 auprès de l'ANSSI pour vos clients français, ni calendrier ferme. Pour le contexte, voir où en sont les trois pays sans loi.

Le RGPD, lui, s'applique pleinement. La notification à la CNIL sous 72 heures est une obligation ferme aujourd'hui, et c'est elle qui structure la réponse à incident d'un client français. Un client qui fournit une entité située dans un pays où NIS2 est transposé peut en outre se voir imposer, par contrat, des délais de type NIS2, parfois plus courts.

Pour les clients ayant des établissements à l'étranger, la notification varie selon le pays :

• Allemagne : portail du BSI (§ 32 BSIG), notification RGPD à l'autorité de protection des données compétente.
• Pays-Bas : NCSC comme CSIRT, notification RGPD à l'Autoriteit Persoonsgegevens.
• Italie : ACN via CSIRT Italia (article 25 du D.Lgs. 138/2024), notification RGPD au Garante.
• Pologne : CSIRT compétent (NASK, GOV ou MON), notification RGPD à l'UODO.
• Belgique (Wallonie) et Espagne : vérifiez le statut national avant d'arrêter le processus.

Un guichet unique est proposé, pas en vigueur

La Commission européenne propose, dans le Digital Omnibus, un point d'entrée unique pour les notifications d'incidents, exploité par l'ENISA, via un nouvel article 23 bis de NIS2. Selon les informations parues en juillet 2026, la notification RGPD passerait au seuil de « risque élevé » et le délai de 72 à 96 heures. Les négociations entre Parlement et Conseil étaient alors en cours. Le guichet s'appliquerait 18 mois après l'entrée en vigueur, prolongeable à 24.

Ne bâtissez pas un processus client sur une proposition. Construisez pour le droit applicable et gardez un processus modulaire : un nouveau portail doit changer une étape, pas toutes.

Ce qu'il faut mettre en place avant l'incident

On reproche aux MSP la lenteur des notifications, même quand l'obligation incombe au client. La direction du client reste responsable. Votre rôle est de rendre l'obligation exécutable.

• Une fiche de décision d'une page : qui décide « important », qui décide « violation de données », qui valide en quelques heures.
• Les coordonnées pré-remplies de l'ANSSI ou du CSIRT et de la CNIL, ainsi que des autorités étrangères pour les clients internationaux.
• Un dossier d'incident partagé dont les champs correspondent aux deux notifications.
• Une règle : l'alerte précoce part à l'échéance des 24 heures, quel que soit l'état de l'analyse.
• Une justification écrite chaque fois que l'équipe décide de ne pas notifier. Les autorités la demandent.

On est ici dans le champ de l'article 21, paragraphe 2, point b. Notre guide sur la gestion des incidents NIS2 montre pourquoi ce processus fait échouer plus d'audits que la notification elle-même.

Mesurez l'écart avant l'appel du samedi

Si vous ne pouvez pas dire aujourd'hui qui dépose l'alerte précoce et qui dépose la notification RGPD pour chaque client, vous avez trouvé l'écart. Lancez le Quick Scan NIS2 pour voir où se situent la gestion d'incident et la capacité de notification d'un client par rapport aux mesures de l'article 21.

Notez ensuite les deux délais, nommez les deux responsables et testez le processus une fois avant que ce soit réel. Pour la vue d'ensemble côté MSP, voir NIS2 pour les MSP et MSSP.