Notification d'incidents NIS2 : les délais de 24 heures, 72 heures et 1 mois expliqués
Sous NIS2, la notification d'incidents n'est ni optionnelle ni flexible. Lors d'un incident significatif, vous avez 24 heures pour votre notification initiale — pas 24 heures ouvrées. Vingt-quatre heures à partir du moment où vous en avez connaissance.
Les trois étapes de notification
Calendrier de Notification des Incidents NIS2
Alerte Précoce
Notifiez l'autorité compétente (CSIRT/ANC) dans les 24 heures suivant la prise de connaissance d'un incident significatif.
Notification d'Incident
Soumettez une notification détaillée dans les 72 heures avec une première évaluation de la gravité, de l'impact et des indicateurs de compromission.
Rapport Final
Remettez un rapport final complet dans un délai d'un mois couvrant l'analyse des causes, les mesures prises et l'impact transfrontalier.
Alerte Précoce
Notifiez l'autorité compétente (CSIRT/ANC) dans les 24 heures suivant la prise de connaissance d'un incident significatif.
Notification d'Incident
Soumettez une notification détaillée dans les 72 heures avec une première évaluation de la gravité, de l'impact et des indicateurs de compromission.
Rapport Final
Remettez un rapport final complet dans un délai d'un mois couvrant l'analyse des causes, les mesures prises et l'impact transfrontalier.
Étape 1 : Alerte précoce — dans les 24 heures
- Si l'incident est probablement causé par des actes malveillants
- S'il pourrait avoir un impact transfrontalier
Étape 2 : Notification — dans les 72 heures
- Évaluation initiale de la gravité et de l'impact
- Indicateurs de compromission si disponibles
Étape 3 : Rapport final — dans 1 mois
- Description détaillée, analyse des causes, mesures correctives
Qu'est-ce qu'un "incident significatif" ?
Cet incident est-il significatif au sens de la NIS2 ?
L'incident a-t-il causé ou pourrait-il causer une perturbation significative de vos services ou un préjudice financier ?
L'incident a-t-il affecté ou pourrait-il affecter d'autres organisations ou personnes ?
Il ne s'agit probablement pas d'un incident significatif — surveillez et documentez à des fins internes.
Ceci constitue un incident significatif — lancez immédiatement les procédures de notification NIS2.
L'incident a-t-il entraîné une perte de données significative ou une violation de la confidentialité ?
L'incident a-t-il causé ou pourrait-il causer une perturbation significative de vos services ou un préjudice financier ?
L'incident a-t-il affecté ou pourrait-il affecter d'autres organisations ou personnes ?
L'incident a-t-il entraîné une perte de données significative ou une violation de la confidentialité ?
Il ne s'agit probablement pas d'un incident significatif — surveillez et documentez à des fins internes.
Ceci constitue un incident significatif — lancez immédiatement les procédures de notification NIS2.
En cas de doute : signalez. Il vaut mieux notifier inutilement que manquer le délai de 24 heures.
À qui notifier ?
| Pays | Autorité compétente | CSIRT |
|---|---|---|
| France | ANSSI | CERT-FR |
| Belgique | CCB | CERT.be |
| Allemagne | BSI | CERT-Bund |
| Pays-Bas | RDI (prévu) | NCSC-NL |
| Italie | ACN | CSIRT Italia |
| Espagne | CCN-CERT / INCIBE | CCN-CERT / INCIBE-CERT |
| Pologne | NASK (prévu) | CERT Polska |
Construire votre processus de notification
| Temps | Action |
|---|---|
| T+0 | Incident détecté — le compteur démarre |
| T+1h | Première évaluation : potentiellement significatif ? |
| T+4h | Informer la direction |
| T+24h | DÉLAI : Soumettre l'alerte précoce |
| T+72h | DÉLAI : Soumettre la notification |
| T+1 mois | DÉLAI : Soumettre le rapport final |
Questions fréquentes
« Et le RGPD ? »
Obligations distinctes. La notification NIS2 ne remplace pas la notification RGPD et inversement. Coordonnez les deux.
Commencez par un quickscan gratuit
Notre quickscan NIS2 gratuit inclut une évaluation de votre préparation à la notification d'incidents.
À lire aussi
Une autre question ?
Les réponses sont générées à partir de nos articles et ne constituent pas un avis juridique. N'entrez pas de données personnelles ou confidentielles.