Documenter un incident ne consiste pas seulement à remplir un formulaire après coup. L’autorité attend une trace exploitable, datée, cohérente, capable de raconter les faits sans flou ni embellissement.
Quand une équipe découvre une alerte un mardi matin, la pression monte vite, surtout si les témoins sont dispersés et que les preuves techniques risquent de disparaître. Le bon réflexe consiste alors à poser une chronologie solide, puis à préparer le rapport et l’analyse qui permettront de justifier chaque décision.
A retenir :
- Chronologie datée et vérifiable
- Preuves conservées sans altération
- Détails factuels, sans interprétation hâtive
- Rôles de décision clairement assignés
- Rapport final prêt pour l’autorité
Qualifier l’incident avant d’écrire le rapport
Le passage du constat brut au document utile commence ici, car toute autorité cherche d’abord à comprendre ce qui a été qualifié. Selon l’ANSSI, le premier réflexe doit être de cadrer l’événement avant de le commenter, afin d’éviter un rapport confus ou incomplet.
Définir l’importance de l’incident
Cette étape prolonge le cadrage initial, mais elle exige un tri plus fin entre incident mineur et événement important. Selon la directive NIS2, la notification s’active pour les incidents importants, notamment quand la perturbation devient grave ou coûteuse.
Dans la pratique, un incident peut exiger trois démarches parallèles, chacune avec son délai et sa logique. Le responsable qui les mélange perd souvent du temps, et parfois des droits contractuels.
À retenir pour le circuit :
- Autorité compétente avec canal dédié
- Assureur avec délai contractuel distinct
- Plainte éventuelle selon les faits
- Copie interne centralisée pour suivi
- Responsable de dépôt identifié
Cette séparation ferme la boucle documentaire et prépare la mise à jour finale du dossier. Elle évite surtout qu’un bon travail de terrain soit affaibli par un envoi mal adressé.
Source : ANSSI, « Notifications d’incidents de sécurité aux autorités de contrôle », ANSSI, 2026 ; Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; CNIL, « Sécurité : gérer les incidents et les violations », CNIL, 2026.
Un rapport bien ordonné aide aussi à distinguer ce qui relève de l’autorité, de l’assureur ou d’un autre guichet. Cette clarté devient encore plus importante lorsque plusieurs notifications se superposent.
Ne pas confondre autorité, assurance et autres démarches
Ce second angle prolonge la rédaction, car la confusion des destinataires reste une erreur fréquente. Selon l’ANSSI, notifier l’autorité compétente ne remplace ni une déclaration de sinistre ni une plainte.
Dans la pratique, un incident peut exiger trois démarches parallèles, chacune avec son délai et sa logique. Le responsable qui les mélange perd souvent du temps, et parfois des droits contractuels.
À retenir pour le circuit :
- Autorité compétente avec canal dédié
- Assureur avec délai contractuel distinct
- Plainte éventuelle selon les faits
- Copie interne centralisée pour suivi
- Responsable de dépôt identifié
Cette séparation ferme la boucle documentaire et prépare la mise à jour finale du dossier. Elle évite surtout qu’un bon travail de terrain soit affaibli par un envoi mal adressé.
Source : ANSSI, « Notifications d’incidents de sécurité aux autorités de contrôle », ANSSI, 2026 ; Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; CNIL, « Sécurité : gérer les incidents et les violations », CNIL, 2026.
« Nous avons gagné du temps quand le rapport a suivi la chronologie au lieu de répéter les échanges internes. »
Sophie R.
À retenir pour la rédaction :
- Description factuelle du phénomène
- Effets déjà constatés
- Mesures correctives engagées
- Incertitudes identifiées comme telles
- Annexes techniques bien nommées
Un rapport bien ordonné aide aussi à distinguer ce qui relève de l’autorité, de l’assureur ou d’un autre guichet. Cette clarté devient encore plus importante lorsque plusieurs notifications se superposent.
Ne pas confondre autorité, assurance et autres démarches
Ce second angle prolonge la rédaction, car la confusion des destinataires reste une erreur fréquente. Selon l’ANSSI, notifier l’autorité compétente ne remplace ni une déclaration de sinistre ni une plainte.
Dans la pratique, un incident peut exiger trois démarches parallèles, chacune avec son délai et sa logique. Le responsable qui les mélange perd souvent du temps, et parfois des droits contractuels.
À retenir pour le circuit :
- Autorité compétente avec canal dédié
- Assureur avec délai contractuel distinct
- Plainte éventuelle selon les faits
- Copie interne centralisée pour suivi
- Responsable de dépôt identifié
Cette séparation ferme la boucle documentaire et prépare la mise à jour finale du dossier. Elle évite surtout qu’un bon travail de terrain soit affaibli par un envoi mal adressé.
Source : ANSSI, « Notifications d’incidents de sécurité aux autorités de contrôle », ANSSI, 2026 ; Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; CNIL, « Sécurité : gérer les incidents et les violations », CNIL, 2026.
Une équipe de crise a parfois tendance à tout dire, tout de suite, par peur d’oublier un détail. Or un bon document sépare l’essentiel du périphérique, ce qui laisse apparaître les faits utiles sans noyer la lecture.
« Nous avons gagné du temps quand le rapport a suivi la chronologie au lieu de répéter les échanges internes. »
Sophie R.
À retenir pour la rédaction :
- Description factuelle du phénomène
- Effets déjà constatés
- Mesures correctives engagées
- Incertitudes identifiées comme telles
- Annexes techniques bien nommées
Un rapport bien ordonné aide aussi à distinguer ce qui relève de l’autorité, de l’assureur ou d’un autre guichet. Cette clarté devient encore plus importante lorsque plusieurs notifications se superposent.
Ne pas confondre autorité, assurance et autres démarches
Ce second angle prolonge la rédaction, car la confusion des destinataires reste une erreur fréquente. Selon l’ANSSI, notifier l’autorité compétente ne remplace ni une déclaration de sinistre ni une plainte.
Dans la pratique, un incident peut exiger trois démarches parallèles, chacune avec son délai et sa logique. Le responsable qui les mélange perd souvent du temps, et parfois des droits contractuels.
À retenir pour le circuit :
- Autorité compétente avec canal dédié
- Assureur avec délai contractuel distinct
- Plainte éventuelle selon les faits
- Copie interne centralisée pour suivi
- Responsable de dépôt identifié
Cette séparation ferme la boucle documentaire et prépare la mise à jour finale du dossier. Elle évite surtout qu’un bon travail de terrain soit affaibli par un envoi mal adressé.
Source : ANSSI, « Notifications d’incidents de sécurité aux autorités de contrôle », ANSSI, 2026 ; Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; CNIL, « Sécurité : gérer les incidents et les violations », CNIL, 2026.
Une trace bien tenue rend ensuite possible le rapprochement avec les obligations réglementaires. C’est justement ce rapprochement qui doit être clarifié quand plusieurs destinataires attendent des documents différents.
Préparer le rapport pour l’autorité et les autres destinataires
Après la collecte, le risque change de nature, car le problème devient documentaire et juridique. Selon la directive NIS2, l’alerte précoce, la notification et le rapport final suivent des délais distincts, chacun avec un contenu propre.
Écrire un rapport clair, bref et complet
Ce premier angle reprend le travail de preuve, mais il le transforme en document transmissible. Le rapport attendu par l’autorité doit décrire les faits, les effets, les mesures prises et l’analyse de cause, sans surcharger la lecture.
Une équipe de crise a parfois tendance à tout dire, tout de suite, par peur d’oublier un détail. Or un bon document sépare l’essentiel du périphérique, ce qui laisse apparaître les faits utiles sans noyer la lecture.
« Nous avons gagné du temps quand le rapport a suivi la chronologie au lieu de répéter les échanges internes. »
Sophie R.
À retenir pour la rédaction :
- Description factuelle du phénomène
- Effets déjà constatés
- Mesures correctives engagées
- Incertitudes identifiées comme telles
- Annexes techniques bien nommées
Un rapport bien ordonné aide aussi à distinguer ce qui relève de l’autorité, de l’assureur ou d’un autre guichet. Cette clarté devient encore plus importante lorsque plusieurs notifications se superposent.
Ne pas confondre autorité, assurance et autres démarches
Ce second angle prolonge la rédaction, car la confusion des destinataires reste une erreur fréquente. Selon l’ANSSI, notifier l’autorité compétente ne remplace ni une déclaration de sinistre ni une plainte.
Dans la pratique, un incident peut exiger trois démarches parallèles, chacune avec son délai et sa logique. Le responsable qui les mélange perd souvent du temps, et parfois des droits contractuels.
À retenir pour le circuit :
- Autorité compétente avec canal dédié
- Assureur avec délai contractuel distinct
- Plainte éventuelle selon les faits
- Copie interne centralisée pour suivi
- Responsable de dépôt identifié
Cette séparation ferme la boucle documentaire et prépare la mise à jour finale du dossier. Elle évite surtout qu’un bon travail de terrain soit affaibli par un envoi mal adressé.
Source : ANSSI, « Notifications d’incidents de sécurité aux autorités de contrôle », ANSSI, 2026 ; Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; CNIL, « Sécurité : gérer les incidents et les violations », CNIL, 2026.
« Le plus utile a été de noter ce que chacun avait vu, sans interpréter trop vite. »
Claire D.
Une trace bien tenue rend ensuite possible le rapprochement avec les obligations réglementaires. C’est justement ce rapprochement qui doit être clarifié quand plusieurs destinataires attendent des documents différents.
Préparer le rapport pour l’autorité et les autres destinataires
Après la collecte, le risque change de nature, car le problème devient documentaire et juridique. Selon la directive NIS2, l’alerte précoce, la notification et le rapport final suivent des délais distincts, chacun avec un contenu propre.
Écrire un rapport clair, bref et complet
Ce premier angle reprend le travail de preuve, mais il le transforme en document transmissible. Le rapport attendu par l’autorité doit décrire les faits, les effets, les mesures prises et l’analyse de cause, sans surcharger la lecture.
Une équipe de crise a parfois tendance à tout dire, tout de suite, par peur d’oublier un détail. Or un bon document sépare l’essentiel du périphérique, ce qui laisse apparaître les faits utiles sans noyer la lecture.
« Nous avons gagné du temps quand le rapport a suivi la chronologie au lieu de répéter les échanges internes. »
Sophie R.
À retenir pour la rédaction :
- Description factuelle du phénomène
- Effets déjà constatés
- Mesures correctives engagées
- Incertitudes identifiées comme telles
- Annexes techniques bien nommées
Un rapport bien ordonné aide aussi à distinguer ce qui relève de l’autorité, de l’assureur ou d’un autre guichet. Cette clarté devient encore plus importante lorsque plusieurs notifications se superposent.
Ne pas confondre autorité, assurance et autres démarches
Ce second angle prolonge la rédaction, car la confusion des destinataires reste une erreur fréquente. Selon l’ANSSI, notifier l’autorité compétente ne remplace ni une déclaration de sinistre ni une plainte.
Dans la pratique, un incident peut exiger trois démarches parallèles, chacune avec son délai et sa logique. Le responsable qui les mélange perd souvent du temps, et parfois des droits contractuels.
À retenir pour le circuit :
- Autorité compétente avec canal dédié
- Assureur avec délai contractuel distinct
- Plainte éventuelle selon les faits
- Copie interne centralisée pour suivi
- Responsable de dépôt identifié
Cette séparation ferme la boucle documentaire et prépare la mise à jour finale du dossier. Elle évite surtout qu’un bon travail de terrain soit affaibli par un envoi mal adressé.
Source : ANSSI, « Notifications d’incidents de sécurité aux autorités de contrôle », ANSSI, 2026 ; Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; CNIL, « Sécurité : gérer les incidents et les violations », CNIL, 2026.
Une datation propre sert ensuite à relier les faits, les témoins et les traces techniques sans ambiguïté. C’est exactement ce qu’examine la partie suivante, là où les preuves deviennent décisives.
Moment
Ce qu’il faut écrire
Pourquoi c’est utile
Source possible
Découverte
Date et heure précises
Fixe le départ des délais
Journal d’alerte
Première analyse
Constat technique initial
Montre la compréhension progressive
Equipe sécurité
Containment
Mesures de confinement
Explique la réaction immédiate
Rapport d’intervention
Clôture interne
Moment de stabilisation
Prépare le rapport final
Compte rendu de crise
Rassembler les preuves et les témoins sans casser la chaîne
Une fois la qualification posée, le dossier tient ou s’effondre sur la qualité des preuves. Selon l’ANSSI, il faut préserver les traces avant toute manipulation qui pourrait les altérer, car l’autorité attend des éléments vérifiables.
Conserver les éléments techniques exploitables
Ce point prolonge la logique de qualification, car une bonne description ne suffit jamais sans support matériel. Les journaux, captures, sauvegardes et copies d’écran doivent être rassemblés avec méthode, puis rattachés à une chronologie lisible.
Un responsable vécu par de nombreux secours numériques raconte souvent le même moment : « j’ai voulu fermer la machine avant de documenter ». Ce réflexe peut coûter cher, car chaque action modifie parfois l’état initial et affaiblit la preuve.
« J’ai compris qu’il fallait figer les traces avant de chercher le coupable, sinon le rapport devenait fragile. »
Marc T.
À retenir pour la collecte :
- Captures horodatées et conservées
- Journaux système exportés rapidement
- Copie séparée des éléments sensibles
- Accès limité aux seules personnes utiles
- Trace des manipulations effectuées
Cette discipline évite des débats stériles sur l’origine des fichiers ou la validité des constats. Elle ouvre aussi la voie à une exploitation plus humaine des témoignages, souvent négligée dans l’urgence.
Selon la CNIL, la gestion d’un incident doit être pensée, testée et corrigée avant la crise. Cette exigence vaut particulièrement lorsque des personnes ont vu, entendu ou confirmé une partie des faits.
Exploiter les témoignages sans les déformer
Ce volet complète la conservation technique, car les témoins donnent souvent le contexte que les logs n’offrent pas. Une phrase entendue au bon moment, un badge d’accès, un écran resté ouvert, tout cela enrichit la description.
Dans une PME fictive, l’agent d’accueil a remarqué une visite inhabituelle avant la panne générale. Son témoignage n’a pas remplacé les journaux, mais il a aidé à reconstituer le déroulé exact et à réduire les zones d’ombre.
À retenir pour les témoignages :
- Recueil rapide et écrit
- Questions courtes et neutres
- Faits observés séparés des suppositions
- Identité et fonction notées
- Concordance avec les autres traces
« Le plus utile a été de noter ce que chacun avait vu, sans interpréter trop vite. »
Claire D.
Une trace bien tenue rend ensuite possible le rapprochement avec les obligations réglementaires. C’est justement ce rapprochement qui doit être clarifié quand plusieurs destinataires attendent des documents différents.
Préparer le rapport pour l’autorité et les autres destinataires
Après la collecte, le risque change de nature, car le problème devient documentaire et juridique. Selon la directive NIS2, l’alerte précoce, la notification et le rapport final suivent des délais distincts, chacun avec un contenu propre.
Écrire un rapport clair, bref et complet
Ce premier angle reprend le travail de preuve, mais il le transforme en document transmissible. Le rapport attendu par l’autorité doit décrire les faits, les effets, les mesures prises et l’analyse de cause, sans surcharger la lecture.
Une équipe de crise a parfois tendance à tout dire, tout de suite, par peur d’oublier un détail. Or un bon document sépare l’essentiel du périphérique, ce qui laisse apparaître les faits utiles sans noyer la lecture.
« Nous avons gagné du temps quand le rapport a suivi la chronologie au lieu de répéter les échanges internes. »
Sophie R.
À retenir pour la rédaction :
- Description factuelle du phénomène
- Effets déjà constatés
- Mesures correctives engagées
- Incertitudes identifiées comme telles
- Annexes techniques bien nommées
Un rapport bien ordonné aide aussi à distinguer ce qui relève de l’autorité, de l’assureur ou d’un autre guichet. Cette clarté devient encore plus importante lorsque plusieurs notifications se superposent.
Ne pas confondre autorité, assurance et autres démarches
Ce second angle prolonge la rédaction, car la confusion des destinataires reste une erreur fréquente. Selon l’ANSSI, notifier l’autorité compétente ne remplace ni une déclaration de sinistre ni une plainte.
Dans la pratique, un incident peut exiger trois démarches parallèles, chacune avec son délai et sa logique. Le responsable qui les mélange perd souvent du temps, et parfois des droits contractuels.
À retenir pour le circuit :
- Autorité compétente avec canal dédié
- Assureur avec délai contractuel distinct
- Plainte éventuelle selon les faits
- Copie interne centralisée pour suivi
- Responsable de dépôt identifié
Cette séparation ferme la boucle documentaire et prépare la mise à jour finale du dossier. Elle évite surtout qu’un bon travail de terrain soit affaibli par un envoi mal adressé.
Source : ANSSI, « Notifications d’incidents de sécurité aux autorités de contrôle », ANSSI, 2026 ; Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; CNIL, « Sécurité : gérer les incidents et les violations », CNIL, 2026.
À retenir pour la datation :
- Heure de découverte clairement inscrite
- Première alerte horodatée
- Actions immédiates séparées des constats
- Sources internes et externes distinguées
- Chronologie commune pour toutes les équipes
Une datation propre sert ensuite à relier les faits, les témoins et les traces techniques sans ambiguïté. C’est exactement ce qu’examine la partie suivante, là où les preuves deviennent décisives.
Moment
Ce qu’il faut écrire
Pourquoi c’est utile
Source possible
Découverte
Date et heure précises
Fixe le départ des délais
Journal d’alerte
Première analyse
Constat technique initial
Montre la compréhension progressive
Equipe sécurité
Containment
Mesures de confinement
Explique la réaction immédiate
Rapport d’intervention
Clôture interne
Moment de stabilisation
Prépare le rapport final
Compte rendu de crise
Rassembler les preuves et les témoins sans casser la chaîne
Une fois la qualification posée, le dossier tient ou s’effondre sur la qualité des preuves. Selon l’ANSSI, il faut préserver les traces avant toute manipulation qui pourrait les altérer, car l’autorité attend des éléments vérifiables.
Conserver les éléments techniques exploitables
Ce point prolonge la logique de qualification, car une bonne description ne suffit jamais sans support matériel. Les journaux, captures, sauvegardes et copies d’écran doivent être rassemblés avec méthode, puis rattachés à une chronologie lisible.
Un responsable vécu par de nombreux secours numériques raconte souvent le même moment : « j’ai voulu fermer la machine avant de documenter ». Ce réflexe peut coûter cher, car chaque action modifie parfois l’état initial et affaiblit la preuve.
« J’ai compris qu’il fallait figer les traces avant de chercher le coupable, sinon le rapport devenait fragile. »
Marc T.
À retenir pour la collecte :
- Captures horodatées et conservées
- Journaux système exportés rapidement
- Copie séparée des éléments sensibles
- Accès limité aux seules personnes utiles
- Trace des manipulations effectuées
Cette discipline évite des débats stériles sur l’origine des fichiers ou la validité des constats. Elle ouvre aussi la voie à une exploitation plus humaine des témoignages, souvent négligée dans l’urgence.
Selon la CNIL, la gestion d’un incident doit être pensée, testée et corrigée avant la crise. Cette exigence vaut particulièrement lorsque des personnes ont vu, entendu ou confirmé une partie des faits.
Exploiter les témoignages sans les déformer
Ce volet complète la conservation technique, car les témoins donnent souvent le contexte que les logs n’offrent pas. Une phrase entendue au bon moment, un badge d’accès, un écran resté ouvert, tout cela enrichit la description.
Dans une PME fictive, l’agent d’accueil a remarqué une visite inhabituelle avant la panne générale. Son témoignage n’a pas remplacé les journaux, mais il a aidé à reconstituer le déroulé exact et à réduire les zones d’ombre.
À retenir pour les témoignages :
- Recueil rapide et écrit
- Questions courtes et neutres
- Faits observés séparés des suppositions
- Identité et fonction notées
- Concordance avec les autres traces
« Le plus utile a été de noter ce que chacun avait vu, sans interpréter trop vite. »
Claire D.
Une trace bien tenue rend ensuite possible le rapprochement avec les obligations réglementaires. C’est justement ce rapprochement qui doit être clarifié quand plusieurs destinataires attendent des documents différents.
Préparer le rapport pour l’autorité et les autres destinataires
Après la collecte, le risque change de nature, car le problème devient documentaire et juridique. Selon la directive NIS2, l’alerte précoce, la notification et le rapport final suivent des délais distincts, chacun avec un contenu propre.
Écrire un rapport clair, bref et complet
Ce premier angle reprend le travail de preuve, mais il le transforme en document transmissible. Le rapport attendu par l’autorité doit décrire les faits, les effets, les mesures prises et l’analyse de cause, sans surcharger la lecture.
Une équipe de crise a parfois tendance à tout dire, tout de suite, par peur d’oublier un détail. Or un bon document sépare l’essentiel du périphérique, ce qui laisse apparaître les faits utiles sans noyer la lecture.
« Nous avons gagné du temps quand le rapport a suivi la chronologie au lieu de répéter les échanges internes. »
Sophie R.
À retenir pour la rédaction :
- Description factuelle du phénomène
- Effets déjà constatés
- Mesures correctives engagées
- Incertitudes identifiées comme telles
- Annexes techniques bien nommées
Un rapport bien ordonné aide aussi à distinguer ce qui relève de l’autorité, de l’assureur ou d’un autre guichet. Cette clarté devient encore plus importante lorsque plusieurs notifications se superposent.
Ne pas confondre autorité, assurance et autres démarches
Ce second angle prolonge la rédaction, car la confusion des destinataires reste une erreur fréquente. Selon l’ANSSI, notifier l’autorité compétente ne remplace ni une déclaration de sinistre ni une plainte.
Dans la pratique, un incident peut exiger trois démarches parallèles, chacune avec son délai et sa logique. Le responsable qui les mélange perd souvent du temps, et parfois des droits contractuels.
À retenir pour le circuit :
- Autorité compétente avec canal dédié
- Assureur avec délai contractuel distinct
- Plainte éventuelle selon les faits
- Copie interne centralisée pour suivi
- Responsable de dépôt identifié
Cette séparation ferme la boucle documentaire et prépare la mise à jour finale du dossier. Elle évite surtout qu’un bon travail de terrain soit affaibli par un envoi mal adressé.
Source : ANSSI, « Notifications d’incidents de sécurité aux autorités de contrôle », ANSSI, 2026 ; Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; CNIL, « Sécurité : gérer les incidents et les violations », CNIL, 2026.
Dans une situation réelle, le responsable technique peut découvrir le problème un lundi à 8 h, alors que l’intrusion remonte au week-end. Le rapport doit alors distinguer la survenance, la découverte et la première réaction, sans mélanger ces trois horloges.
À retenir pour la datation :
- Heure de découverte clairement inscrite
- Première alerte horodatée
- Actions immédiates séparées des constats
- Sources internes et externes distinguées
- Chronologie commune pour toutes les équipes
Une datation propre sert ensuite à relier les faits, les témoins et les traces techniques sans ambiguïté. C’est exactement ce qu’examine la partie suivante, là où les preuves deviennent décisives.
Moment
Ce qu’il faut écrire
Pourquoi c’est utile
Source possible
Découverte
Date et heure précises
Fixe le départ des délais
Journal d’alerte
Première analyse
Constat technique initial
Montre la compréhension progressive
Equipe sécurité
Containment
Mesures de confinement
Explique la réaction immédiate
Rapport d’intervention
Clôture interne
Moment de stabilisation
Prépare le rapport final
Compte rendu de crise
Rassembler les preuves et les témoins sans casser la chaîne
Une fois la qualification posée, le dossier tient ou s’effondre sur la qualité des preuves. Selon l’ANSSI, il faut préserver les traces avant toute manipulation qui pourrait les altérer, car l’autorité attend des éléments vérifiables.
Conserver les éléments techniques exploitables
Ce point prolonge la logique de qualification, car une bonne description ne suffit jamais sans support matériel. Les journaux, captures, sauvegardes et copies d’écran doivent être rassemblés avec méthode, puis rattachés à une chronologie lisible.
Un responsable vécu par de nombreux secours numériques raconte souvent le même moment : « j’ai voulu fermer la machine avant de documenter ». Ce réflexe peut coûter cher, car chaque action modifie parfois l’état initial et affaiblit la preuve.
« J’ai compris qu’il fallait figer les traces avant de chercher le coupable, sinon le rapport devenait fragile. »
Marc T.
À retenir pour la collecte :
- Captures horodatées et conservées
- Journaux système exportés rapidement
- Copie séparée des éléments sensibles
- Accès limité aux seules personnes utiles
- Trace des manipulations effectuées
Cette discipline évite des débats stériles sur l’origine des fichiers ou la validité des constats. Elle ouvre aussi la voie à une exploitation plus humaine des témoignages, souvent négligée dans l’urgence.
Selon la CNIL, la gestion d’un incident doit être pensée, testée et corrigée avant la crise. Cette exigence vaut particulièrement lorsque des personnes ont vu, entendu ou confirmé une partie des faits.
Exploiter les témoignages sans les déformer
Ce volet complète la conservation technique, car les témoins donnent souvent le contexte que les logs n’offrent pas. Une phrase entendue au bon moment, un badge d’accès, un écran resté ouvert, tout cela enrichit la description.
Dans une PME fictive, l’agent d’accueil a remarqué une visite inhabituelle avant la panne générale. Son témoignage n’a pas remplacé les journaux, mais il a aidé à reconstituer le déroulé exact et à réduire les zones d’ombre.
À retenir pour les témoignages :
- Recueil rapide et écrit
- Questions courtes et neutres
- Faits observés séparés des suppositions
- Identité et fonction notées
- Concordance avec les autres traces
« Le plus utile a été de noter ce que chacun avait vu, sans interpréter trop vite. »
Claire D.
Une trace bien tenue rend ensuite possible le rapprochement avec les obligations réglementaires. C’est justement ce rapprochement qui doit être clarifié quand plusieurs destinataires attendent des documents différents.
Préparer le rapport pour l’autorité et les autres destinataires
Après la collecte, le risque change de nature, car le problème devient documentaire et juridique. Selon la directive NIS2, l’alerte précoce, la notification et le rapport final suivent des délais distincts, chacun avec un contenu propre.
Écrire un rapport clair, bref et complet
Ce premier angle reprend le travail de preuve, mais il le transforme en document transmissible. Le rapport attendu par l’autorité doit décrire les faits, les effets, les mesures prises et l’analyse de cause, sans surcharger la lecture.
Une équipe de crise a parfois tendance à tout dire, tout de suite, par peur d’oublier un détail. Or un bon document sépare l’essentiel du périphérique, ce qui laisse apparaître les faits utiles sans noyer la lecture.
« Nous avons gagné du temps quand le rapport a suivi la chronologie au lieu de répéter les échanges internes. »
Sophie R.
À retenir pour la rédaction :
- Description factuelle du phénomène
- Effets déjà constatés
- Mesures correctives engagées
- Incertitudes identifiées comme telles
- Annexes techniques bien nommées
Un rapport bien ordonné aide aussi à distinguer ce qui relève de l’autorité, de l’assureur ou d’un autre guichet. Cette clarté devient encore plus importante lorsque plusieurs notifications se superposent.
Ne pas confondre autorité, assurance et autres démarches
Ce second angle prolonge la rédaction, car la confusion des destinataires reste une erreur fréquente. Selon l’ANSSI, notifier l’autorité compétente ne remplace ni une déclaration de sinistre ni une plainte.
Dans la pratique, un incident peut exiger trois démarches parallèles, chacune avec son délai et sa logique. Le responsable qui les mélange perd souvent du temps, et parfois des droits contractuels.
À retenir pour le circuit :
- Autorité compétente avec canal dédié
- Assureur avec délai contractuel distinct
- Plainte éventuelle selon les faits
- Copie interne centralisée pour suivi
- Responsable de dépôt identifié
Cette séparation ferme la boucle documentaire et prépare la mise à jour finale du dossier. Elle évite surtout qu’un bon travail de terrain soit affaibli par un envoi mal adressé.
Source : ANSSI, « Notifications d’incidents de sécurité aux autorités de contrôle », ANSSI, 2026 ; Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; CNIL, « Sécurité : gérer les incidents et les violations », CNIL, 2026.
Élément à qualifier
Question utile
Effet sur le rapport
Valeur pour l’autorité
Criticité du service
Le service soutient-il une activité essentielle
Justifie la gravité retenue
Éclaire l’enjeu opérationnel
Durée de perturbation
L’arrêt est-il bref ou prolongé
Oriente l’urgence du signalement
Montre l’ampleur de l’impact
Données touchées
Y a-t-il exposition de données sensibles
Déclenche une analyse complémentaire
Précise le périmètre concerné
Indice de malveillance
Existe-t-il une piste technique ou humaine
Guide l’investigation
Renforce la description des faits
Ce tableau devient utile lorsque les décisions doivent être prises en quelques heures, sans perdre le fil. Il prépare aussi le travail de preuve, qui pèse souvent plus lourd qu’un long commentaire.
Fixer le point de départ de la connaissance
Ce second angle prolonge le tri, car les délais commencent au moment de la connaissance, non à l’instant où l’attaque a commencé. Selon la CNIL, cette précision compte aussi pour l’organisation interne, car une date mal posée fragilise ensuite tout le dossier.
Dans une situation réelle, le responsable technique peut découvrir le problème un lundi à 8 h, alors que l’intrusion remonte au week-end. Le rapport doit alors distinguer la survenance, la découverte et la première réaction, sans mélanger ces trois horloges.
À retenir pour la datation :
- Heure de découverte clairement inscrite
- Première alerte horodatée
- Actions immédiates séparées des constats
- Sources internes et externes distinguées
- Chronologie commune pour toutes les équipes
Une datation propre sert ensuite à relier les faits, les témoins et les traces techniques sans ambiguïté. C’est exactement ce qu’examine la partie suivante, là où les preuves deviennent décisives.
Moment
Ce qu’il faut écrire
Pourquoi c’est utile
Source possible
Découverte
Date et heure précises
Fixe le départ des délais
Journal d’alerte
Première analyse
Constat technique initial
Montre la compréhension progressive
Equipe sécurité
Containment
Mesures de confinement
Explique la réaction immédiate
Rapport d’intervention
Clôture interne
Moment de stabilisation
Prépare le rapport final
Compte rendu de crise
Rassembler les preuves et les témoins sans casser la chaîne
Une fois la qualification posée, le dossier tient ou s’effondre sur la qualité des preuves. Selon l’ANSSI, il faut préserver les traces avant toute manipulation qui pourrait les altérer, car l’autorité attend des éléments vérifiables.
Conserver les éléments techniques exploitables
Ce point prolonge la logique de qualification, car une bonne description ne suffit jamais sans support matériel. Les journaux, captures, sauvegardes et copies d’écran doivent être rassemblés avec méthode, puis rattachés à une chronologie lisible.
Un responsable vécu par de nombreux secours numériques raconte souvent le même moment : « j’ai voulu fermer la machine avant de documenter ». Ce réflexe peut coûter cher, car chaque action modifie parfois l’état initial et affaiblit la preuve.
« J’ai compris qu’il fallait figer les traces avant de chercher le coupable, sinon le rapport devenait fragile. »
Marc T.
À retenir pour la collecte :
- Captures horodatées et conservées
- Journaux système exportés rapidement
- Copie séparée des éléments sensibles
- Accès limité aux seules personnes utiles
- Trace des manipulations effectuées
Cette discipline évite des débats stériles sur l’origine des fichiers ou la validité des constats. Elle ouvre aussi la voie à une exploitation plus humaine des témoignages, souvent négligée dans l’urgence.
Selon la CNIL, la gestion d’un incident doit être pensée, testée et corrigée avant la crise. Cette exigence vaut particulièrement lorsque des personnes ont vu, entendu ou confirmé une partie des faits.
Exploiter les témoignages sans les déformer
Ce volet complète la conservation technique, car les témoins donnent souvent le contexte que les logs n’offrent pas. Une phrase entendue au bon moment, un badge d’accès, un écran resté ouvert, tout cela enrichit la description.
Dans une PME fictive, l’agent d’accueil a remarqué une visite inhabituelle avant la panne générale. Son témoignage n’a pas remplacé les journaux, mais il a aidé à reconstituer le déroulé exact et à réduire les zones d’ombre.
À retenir pour les témoignages :
- Recueil rapide et écrit
- Questions courtes et neutres
- Faits observés séparés des suppositions
- Identité et fonction notées
- Concordance avec les autres traces
« Le plus utile a été de noter ce que chacun avait vu, sans interpréter trop vite. »
Claire D.
Une trace bien tenue rend ensuite possible le rapprochement avec les obligations réglementaires. C’est justement ce rapprochement qui doit être clarifié quand plusieurs destinataires attendent des documents différents.
Préparer le rapport pour l’autorité et les autres destinataires
Après la collecte, le risque change de nature, car le problème devient documentaire et juridique. Selon la directive NIS2, l’alerte précoce, la notification et le rapport final suivent des délais distincts, chacun avec un contenu propre.
Écrire un rapport clair, bref et complet
Ce premier angle reprend le travail de preuve, mais il le transforme en document transmissible. Le rapport attendu par l’autorité doit décrire les faits, les effets, les mesures prises et l’analyse de cause, sans surcharger la lecture.
Une équipe de crise a parfois tendance à tout dire, tout de suite, par peur d’oublier un détail. Or un bon document sépare l’essentiel du périphérique, ce qui laisse apparaître les faits utiles sans noyer la lecture.
« Nous avons gagné du temps quand le rapport a suivi la chronologie au lieu de répéter les échanges internes. »
Sophie R.
À retenir pour la rédaction :
- Description factuelle du phénomène
- Effets déjà constatés
- Mesures correctives engagées
- Incertitudes identifiées comme telles
- Annexes techniques bien nommées
Un rapport bien ordonné aide aussi à distinguer ce qui relève de l’autorité, de l’assureur ou d’un autre guichet. Cette clarté devient encore plus importante lorsque plusieurs notifications se superposent.
Ne pas confondre autorité, assurance et autres démarches
Ce second angle prolonge la rédaction, car la confusion des destinataires reste une erreur fréquente. Selon l’ANSSI, notifier l’autorité compétente ne remplace ni une déclaration de sinistre ni une plainte.
Dans la pratique, un incident peut exiger trois démarches parallèles, chacune avec son délai et sa logique. Le responsable qui les mélange perd souvent du temps, et parfois des droits contractuels.
À retenir pour le circuit :
- Autorité compétente avec canal dédié
- Assureur avec délai contractuel distinct
- Plainte éventuelle selon les faits
- Copie interne centralisée pour suivi
- Responsable de dépôt identifié
Cette séparation ferme la boucle documentaire et prépare la mise à jour finale du dossier. Elle évite surtout qu’un bon travail de terrain soit affaibli par un envoi mal adressé.
Source : ANSSI, « Notifications d’incidents de sécurité aux autorités de contrôle », ANSSI, 2026 ; Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; CNIL, « Sécurité : gérer les incidents et les violations », CNIL, 2026.
Cette grille aide à éviter l’improvisation, surtout quand plusieurs équipes décrivent la même scène avec des mots différents. La suite logique consiste à montrer comment consigner les faits de façon à résister à un contrôle.
Élément à qualifier
Question utile
Effet sur le rapport
Valeur pour l’autorité
Criticité du service
Le service soutient-il une activité essentielle
Justifie la gravité retenue
Éclaire l’enjeu opérationnel
Durée de perturbation
L’arrêt est-il bref ou prolongé
Oriente l’urgence du signalement
Montre l’ampleur de l’impact
Données touchées
Y a-t-il exposition de données sensibles
Déclenche une analyse complémentaire
Précise le périmètre concerné
Indice de malveillance
Existe-t-il une piste technique ou humaine
Guide l’investigation
Renforce la description des faits
Ce tableau devient utile lorsque les décisions doivent être prises en quelques heures, sans perdre le fil. Il prépare aussi le travail de preuve, qui pèse souvent plus lourd qu’un long commentaire.
Fixer le point de départ de la connaissance
Ce second angle prolonge le tri, car les délais commencent au moment de la connaissance, non à l’instant où l’attaque a commencé. Selon la CNIL, cette précision compte aussi pour l’organisation interne, car une date mal posée fragilise ensuite tout le dossier.
Dans une situation réelle, le responsable technique peut découvrir le problème un lundi à 8 h, alors que l’intrusion remonte au week-end. Le rapport doit alors distinguer la survenance, la découverte et la première réaction, sans mélanger ces trois horloges.
À retenir pour la datation :
- Heure de découverte clairement inscrite
- Première alerte horodatée
- Actions immédiates séparées des constats
- Sources internes et externes distinguées
- Chronologie commune pour toutes les équipes
Une datation propre sert ensuite à relier les faits, les témoins et les traces techniques sans ambiguïté. C’est exactement ce qu’examine la partie suivante, là où les preuves deviennent décisives.
Moment
Ce qu’il faut écrire
Pourquoi c’est utile
Source possible
Découverte
Date et heure précises
Fixe le départ des délais
Journal d’alerte
Première analyse
Constat technique initial
Montre la compréhension progressive
Equipe sécurité
Containment
Mesures de confinement
Explique la réaction immédiate
Rapport d’intervention
Clôture interne
Moment de stabilisation
Prépare le rapport final
Compte rendu de crise
Rassembler les preuves et les témoins sans casser la chaîne
Une fois la qualification posée, le dossier tient ou s’effondre sur la qualité des preuves. Selon l’ANSSI, il faut préserver les traces avant toute manipulation qui pourrait les altérer, car l’autorité attend des éléments vérifiables.
Conserver les éléments techniques exploitables
Ce point prolonge la logique de qualification, car une bonne description ne suffit jamais sans support matériel. Les journaux, captures, sauvegardes et copies d’écran doivent être rassemblés avec méthode, puis rattachés à une chronologie lisible.
Un responsable vécu par de nombreux secours numériques raconte souvent le même moment : « j’ai voulu fermer la machine avant de documenter ». Ce réflexe peut coûter cher, car chaque action modifie parfois l’état initial et affaiblit la preuve.
« J’ai compris qu’il fallait figer les traces avant de chercher le coupable, sinon le rapport devenait fragile. »
Marc T.
À retenir pour la collecte :
- Captures horodatées et conservées
- Journaux système exportés rapidement
- Copie séparée des éléments sensibles
- Accès limité aux seules personnes utiles
- Trace des manipulations effectuées
Cette discipline évite des débats stériles sur l’origine des fichiers ou la validité des constats. Elle ouvre aussi la voie à une exploitation plus humaine des témoignages, souvent négligée dans l’urgence.
Selon la CNIL, la gestion d’un incident doit être pensée, testée et corrigée avant la crise. Cette exigence vaut particulièrement lorsque des personnes ont vu, entendu ou confirmé une partie des faits.
Exploiter les témoignages sans les déformer
Ce volet complète la conservation technique, car les témoins donnent souvent le contexte que les logs n’offrent pas. Une phrase entendue au bon moment, un badge d’accès, un écran resté ouvert, tout cela enrichit la description.
Dans une PME fictive, l’agent d’accueil a remarqué une visite inhabituelle avant la panne générale. Son témoignage n’a pas remplacé les journaux, mais il a aidé à reconstituer le déroulé exact et à réduire les zones d’ombre.
À retenir pour les témoignages :
- Recueil rapide et écrit
- Questions courtes et neutres
- Faits observés séparés des suppositions
- Identité et fonction notées
- Concordance avec les autres traces
« Le plus utile a été de noter ce que chacun avait vu, sans interpréter trop vite. »
Claire D.
Une trace bien tenue rend ensuite possible le rapprochement avec les obligations réglementaires. C’est justement ce rapprochement qui doit être clarifié quand plusieurs destinataires attendent des documents différents.
Préparer le rapport pour l’autorité et les autres destinataires
Après la collecte, le risque change de nature, car le problème devient documentaire et juridique. Selon la directive NIS2, l’alerte précoce, la notification et le rapport final suivent des délais distincts, chacun avec un contenu propre.
Écrire un rapport clair, bref et complet
Ce premier angle reprend le travail de preuve, mais il le transforme en document transmissible. Le rapport attendu par l’autorité doit décrire les faits, les effets, les mesures prises et l’analyse de cause, sans surcharger la lecture.
Une équipe de crise a parfois tendance à tout dire, tout de suite, par peur d’oublier un détail. Or un bon document sépare l’essentiel du périphérique, ce qui laisse apparaître les faits utiles sans noyer la lecture.
« Nous avons gagné du temps quand le rapport a suivi la chronologie au lieu de répéter les échanges internes. »
Sophie R.
À retenir pour la rédaction :
- Description factuelle du phénomène
- Effets déjà constatés
- Mesures correctives engagées
- Incertitudes identifiées comme telles
- Annexes techniques bien nommées
Un rapport bien ordonné aide aussi à distinguer ce qui relève de l’autorité, de l’assureur ou d’un autre guichet. Cette clarté devient encore plus importante lorsque plusieurs notifications se superposent.
Ne pas confondre autorité, assurance et autres démarches
Ce second angle prolonge la rédaction, car la confusion des destinataires reste une erreur fréquente. Selon l’ANSSI, notifier l’autorité compétente ne remplace ni une déclaration de sinistre ni une plainte.
Dans la pratique, un incident peut exiger trois démarches parallèles, chacune avec son délai et sa logique. Le responsable qui les mélange perd souvent du temps, et parfois des droits contractuels.
À retenir pour le circuit :
- Autorité compétente avec canal dédié
- Assureur avec délai contractuel distinct
- Plainte éventuelle selon les faits
- Copie interne centralisée pour suivi
- Responsable de dépôt identifié
Cette séparation ferme la boucle documentaire et prépare la mise à jour finale du dossier. Elle évite surtout qu’un bon travail de terrain soit affaibli par un envoi mal adressé.
Source : ANSSI, « Notifications d’incidents de sécurité aux autorités de contrôle », ANSSI, 2026 ; Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; CNIL, « Sécurité : gérer les incidents et les violations », CNIL, 2026.
Une équipe fictive de services numériques peut constater une panne, mais seule une interruption durable d’un service critique appelle un traitement réglementaire renforcé. La question n’est donc pas seulement « que s’est-il passé », mais « quel impact mesurable cela produit-il sur l’activité, les usagers et les systèmes ».
À retenir pour ce tri :
- Service touché et criticité métier
- Durée estimée de perturbation
- Volume d’utilisateurs affectés
- Risque financier ou opérationnel
- Effet transfrontalier éventuel
Cette grille aide à éviter l’improvisation, surtout quand plusieurs équipes décrivent la même scène avec des mots différents. La suite logique consiste à montrer comment consigner les faits de façon à résister à un contrôle.
Élément à qualifier
Question utile
Effet sur le rapport
Valeur pour l’autorité
Criticité du service
Le service soutient-il une activité essentielle
Justifie la gravité retenue
Éclaire l’enjeu opérationnel
Durée de perturbation
L’arrêt est-il bref ou prolongé
Oriente l’urgence du signalement
Montre l’ampleur de l’impact
Données touchées
Y a-t-il exposition de données sensibles
Déclenche une analyse complémentaire
Précise le périmètre concerné
Indice de malveillance
Existe-t-il une piste technique ou humaine
Guide l’investigation
Renforce la description des faits
Ce tableau devient utile lorsque les décisions doivent être prises en quelques heures, sans perdre le fil. Il prépare aussi le travail de preuve, qui pèse souvent plus lourd qu’un long commentaire.
Fixer le point de départ de la connaissance
Ce second angle prolonge le tri, car les délais commencent au moment de la connaissance, non à l’instant où l’attaque a commencé. Selon la CNIL, cette précision compte aussi pour l’organisation interne, car une date mal posée fragilise ensuite tout le dossier.
Dans une situation réelle, le responsable technique peut découvrir le problème un lundi à 8 h, alors que l’intrusion remonte au week-end. Le rapport doit alors distinguer la survenance, la découverte et la première réaction, sans mélanger ces trois horloges.
À retenir pour la datation :
- Heure de découverte clairement inscrite
- Première alerte horodatée
- Actions immédiates séparées des constats
- Sources internes et externes distinguées
- Chronologie commune pour toutes les équipes
Une datation propre sert ensuite à relier les faits, les témoins et les traces techniques sans ambiguïté. C’est exactement ce qu’examine la partie suivante, là où les preuves deviennent décisives.
Moment
Ce qu’il faut écrire
Pourquoi c’est utile
Source possible
Découverte
Date et heure précises
Fixe le départ des délais
Journal d’alerte
Première analyse
Constat technique initial
Montre la compréhension progressive
Equipe sécurité
Containment
Mesures de confinement
Explique la réaction immédiate
Rapport d’intervention
Clôture interne
Moment de stabilisation
Prépare le rapport final
Compte rendu de crise
Rassembler les preuves et les témoins sans casser la chaîne
Une fois la qualification posée, le dossier tient ou s’effondre sur la qualité des preuves. Selon l’ANSSI, il faut préserver les traces avant toute manipulation qui pourrait les altérer, car l’autorité attend des éléments vérifiables.
Conserver les éléments techniques exploitables
Ce point prolonge la logique de qualification, car une bonne description ne suffit jamais sans support matériel. Les journaux, captures, sauvegardes et copies d’écran doivent être rassemblés avec méthode, puis rattachés à une chronologie lisible.
Un responsable vécu par de nombreux secours numériques raconte souvent le même moment : « j’ai voulu fermer la machine avant de documenter ». Ce réflexe peut coûter cher, car chaque action modifie parfois l’état initial et affaiblit la preuve.
« J’ai compris qu’il fallait figer les traces avant de chercher le coupable, sinon le rapport devenait fragile. »
Marc T.
À retenir pour la collecte :
- Captures horodatées et conservées
- Journaux système exportés rapidement
- Copie séparée des éléments sensibles
- Accès limité aux seules personnes utiles
- Trace des manipulations effectuées
Cette discipline évite des débats stériles sur l’origine des fichiers ou la validité des constats. Elle ouvre aussi la voie à une exploitation plus humaine des témoignages, souvent négligée dans l’urgence.
Selon la CNIL, la gestion d’un incident doit être pensée, testée et corrigée avant la crise. Cette exigence vaut particulièrement lorsque des personnes ont vu, entendu ou confirmé une partie des faits.
Exploiter les témoignages sans les déformer
Ce volet complète la conservation technique, car les témoins donnent souvent le contexte que les logs n’offrent pas. Une phrase entendue au bon moment, un badge d’accès, un écran resté ouvert, tout cela enrichit la description.
Dans une PME fictive, l’agent d’accueil a remarqué une visite inhabituelle avant la panne générale. Son témoignage n’a pas remplacé les journaux, mais il a aidé à reconstituer le déroulé exact et à réduire les zones d’ombre.
À retenir pour les témoignages :
- Recueil rapide et écrit
- Questions courtes et neutres
- Faits observés séparés des suppositions
- Identité et fonction notées
- Concordance avec les autres traces
« Le plus utile a été de noter ce que chacun avait vu, sans interpréter trop vite. »
Claire D.
Une trace bien tenue rend ensuite possible le rapprochement avec les obligations réglementaires. C’est justement ce rapprochement qui doit être clarifié quand plusieurs destinataires attendent des documents différents.
Préparer le rapport pour l’autorité et les autres destinataires
Après la collecte, le risque change de nature, car le problème devient documentaire et juridique. Selon la directive NIS2, l’alerte précoce, la notification et le rapport final suivent des délais distincts, chacun avec un contenu propre.
Écrire un rapport clair, bref et complet
Ce premier angle reprend le travail de preuve, mais il le transforme en document transmissible. Le rapport attendu par l’autorité doit décrire les faits, les effets, les mesures prises et l’analyse de cause, sans surcharger la lecture.
Une équipe de crise a parfois tendance à tout dire, tout de suite, par peur d’oublier un détail. Or un bon document sépare l’essentiel du périphérique, ce qui laisse apparaître les faits utiles sans noyer la lecture.
« Nous avons gagné du temps quand le rapport a suivi la chronologie au lieu de répéter les échanges internes. »
Sophie R.
À retenir pour la rédaction :
- Description factuelle du phénomène
- Effets déjà constatés
- Mesures correctives engagées
- Incertitudes identifiées comme telles
- Annexes techniques bien nommées
Un rapport bien ordonné aide aussi à distinguer ce qui relève de l’autorité, de l’assureur ou d’un autre guichet. Cette clarté devient encore plus importante lorsque plusieurs notifications se superposent.
Ne pas confondre autorité, assurance et autres démarches
Ce second angle prolonge la rédaction, car la confusion des destinataires reste une erreur fréquente. Selon l’ANSSI, notifier l’autorité compétente ne remplace ni une déclaration de sinistre ni une plainte.
Dans la pratique, un incident peut exiger trois démarches parallèles, chacune avec son délai et sa logique. Le responsable qui les mélange perd souvent du temps, et parfois des droits contractuels.
À retenir pour le circuit :
- Autorité compétente avec canal dédié
- Assureur avec délai contractuel distinct
- Plainte éventuelle selon les faits
- Copie interne centralisée pour suivi
- Responsable de dépôt identifié
Cette séparation ferme la boucle documentaire et prépare la mise à jour finale du dossier. Elle évite surtout qu’un bon travail de terrain soit affaibli par un envoi mal adressé.
Source : ANSSI, « Notifications d’incidents de sécurité aux autorités de contrôle », ANSSI, 2026 ; Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; CNIL, « Sécurité : gérer les incidents et les violations », CNIL, 2026.
