Un rançongiciel bloque un service utilisé par des clients et des partenaires. Pour une entité concernée par NIS2, l’enjeu immédiat ne se limite pas à rétablir les systèmes : il faut aussi qualifier l’événement et respecter une séquence de notification d’incident.
La directive prévoit une alerte précoce sous 24 heures, une notification sous 72 heures, puis un rapport final dans le mois. Ces délais réglementaires ont des points de départ précis ; une procédure préparée aide les équipes à agir sans attendre une analyse complète.
À retenir : les échéances de notification NIS2
- Alerte précoce dans les 24 heures suivant la prise de connaissance
- Notification plus détaillée au plus tard sous 72 heures
- Rapport final dans le mois suivant la notification de l’incident
- Qualification rapide, preuves conservées et responsabilités clairement attribuées
Notification d’incident NIS2 : reconnaître le déclencheur
Ces échéances ne concernent pas automatiquement chaque alerte informatique : elles visent les incidents significatifs. Selon l’article 23 de la directive NIS2, l’évaluation porte notamment sur la gravité de la perturbation, les pertes financières et les dommages causés à d’autres personnes.
Quels incidents peuvent nécessiter un signalement ?
Une indisponibilité durable d’un service essentiel, une fuite importante de données ou une compromission de comptes administrateurs peuvent justifier une déclaration. Une attaque chez un fournisseur mérite aussi une analyse si elle affecte les services ou les clients de l’entité concernée.
Imaginons une entreprise de transport dont le prestataire informatique subit une attaque. Si la réservation ou le suivi des véhicules devient indisponible, l’entreprise doit évaluer son propre impact, même si l’intrusion a commencé ailleurs.
Selon les critères de NIS2, la significativité dépend des effets observés ou raisonnablement prévisibles, et non du seul nom de l’attaque. En cas de doute, consigner les éléments disponibles et demander rapidement conseil à l’autorité compétente permet d’éviter une qualification tardive.
Repères pour évaluer l’impact opérationnel :
- Durée et étendue de l’interruption des services
- Nombre de systèmes, clients ou partenaires affectés
- Pertes financières et conséquences concrètes pour des tiers
- Atteinte à la confidentialité, à l’intégrité ou à la disponibilité
Le délai de notification se calcule à partir de la prise de connaissance d’un incident significatif, selon les étapes prévues par la directive. Il ne faut donc pas attendre une certitude complète sur la cause ou l’étendue de l’attaque pour organiser l’alerte.
| Étape | Échéance NIS2 | Finalité |
|---|---|---|
| Alerte précoce | Sous 24 heures | Informer rapidement l’autorité et signaler les premiers éléments |
| Notification d’incident | Sous 72 heures | Présenter une évaluation initiale plus circonstanciée |
| Rapport final | Dans le mois suivant la notification | Décrire l’incident, ses causes et les mesures correctives |
| Incident toujours en cours | Rapport intermédiaire, puis rapport final après traitement | Maintenir le suivi jusqu’à la clôture |
Délais réglementaires : contenu des trois déclarations
Une fois le déclencheur identifié, la procédure d’alerte doit organiser les informations à transmettre à chaque étape. Selon la directive NIS2, la première alerte sert à prévenir l’autorité ; elle ne suppose pas que l’enquête technique soit déjà terminée.
Alerte sous 24 heures et notification sous 72 heures
L’alerte précoce indique les premières informations disponibles, notamment si l’incident paraît résulter d’un acte illicite ou malveillant et s’il peut avoir des effets transfrontaliers. À 72 heures, l’entité complète son signalement avec une première évaluation de la gravité et de l’impact.
Les indicateurs techniques disponibles, comme des adresses IP suspectes ou des empreintes de fichiers, peuvent appuyer l’analyse. Si certaines données manquent encore, l’entité transmet les éléments disponibles et précise qu’un complément suivra, conformément aux modalités applicables.
Informations à préparer pour les premiers échanges :
- Heure de détection et chronologie connue des événements
- Services affectés et premières conséquences constatées
- Mesures de confinement déjà engagées
- Indices techniques et éventuel impact transfrontalier
Une entreprise ne doit pas confondre ces obligations avec le RGPD : une violation de données personnelles peut aussi entraîner une notification à la CNIL, selon ses propres critères et délais. Les deux démarches sont distinctes et l’une ne remplace pas l’autre.
Rapport final et suivi des délais
Le rapport final expose la chronologie, le vecteur d’attaque probable, les systèmes touchés, les conséquences réelles et les mesures d’atténuation. Selon l’article 23, il présente également, lorsque cela est possible, les causes profondes et les actions destinées à réduire le risque de récidive.
Dans le scénario du transporteur, le rapport pourrait expliquer la durée d’indisponibilité, les fonctions restaurées et les changements apportés aux accès du prestataire. Le suivi des délais doit être documenté avec les heures d’alerte, les responsables et les accusés de réception.
Repères pour structurer le rapport final :
- Chronologie de l’incident et systèmes concernés
- Cause probable et conséquences vérifiées
- Mesures correctives déjà appliquées
- Plan d’action pour prévenir une nouvelle interruption
| Moment | Éléments à consigner | Responsable opérationnel |
|---|---|---|
| Qualification | Impact, périmètre et heure de prise de connaissance | Équipe de réponse ou RSSI |
| Alerte initiale | Faits confirmés et informations préliminaires | Responsable de notification désigné |
| Mise à jour | Évaluation, indicateurs et mesures en cours | Cellule de crise avec les équipes techniques |
| Clôture | Causes, dommages et plan de remédiation | Direction et responsables concernés |
Préparer la procédure d’alerte et la gestion des incidents
Les délais deviennent difficiles à tenir lorsque personne ne sait qui qualifie l’incident ou contacte l’autorité. Selon l’ANSSI, les entités doivent se référer aux canaux et consignes officiels qui leur sont applicables ; les modalités peuvent dépendre du secteur et du cadre national.
Organiser les responsabilités avant une crise
Une procédure efficace désigne un responsable de notification et un remplaçant, réunit les contacts utiles et prévoit un moyen de transmettre les informations en sécurité. L’inscription aux services ou plateformes officiels requis doit être vérifiée avant qu’un incident survienne.
Une liste de préparation utile comprend les actions suivantes :
- Documenter les critères de qualification et d’escalade
- Préparer des modèles distincts pour chaque échéance
- Identifier les contacts internes, juridiques et réglementaires
- Tester le dispositif lors d’un exercice de crise
Tester la réactivité et éviter les retards
Un exercice peut révéler qu’une équipe technique dispose des preuves, mais que personne n’a l’autorité pour valider la déclaration. Il permet aussi de mesurer la réactivité, de répartir les tâches et de vérifier que les informations circulent même hors des horaires habituels.
La direction doit donc intégrer les obligations de déclaration à la gestion des incidents, plutôt que de les traiter comme une formalité ajoutée après la crise. Une chronologie tenue dès les premières minutes facilite les mises à jour et rend les décisions plus traçables.
Sources : Directive (UE) 2022/2555, article 23, Journal officiel de l’Union européenne, 2022 ; ANSSI, informations officielles sur NIS2 et les modalités nationales de notification.
