Incident important (NIS2)
Incident qui déclenche les obligations de notification de NIS2 parce qu'il a causé ou peut causer une perturbation opérationnelle grave ou des pertes financières pour l'entité, ou des dommages matériels ou moraux considérables à d'autres personnes.
Un incident important, au sens de la directive (UE) 2022/2555 dite NIS2, est un incident qui déclenche les obligations de notification parce qu'il a causé ou peut causer une perturbation opérationnelle grave ou des pertes financières pour l'entité, ou des dommages considérables à d'autres personnes. Le 7 octobre 2026, l'Assemblée nationale devait enfin examiner en séance le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ; la conférence des présidents l'a retiré de l'ordre du jour la veille. Le Sénat l'avait adopté en première lecture le 12 mars 2025, la commission spéciale de l'Assemblée le 10 septembre 2025. En juillet 2026, la Commission européenne a saisi la Cour de justice contre la France pour défaut de transposition de la directive (UE) 2022/2555, dont le délai expirait le 17 octobre 2024. À la date de cette fiche, aucun vote définitif n'est trouvé : en France, la notion d'incident important n'a donc pas encore de texte national qui l'impose. La définition européenne est à l'article 23, paragraphe 3, et les dommages aux tiers, personnes physiques ou morales, y sont matériels ou moraux. Le texte dit « susceptible de causer », et c'est le mot qui compte : l'intrusion contenue avant tout dégât peut suffire. Pour les fournisseurs numériques, le règlement d'exécution (UE) 2024/2690 chiffre les seuils. Pour le souscripteur, le déclencheur réglementaire et celui de la police vivent séparément. Une police cyber répond à un incident de sécurité, important ou non ; l'incident important ouvre des frais que la police n'avait pas toujours prévus, avocats pour trois rapports successifs, échanges avec l'autorité, puis la question de la garantie des enquêtes réglementaires. En sens inverse, une perturbation grave pour le régulateur peut rester sous le délai de carence de la perte d'exploitation. Et le dossier de notification devient une pièce : le souscripteur qui le lit au renouvellement voit l'incident avec les mots de l'assuré, datés.
Cas d'école : un distributeur fictif réalisant 60 000 € de marge brute par jour perd sa billetterie 36 heures après un rançongiciel. Pour l'autorité, la perturbation grave suffit : incident important, sans seuil chiffré. Pour la police, le délai de carence de 12 heures laisse 24 heures indemnisables, soit 60 000 € de perte d'exploitation sur 90 000 € perdus, et 140 000 € de frais de reconstruction pris par ailleurs en garanties de première partie.
incident important, incident significatif NIS2, incident significatif, article 23, paragraphe 3, incident important NIS2, seuil de notification NIS2
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.