Notification d'incident NIS2 (72 heures)
Deuxième étape du signalement NIS2 : dans les 72 heures suivant la prise de connaissance d'un incident important, l'entité met à jour son alerte précoce et livre une évaluation initiale de la gravité, de l'impact et, si elle les a, des indicateurs de compromission.
La notification d'incident est la deuxième étape du signalement imposé par la directive (UE) 2022/2555, dite NIS2 : dans les 72 heures suivant la prise de connaissance d'un incident important, l'entité met à jour son alerte précoce et livre une première évaluation de l'incident. Le texte, publié au Journal officiel le 27 décembre 2022, fixe cette marche à son article 23, paragraphe 4, point b : l'évaluation initiale porte sur la gravité et l'impact, avec les indicateurs de compromission lorsqu'ils sont disponibles. Les prestataires de services de confiance ont un régime dérogatoire : pour un incident important touchant leurs services de confiance, la notification est due dans les 24 heures. Le même incident déclenche souvent une seconde horloge. Si des données personnelles sont touchées, l'article 33 du règlement (UE) 2016/679 impose au responsable du traitement de notifier l'autorité de contrôle dans la mesure du possible 72 heures au plus tard après en avoir pris connaissance. En France, cette autorité est la CNIL (Commission nationale de l'informatique et des libertés). Deux autorités, deux formulaires, et deux points de départ qui ne coïncident pas : la connaissance d'un incident important d'un côté, la connaissance d'une violation de données personnelles de l'autre, parfois établie deux jours plus tard par la revue des journaux. Une entité financière ajoute encore DORA (Digital Operational Resilience Act) par-dessus. Côté police, ce dédoublement coûte surtout des heures d'avocat, logées dans les frais de réponse à incident ou de notification selon le libellé. Le vrai sujet est ailleurs : la garantie des enquêtes réglementaires a souvent été écrite autour des lois de protection des données, et sa définition de « procédure réglementaire » ne vise pas toujours une autorité NIS2 qui demande des comptes après la notification. Une sanction NIS2 elle-même bute ensuite sur l'assurabilité des amendes administratives, question distincte. À relire aussi : les indicateurs de compromission transmis au CSIRT (centre de réponse aux incidents de sécurité informatique) viennent du forensicien du panel, et la police doit permettre de les partager sans risquer la clause de confidentialité.
Cas d'école : un éditeur SaaS fictif prend connaissance d'un incident important le mercredi à 10 heures ; la notification NIS2 est due le samedi à 10 heures. Le jeudi à 16 heures, la revue des journaux établit l'exfiltration de 40 000 fiches clients : la notification à la CNIL (Commission nationale de l'informatique et des libertés) court jusqu'au dimanche 16 heures. Deux dossiers de 12 heures d'avocat chacun à 450 € de l'heure : 2 × 12 × 450 = 10 800 €, imputés sur les frais de réponse à incident.
notification d'incident NIS2, notification à 72 heures NIS2, notification NIS2, article 23, paragraphe 4, point b, évaluation initiale de l'incident, incident notification
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.