Rapport final d'incident (NIS2, un mois)
Dernière étape du signalement NIS2 : au plus tard un mois après la notification d'incident, l'entité remet un rapport qui décrit l'incident, sa cause profonde probable, les mesures d'atténuation et l'impact transfrontière, avec un rapport d'avancement si l'incident dure encore.
Le rapport final d'incident est la dernière étape du signalement imposé par la directive (UE) 2022/2555, dite NIS2 : au plus tard un mois après la notification d'incident, l'entité remet un rapport sur l'incident, sa cause profonde probable, les mesures d'atténuation et l'impact transfrontière. Le 26 mai 2020, un magistrat fédéral de Virginie a ordonné à Capital One de remettre aux demandeurs d'une action collective le rapport rédigé par Mandiant après la fuite de mars 2019. Le tribunal a confirmé le 25 juin : la cause racine écrite par un forensicien n'est pas restée entre l'entreprise et ses avocats. NIS2 rend ce texte obligatoire et le destine à une autorité. L'article 23, paragraphe 4, de la directive (UE) 2022/2555 prévoit au point c un rapport intermédiaire, à la demande du CSIRT (centre de réponse aux incidents de sécurité informatique) ou de l'autorité compétente, sur l'état de la situation. Le rapport final du point d, dû un mois après la notification du point b, décrit en détail l'incident, sa gravité et son impact, le type de menace ou la cause profonde qui l'a probablement déclenché, les mesures d'atténuation appliquées et en cours. Au point e, si l'incident dure encore à cette date, l'entité remet un rapport d'avancement, puis le rapport final dans le mois qui suit la fin du traitement de l'incident. Un mois, c'est court pour une analyse de cause racine sur un attaquant resté des semaines dans le réseau. Pour le souscripteur, cela prolonge la facture forensique au-delà de la phase d'endiguement, et une police qui limite les frais d'investigation à la recherche de « l'étendue de l'incident » se discute dès que le rapport exige la cause. Le second frottement est celui de Capital One : le rapport final fixe une version officielle de la cause, que liront les autorités, les plaignants et l'expert de l'assureur au moment d'apprécier une exclusion pour défaut de correctif. La pratique sépare le rapport technique couvert par le secret professionnel de la synthèse remise à l'autorité. Nuance : la transposition nationale peut préciser la forme, et un communiqué officiel belge parle de trente jours.
Cas d'école : une entité fictive notifie un incident le 4 mars ; le rapport final est dû le 4 avril. L'attaquant est encore présent, l'entité remet ce jour-là un rapport d'avancement. Le traitement s'achève le 20 avril, le rapport final part au plus tard le 20 mai. Ce mois et demi de plus coûte 120 heures de forensique à 350 €, soit 42 000 €, que la police prend parce que ses frais d'investigation couvrent la recherche de la cause, engagée dans les 180 jours de la découverte.
rapport final NIS2, rapport final d'incident, rapport intermédiaire NIS2, rapport d'avancement NIS2, article 23, paragraphe 4, point d, rapport à un mois
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.