En vertu de l’article 23 de NIS2, un incident important se notifie par étapes : une alerte précoce dans les 24 heures suivant la prise de connaissance, une notification d’incident dans les 72 heures suivant la prise de connaissance et un rapport final dans un délai d’un mois après la notification. Les prestataires de services de confiance envoient la notification dans les 24 heures. Les rapports vont à votre CSIRT national ou à votre autorité compétente.
Ce guide couvre le point de départ du délai, chaque rapport, les prestataires de services de confiance, les destinataires, la réponse du CSIRT, les clients, les notifications transfrontières et volontaires, les règles nationales et un calendrier à copier.
| Étape | Délai | Contenu | NIS2 |
|---|---|---|---|
| Alerte précoce | Sans retard injustifié, dans les 24 heures suivant la prise de connaissance | Le cas échéant : acte illicite ou malveillant suspecté ; impact transfrontière possible | Art. 23, par. 4, point a) |
| Réponse du CSIRT | Sans retard injustifié, si possible dans les 24 heures suivant la réception de l’alerte précoce | Premier retour d’information ; sur demande, orientations sur l’atténuation | Art. 23, par. 5 |
| Notification d’incident | Sans retard injustifié, dans les 72 heures suivant la prise de connaissance (24 heures pour les prestataires de services de confiance) | Mise à jour de l’alerte précoce ; évaluation initiale de la gravité et de l’impact ; indicateurs de compromission, lorsqu’ils sont disponibles | Art. 23, par. 4, point b) |
| Rapport intermédiaire | À la demande du CSIRT ou de l’autorité | Mises à jour pertinentes sur la situation | Art. 23, par. 4, point c) |
| Rapport final | Au plus tard un mois après la notification d’incident | Description détaillée, gravité et impact ; type de menace ou cause profonde ; mesures d’atténuation appliquées et en cours ; impact transfrontière, le cas échéant | Art. 23, par. 4, point d) |
| Rapport d’avancement | Si l’incident est toujours en cours à l’échéance du rapport final | Rapport d’avancement à cette date ; rapport final dans un délai d’un mois après le traitement de l’incident | Art. 23, par. 4, point e) |
Quand commence le délai de 24 heures de NIS2 ?
Au moment où vous avez connaissance de l’incident important. L’article 23, paragraphe 4, point a), exige l’alerte précoce « sans retard injustifié et en tout état de cause dans les 24 heures après avoir eu connaissance de l’incident important ». Le délai ne commence pas quand l’attaquant s’est introduit, et il n’attend pas la fin de l’enquête.
Trois détails comptent plus qu’il n’y paraît.
- Les deux délais courent à partir de la prise de connaissance. La notification à 72 heures se calcule elle aussi à partir de la prise de connaissance, et non de l’alerte précoce. Si vous envoyez l’alerte précoce à la 23e heure, il vous reste 49 heures, pas 72.
- Le rapport final court à partir de la notification. Il est dû un mois après la soumission de la notification d’incident. Soumettre la notification plus tôt fait aussi démarrer plus tôt le délai d’un mois.
- 24 heures sont une limite, pas un objectif. L’alerte précoce et la notification d’incident doivent d’abord être envoyées « sans retard injustifié ». Une alerte précoce envoyée à la 23e heure, alors que vous en saviez assez à la 4e heure, est difficile à défendre.
La directive ne définit pas ce que signifie « avoir connaissance » de l’incident. L’alerte et la conclusion qu’un incident est important peuvent être séparées de plusieurs heures. Une approche prudente retient le moment le plus précoce. Dans tous les cas, consignez l’heure, la personne qui a décidé et les faits sur lesquels elle s’est fondée : c’est ce document qu’une autorité examinera.
Que contient chaque rapport de notification NIS2 ?
Alerte précoce, dans les 24 heures
Le cas échéant, elle indique si l’on soupçonne que l’incident a été causé par des actes illicites ou malveillants, et s’il pourrait avoir un impact transfrontière. Selon le considérant 102, elle ne devrait contenir que les informations nécessaires pour que le CSIRT ait connaissance de l’incident, et ne devrait pas détourner des ressources de son traitement. En pratique : qui vous êtes, un contact, une brève description, les services touchés et ce que vous ne savez pas encore.
Notification d’incident, dans les 72 heures
Elle met à jour l’alerte précoce et fournit une évaluation initiale de l’incident, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission lorsqu’ils sont disponibles : adresses IP, domaines, empreintes (hashes) de fichiers. À ce stade, vous devriez savoir quels services, systèmes et clients sont touchés.
Rapport intermédiaire, sur demande
Le CSIRT ou l’autorité compétente peut demander des mises à jour sur la situation à tout moment. Il n’y a pas de date fixe.
Rapport final, dans un délai d’un mois après la notification
L’article 23, paragraphe 4, point d), énumère quatre éléments :
- une description détaillée de l’incident, y compris de sa gravité et de son impact ;
- le type de menace ou la cause profonde qui a probablement déclenché l’incident ;
- les mesures d’atténuation appliquées et en cours ;
- le cas échéant, l’impact transfrontière.
Rapport d’avancement, si l’incident est toujours en cours
Si l’incident est toujours en cours à l’échéance du rapport final, vous envoyez à cette date un rapport d’avancement, puis le rapport final dans un délai d’un mois après le traitement de l’incident.
Les prestataires de services de confiance ont-ils un délai plus court ?
Oui. Pour les incidents importants qui ont un impact sur la fourniture de ses services de confiance, un prestataire de services de confiance envoie la notification d’incident dans les 24 heures suivant la prise de connaissance, au lieu de 72 (article 23, paragraphe 4, deuxième alinéa). L’alerte précoce est elle aussi due dans les 24 heures : les deux tombent donc dans la même fenêtre. Une approche raisonnable consiste à les préparer en une seule soumission lorsque votre formulaire national le permet.
Qu’est-ce qu’un incident important ?
Seuls les incidents importants déclenchent ce calendrier. Selon l’article 23, paragraphe 3, il s’agit d’un incident qui a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité. La notion couvre aussi un incident qui a affecté ou est susceptible d’affecter d’autres personnes en causant des dommages matériels ou immatériels considérables.
Les fournisseurs numériques, tels que les fournisseurs de services d’informatique en nuage, de centres de données et de services gérés, disposent de seuils concrets dans le règlement d’exécution (UE) 2024/2690. L’un d’eux est une perte financière directe supérieure à 500 000 EUR ou à 5 % du chiffre d’affaires annuel, le montant le plus bas étant retenu. La manière de trancher est expliquée dans ce qui rend un incident important. Un rançongiciel qui arrête un service central est le cas d’école : voir NIS2 et les rançongiciels.
À qui adresser la notification ?
À votre CSIRT national ou, le cas échéant, à votre autorité compétente (article 23, paragraphe 1). Le droit national détermine lequel et fournit le canal. Une autorité compétente transmet la notification au CSIRT dès sa réception. Pour les incidents transfrontières ou transsectoriels, le point de contact unique reçoit aussi les informations pertinentes.
Les entités financières sont la principale exception. L’article 4 écarte les obligations de notification de NIS2 lorsqu’un acte juridique sectoriel de l’Union est au moins équivalent. Le considérant 28 désigne DORA comme cet acte pour les entités financières : elles notifient donc au titre de DORA.
Que fait le CSIRT de votre alerte précoce ?
L’article 23, paragraphe 5, impose au CSIRT ou à l’autorité compétente de répondre sans retard injustifié et, si possible, dans les 24 heures suivant la réception de l’alerte précoce. La réponse comprend un premier retour d’information et, si vous le demandez, des orientations ou des conseils opérationnels sur l’atténuation. Le CSIRT fournit un soutien technique supplémentaire sur demande. Si l’incident semble de nature criminelle, vous recevez aussi des orientations pour le signaler aux services répressifs.
Selon l’article 23, paragraphe 1, le simple fait de notifier n’expose pas l’entité qui notifie à une responsabilité accrue. Cela ne vous protège pas des conséquences de l’incident lui-même.
Votre rapport peut ne pas rester confidentiel. Lorsque le public doit être informé ou que c’est dans l’intérêt public, le CSIRT ou l’autorité peut informer le public, ou exiger que vous le fassiez, après vous avoir consulté (article 23, paragraphe 7). Une consultation, pas un consentement.
Devez-vous informer vos clients ?
L’article 23 prévoit deux obligations distinctes envers les destinataires de vos services.
Incidents importants, article 23, paragraphe 1
Lorsque c’est approprié, vous informez sans retard injustifié les destinataires des incidents importants susceptibles de nuire à la fourniture de vos services.
Cybermenaces importantes, article 23, paragraphe 2
Le cas échéant, vous communiquez aux destinataires potentiellement touchés par une cybermenace importante toutes les mesures ou corrections qu’ils peuvent appliquer en réponse. Lorsque c’est approprié, vous les informez aussi de la menace elle-même. Cette obligation peut s’appliquer avant même que quoi que ce soit ne vous soit arrivé.
Selon l’article 6, point 11), une cybermenace importante est une cybermenace qui, compte tenu de ses caractéristiques techniques, peut être considérée comme susceptible d’avoir un impact grave sur vos systèmes ou vos utilisateurs. Pensez à des identifiants de clients volés qui circulent en ligne, ou à une faille exploitée dans un logiciel qu’utilisent vos clients.
Le considérant 103 ajoute que ces informations devraient être gratuites et faciles à comprendre, et qu’elles ne remplacent pas vos propres mesures. En pratique :
- Commencez par ce que le destinataire doit faire. Un client à qui l’on dit « changez votre mot de passe maintenant » est mieux servi qu’un client qui reçoit une analyse de la menace sans aucune consigne.
- Distinguez ce qui est confirmé de ce qui est suspecté. « Votre compte a fait l’objet d’un accès » et « votre compte est peut-être concerné » sont des messages différents.
- Utilisez les canaux que vos destinataires lisent vraiment, et préparez des modèles avant d’en avoir besoin.
- Consignez qui a été informé, quand, par quel canal et de quoi.
Que se passe-t-il en cas d’incident transfrontière ?
Vous n’avez pas à notifier vous-même chaque pays concerné. Vous notifiez votre propre CSIRT ou autorité, avec les informations dont il a besoin pour apprécier l’impact transfrontière (article 23, paragraphe 1). Lorsque c’est approprié, en particulier lorsque deux États membres ou plus sont concernés, le CSIRT, l’autorité ou le point de contact unique informe les autres États membres et l’ENISA. Il doit préserver votre sécurité, vos intérêts commerciaux et la confidentialité de votre rapport (article 23, paragraphe 6). À la demande du CSIRT ou de l’autorité, le point de contact unique transmet votre notification à ses homologues des autres États membres touchés (article 23, paragraphe 8).
L’exception concerne les entités qui relèvent de plusieurs juridictions. Les fournisseurs de réseaux ou de services de communications électroniques publics relèvent de chaque État membre dans lequel ils fournissent leurs services (article 26) : chaque régime national s’applique donc.
Peut-on notifier volontairement ?
Oui. L’article 30 permet aux entités essentielles et importantes de notifier des incidents, des cybermenaces et des incidents évités en plus de leurs notifications obligatoires, qu’ils soient importants ou non. Toute autre entité, qu’elle relève ou non du champ d’application, peut notifier des incidents importants, des cybermenaces et des incidents évités. Selon l’article 6, point 5), un incident évité est un événement qui aurait pu compromettre vos données ou vos services, mais qui a été évité ou ne s’est pas produit.
Les notifications volontaires suivent la procédure de l’article 23, mais les États membres peuvent traiter en priorité les notifications obligatoires. Sans préjudice des enquêtes pénales, une notification volontaire ne vous impose pas d’obligations que vous n’auriez pas eues autrement.
Comment les règles nationales modifient-elles le calendrier ?
Les étapes et les délais viennent de la directive : ils sont donc les mêmes partout. Le droit national fixe le destinataire, le canal, le formulaire et parfois le vocabulaire. Le considérant 106 invite les États membres à fournir des moyens techniques tels qu’un point d’entrée unique, des formulaires en ligne et des modèles.
Au Luxembourg, par exemple, le rapport à 24 heures s’appelle la notification préliminaire, et les entités placées sous la surveillance de l’ILR le déposent via le formulaire en ligne SERIMA. La procédure nationale et un modèle figurent dans la notification des incidents NIS2 au Luxembourg. Vérifiez votre propre droit national et les lignes directrices de votre autorité avant de construire le processus.
Quels autres signalements le même incident peut-il déclencher ?
NIS2 n’est souvent pas le seul délai qui court.
- RGPD. En cas de violation de données à caractère personnel, le responsable du traitement la notifie à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes (article 33 du RGPD). Le recoupement est traité dans NIS2 et RGPD.
- Règlement sur la cyberrésilience. Depuis le 11 septembre 2026, les fabricants signalent les vulnérabilités activement exploitées dans leurs produits et les incidents graves ayant un impact sur la sécurité de ces produits, en commençant par une alerte précoce dans les 24 heures. Voir les obligations de signalement du CRA.
- DORA, pour les entités financières, à la place de NIS2.
En pratique, établissez tous les signalements à partir d’un seul dossier d’incident, pour que les faits et les horodatages concordent.
Que se passe-t-il si vous manquez un délai de notification NIS2 ?
Les manquements à l’article 23 sont passibles des amendes administratives prévues à l’article 34. Le droit national doit prévoir des amendes d’un montant maximal d’au moins 10 000 000 EUR ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et d’au moins 7 000 000 EUR ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.
Calendrier de notification des incidents NIS2 à copier
CALENDRIER DE NOTIFICATION, ARTICLE 23 DE NIS2
T0 L'entité a connaissance d'un incident important
Consigner : date, heure (UTC), qui a décidé, sur quels faits
T0 + 24 h ALERTE PRÉCOCE au CSIRT ou à l'autorité compétente
- acte illicite ou malveillant suspecté ? O / N / inconnu
- impact transfrontière possible ? O / N / inconnu
A + 24 h Réponse du CSIRT ou de l'autorité, si possible
(A = réception de l'alerte précoce) : retour, orientations
T0 + 72 h NOTIFICATION D'INCIDENT
- mise à jour de l'alerte précoce
- évaluation initiale de la gravité et de l'impact
- indicateurs de compromission, s'ils sont disponibles
Prestataires de services de confiance : due à T0 + 24 h
Sur demande RAPPORT INTERMÉDIAIRE : mises à jour pertinentes
N + 1 mois RAPPORT FINAL (N = soumission de la notification d'incident)
- description détaillée, gravité et impact
- type de menace ou cause profonde
- mesures d'atténuation appliquées et en cours
- impact transfrontière, le cas échéant
En cours ? RAPPORT D'AVANCEMENT à N + 1 mois, puis
RAPPORT FINAL dans le mois suivant le traitement
En parallèle, sans retard injustifié :
- destinataires, incident important (art. 23, par. 1)
- destinataires, cybermenace importante (art. 23, par. 2)
- autorité RGPD si données personnelles (72 h si possible)Que doivent faire les outils pour tenir le calendrier de notification NIS2 ?
L’article 23 est procédural. Il dit quand notifier et quoi dire, pas comment vous l’apprenez, et c’est là que le calendrier se gagne ou se perd. Un délai de 24 heures est facile à tenir si vous savez tout dès l’heure zéro. Il est impossible à tenir si l’alerte est restée trois jours dans une boîte mail.
La notification à 72 heures est plus difficile. Gravité, impact et indicateurs de compromission supposent de savoir quels services ont été touchés, quels clients en dépendent et ce que l’attaquant a atteint. Il faut pour cela des journaux conservés et interrogeables, et une cartographie qui relie systèmes, services et clients. Beaucoup d’entreprises ne dressent cette cartographie que lorsqu’un incident les y oblige.
Lorsque vous comparez des éditeurs qui affirment prendre en charge la notification des incidents NIS2, posez trois questions. L’outil enregistre-t-il le moment de la prise de connaissance et calcule-t-il chaque échéance à partir de celui-ci ? Un seul dossier d’incident alimente-t-il les signalements NIS2, RGPD et CRA ? Peut-il montrer à une autorité, des mois plus tard, ce que vous saviez et quand ? La plateforme CloudSoul fonctionne ainsi : une collecte automatisée des preuves, avec une expertise humaine dans la boucle pour les décisions qu’un outil ne devrait pas prendre seul, par exemple déterminer si un incident est important. Le programme dans son ensemble est présenté sur la page conformité NIS2.
Liste de contrôle : notification des incidents NIS2
- Désignez la personne qui décide qu’un incident est important, ainsi qu’un suppléant, tous deux joignables en dehors des heures de bureau.
- Notez par écrit votre destinataire et votre canal nationaux, et testez l’accès avant d’en avoir besoin.
- Consignez dans chaque dossier d’incident le moment de la prise de connaissance et la personne qui a décidé.
- Préremplissez l’alerte précoce avec les informations sur l’entité et les contacts.
- Tenez des journaux et une cartographie systèmes, services et clients suffisamment bons pour répondre aux questions des 72 heures.
- Préparez des modèles de notification aux clients pour les incidents importants et les cybermenaces importantes.
- Reliez les signalements NIS2, RGPD et, si vous fabriquez des produits, CRA à un seul dossier d’incident.
- Exercez-vous aux délais de 24 et de 72 heures au moins une fois par an.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 4, 6, 23, 26, 30 et 34 et considérants 28, 102, 103 et 106, EUR-Lex.
- Règlement d’exécution (UE) 2024/2690 de la Commission, articles 3 et 4, EUR-Lex.
- Règlement (UE) 2016/679 (RGPD), article 33, EUR-Lex.
- Règlement (UE) 2024/2847 (règlement sur la cyberrésilience), article 14, EUR-Lex.
- Règlement (UE) 2022/2554 (DORA), article 19, EUR-Lex.
Questions fréquentes
Quels sont les délais de notification d'incident prévus par NIS2 ?
Une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident important, une notification d'incident dans les 72 heures suivant la prise de connaissance, et un rapport final au plus tard un mois après la notification d'incident. Le CSIRT ou l'autorité peut demander des rapports intermédiaires, et un incident toujours en cours à l'échéance d'un mois donne d'abord lieu à un rapport d'avancement.
Quand commence le délai de 24 heures de NIS2 ?
Au moment où l'entité a connaissance de l'incident important, et non au moment où l'incident a commencé. Le délai de 72 heures court à partir du même moment : une notification d'incident est donc due 48 heures après une alerte précoce envoyée à la 24e heure.
Les prestataires de services de confiance ont-ils un délai NIS2 plus court ?
Oui. Pour les incidents importants qui ont un impact sur la fourniture de leurs services de confiance, les prestataires de services de confiance doivent envoyer la notification d'incident dans les 24 heures suivant la prise de connaissance, au lieu de 72 heures.
Faut-il informer ses clients d'un incident NIS2 ?
Lorsque c'est approprié, vous informez sans retard injustifié les destinataires de vos services des incidents importants susceptibles de nuire à la fourniture de ces services. En cas de cybermenace importante, vous indiquez, le cas échéant, aux destinataires potentiellement concernés les mesures ou corrections qu'ils peuvent appliquer et, lorsque c'est approprié, vous les informez de la menace elle-même.
Une entreprise hors du champ de NIS2 peut-elle notifier un incident volontairement ?
Oui. L'article 30 permet à toute entité, qu'elle relève ou non du champ d'application, de notifier volontairement des incidents importants, des cybermenaces et des incidents évités. Une notification volontaire n'impose pas à l'entité d'obligations qu'elle n'aurait pas eues autrement.
