L'obligation de notification : 24 heures, 72 heures et un mois
Trois moments, et aucun d'eux n'est l'obligation de notification dans les 24 heures auquel on se réfère généralement.
Trois étapes, pas une seule
En cas d'incident significatif, vous déclarez trois fois. Dans les 24 heures, un avis précoce : quelque chose de grave s'est produit, possiblement de nature malveillante, possiblement avec des conséquences transfrontalières. Vous n'avez pas besoin d'en dire plus à ce moment-là, car vous ne savez souvent pas vous-même ce qui se passe exactement.
Dans les 72 heures, suit la notification proprement dite : la gravité, les conséquences et les indices que vous avez sur la manière dont cela s'est produit. Et dans un mois, le rapport final : ce que c'était, la cause, ce que vous en avez fait et les conséquences transfrontalières.
Quand un incident est-il significatif ?
S'il provoque une perturbation grave de votre service ou des pertes financières, ou s'il peut causer des dommages considérables à d'autres. C'est volontairement formulé largement. En pratique, la règle empirique est : si vous l'appelez une crise en interne, c'est significatif.
Le délai court à partir du moment où vous devenez conscient de l'incident, non à partir du moment où il a commencé. Cette différence peut représenter plusieurs jours, et c'est la raison pour laquelle enregistrer quand vous avez découvert quelque chose est important.
À qui déclarer
Au CSIRT ou à l'autorité compétente de votre pays. Chaque pays dispose de son propre portail et de son propre moyen d'authentification.
Ce moyen d'authentification est précisément la raison pour laquelle nous ne déclarons jamais en votre nom. Nous préparez le texte, avec les données de votre dossier remplies, et vous le déposez vous-même. Ce n'est pas une limite mais un choix : votre accès auprès de votre autorité de contrôle ne doit pas dépendre d'un fournisseur.
Questions fréquemment posées
Que se passe-t-il si je déclare trop tard ?
Déclarer trop tard est en soi une violation. En cas de doute, un avis précoce qui s'avère ultérieurement inutile revient moins cher qu'une notification arrivée trop tard : la première étape ne prend dix minutes.
Dois-je également informer mes clients ?
Si l'incident affecte leur prestation de service, l'autorité de contrôle peut vous y obliger. Indépendamment de cela, le RGPD s'applique séparément : s'il s'agit de données personnelles, il y a aussi une obligation de notification à l'Autorité de la protection des données.
Cela s'applique-t-il aussi si je suis affecté par la chaîne ?
Non. L'obligation de notification ne s'applique qu'aux organisations qui sont elles-mêmes soumises à la loi. Votre contrat avec un client assujetti peut cependant contenir un accord de notification distinct.
Ceci est une explication, non un conseil sur votre propre situation. secria.eu n'évalue pas votre organisation et ne donne pas d'assurance.