Trois moments, pas une seule échéance
Quiconque cherche « obligation de signalement nis2 24 heures » se heurte généralement à l'idée qu'une organisation doit tout savoir et signaler en un jour. Ce n'est pas exact. L'article 23 de la directive NIS2 distingue trois moments distincts après un incident significatif : un avertissement précoce dans les 24 heures, un signalement plus complet dans les 72 heures, et un rapport final dans un mois. Chaque moment demande quelque chose de différent, et le délai ne commence à courir que lorsque l'organisation prend connaissance de l'incident — non à partir du moment où l'incident a réellement eu lieu.
Important à savoir au préalable : cette obligation de signalement s'applique aux organisations elles-mêmes désignées comme essentielles ou importantes en vertu de la NIS2, c'est-à-dire aux entités des secteurs énumérés aux annexes I et II. Les entreprises affectées par la chaîne d'approvisionnement — le fournisseur PME qui reçoit un questionnaire de sécurité d'un grand client — ne sont pas soumises à cette obligation de signalement en tant que telles. Elles peuvent remarquer qu'un client demande comment elles gèrent les incidents, mais c'est différent d'une obligation légale de signalement auprès d'une autorité de contrôle. Si vous hésitez sur la catégorie à laquelle votre organisation appartient, le diagnostic avec quelques questions vous en donnera une première indication.
Le premier moment : un avertissement, pas une analyse
Les premières 24 heures sont destinées à un signal précoce, pas à une analyse complète. La directive parle ici d'un avertissement précoce : un bref message indiquant qu'il y a possiblement un incident significatif, et s'il existe une suspicion que l'incident a été causé par un acte illégitime ou peut avoir des conséquences transfrontières. Ce qui manque à ce stade — la cause exacte, l'ampleur, les systèmes affectés — n'est pas nécessaire. C'est précisément là que se situe l'idée fausse : 24 heures n'est pas un délai pour résoudre ou comprendre l'incident, c'est un délai pour signaler qu'il y a un problème.
Le deuxième moment : une première évaluation
Dans les 72 heures, un signalement qui va au-delà du premier avertissement est attendu. Une première évaluation de l'incident est ici requise, avec sa gravité et ses conséquences, et autant que possible les indicateurs qui pointent vers l'incident. C'est délibérément une étape intermédiaire : la directive reconnaît que 72 heures après la prise de connaissance, une organisation n'a souvent pas encore l'image complète. Ce qui est attendu, c'est que l'organisation puisse démontrer à ce moment ce qu'elle a établi jusqu'alors et quelles mesures elle a prises ou envisage.
Le troisième moment : le rapport final
Le rapport final, au plus tard un mois après le signalement, est l'endroit où les circonstances complètes sont documentées : une description détaillée de l'incident, sa gravité et ses conséquences, le type de menace ou la cause sous-jacente ayant conduit à l'incident, les mesures de traitement prises et en cours, et le cas échéant les conséquences transfrontières. Si l'incident se poursuit à ce moment, la directive prévoit un rapport intérimaire et un rapport final ultérieur une fois l'incident résolu.
Ce que l'organisation doit faire elle-même et ce qu'elle ne doit pas faire
Ces trois moments concernent ce qui est signalé et quand, pas comment une organisation traite techniquement l'incident. L'identification de la cause, l'isolation des systèmes, l'examen médico-légal — c'est du travail pour des parties spécialisées et sort du cadre de ce qu'une plateforme de préparation comme secria.eu fait. Nous préparons les textes nécessaires à chacun des trois moments, sur la base de ce qui est déjà établi dans le dossier cybersécurité de l'organisation concernant les mesures et les responsables ; la soumission se fait toujours par l'organisation elle-même, auprès du portail de l'autorité de contrôle compétente.
Le processus exact et le portail diffèrent selon le pays, car chaque État membre transpose la directive dans sa propre législation — aux Pays-Bas via la Loi sur la cybersécurité. Les détails tels que la procédure d'enregistrement précise auprès de l'autorité de contrôle sont donc à vérifier de préférence directement auprès de l'autorité de contrôle elle-même ou dans le texte national définitif. Un aperçu de la façon dont secria.eu gère les sources et avec quelle date se lit sur la page concernant l'origine de nos informations.
Pourquoi c'est plus qu'une simple question de mémoriser un délai
Les trois moments ne sont réalisables que si une organisation sait d'avance qui identifie un incident, qui le signale et quelles informations sont déjà disponibles à cet effet. C'est précisément là que les mesures de diligence raisonnable et le processus de notification convergent : une organisation qui gère ses mesures comme un registre vivant, avec un responsable pour chaque mesure, n'a pas besoin de recommencer à zéro en cas d'incident pour déterminer qui est responsable de quoi. Pour en savoir plus sur la façon dont ces mesures sont liées à l'obligation de notification et à d'autres obligations, consultez l'aperçu des sujets selon votre situation.
Si vous avez des questions sur ce qui entre exactement dans la catégorie d'incident significatif ou sur la façon dont l'obligation de notification s'applique à votre secteur, la page de questions fréquemment posées est une étape logique, en plus de consulter votre autorité de contrôle ou un juriste pour votre situation spécifique.
Si vous voulez d'abord savoir si votre organisation est soumise à l'obligation de notification, effectuez la vérification NIS2 gratuite. Elle vous donne en quelques questions une indication de votre situation, avec explications et prochaines étapes — sans que vous ayez besoin d'un compte.