NIS2 : notification des incidents — le guide pratique des 72 heures

Un ransomware frappe votre serveur principal à 23h un vendredi soir. Le chrono NIS2 démarre immédiatement. Vous avez 24 heures pour l’alerte initiale, 72 heures pour le rapport complet.

Qu’est-ce qu’un incident « significatif » au sens de NIS2 ?

L’article 23 de la directive 2022/2555 définit un incident significatif comme un événement qui cause ou peut causer une perturbation opérationnelle grave, une perte financière importante, ou qui affecte d’autres entités. Exemples : ransomware, fuite de données, DDoS, compromission de la chaîne d’approvisionnement.

Phase 1 : Alerte initiale (24 heures)

Dès que vous avez connaissance de l’incident, vous disposez de 24 heures pour envoyer une alerte initiale à l’ANSSI (article 23, directive 2022/2555). Cette alerte doit contenir la nature de l’incident, la cause suspectée, et une évaluation de l’impact transfrontalier potentiel.

Phase 2 : Notification complète (72 heures)

Dans les 72 heures, vous devez fournir un rapport complet : évaluation de la sévérité, impact sur vos services, indicateurs de compromission (IOC), mesures de remédiation en cours.

Phase 3 : Rapport final (1 mois)

Dans le mois suivant la résolution : analyse de la cause racine, mesures correctives implémentées, leçons apprises.

Ce que vous devez préparer MAINTENANT

Une équipe de réponse aux incidents avec des rôles clairs. Les coordonnées de l’ANSSI pré-enregistrées. Une matrice de classification des incidents. Des modèles de notification pré-rédigés. Une chaîne de communication interne définie. Des procédures de préservation des preuves.

Les erreurs courantes à éviter

Attendre trop longtemps pour classifier un incident comme significatif. Retarder la notification à cause de délais internes. Fournir un rapport incomplet sans IOC. Remédier avant de préserver les preuves forensiques.

Le chrono de 72 heures n’attend pas. Préparez-vous maintenant, ou payez plus tard — jusqu’à 10 M€ (article 34, directive 2022/2555).

*Cet article est informatif et ne constitue pas un conseil juridique.*