La notification des incidents NIS2 en trois étapes

Quand un incident est-il important

L’obligation de notification ne vise pas tous les incidents de sécurité, seulement les incidents importants. Selon l’article 23, paragraphe 3, de la directive (UE) 2022/2555, repris à l’article 17 du projet de loi adopté par le Sénat, un incident est important s’il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité. Il l’est aussi s’il a affecté ou est susceptible d’affecter d’autres personnes en causant des dommages matériels, corporels ou moraux considérables.

Le mot « susceptible » compte. Une attaque stoppée à temps peut être importante si le risque de paralysie était réel. Une tentative d’hameçonnage bloquée sans conséquence ne l’est pas.

Le projet de loi prévoit qu’un décret en Conseil d’État précisera les critères d’appréciation. En attendant, fixez vos propres seuils : durée d’indisponibilité, nombre de clients touchés, préjudice estimé, fuite de données confidentielles.

Les délais prévus

Les délais courent à partir du moment où vous avez connaissance de l’incident important. Ils sont identiques dans la directive (art. 23, par. 4) et dans l’article 17 du texte du Sénat.

Selon le texte du Sénat, l’ANSSI répond dans les 24 heures suivant la première notification si possible.

À qui notifier, et en parallèle à qui

Le projet désigne l’ANSSI comme destinataire. Le canal et la procédure seront fixés par décret ; ils ne sont pas encore connus. Aujourd’hui, seules les obligations existantes s’appliquent : celles des OSE et des OIV, et la notification des violations de données personnelles.

Cette dernière reste distincte. Selon l’article 33 du RGPD, une violation de données personnelles se notifie à la CNIL dans les 72 heures. Le texte du Sénat prévoit que l’ANSSI informera la CNIL des incidents susceptibles d’entraîner une telle violation, mais cela ne vous dispense pas de votre propre notification. Associez votre délégué à la protection des données à la chaîne de notification dès le départ.

Informer les destinataires de vos services

Selon l’article 17 du projet, les entités notifient aussi, sans retard injustifié, les incidents importants ayant un impact direct sur les destinataires de leurs services, par exemple en cas d’extraction de données sensibles. Elles signalent également les vulnérabilités critiques qui touchent leurs services, avec les mesures que les destinataires peuvent appliquer. L’ANSSI peut en outre exiger que l’entité informe le public d’un incident, ou le faire elle-même, après l’avoir consultée.

Préparez donc des modèles de message pour vos clients et décidez à l’avance qui les valide.

Ce que vous pouvez déjà faire

Un incident survient rarement un mardi à 10 heures. Pour tenir 24 heures, ces points doivent être réglés et écrits :

• Rôles : qui évalue si l’incident est important, qui décide, qui notifie. La décision revient à la direction ou à son suppléant désigné.
• Suppléances : pour chaque rôle, au moins un suppléant, y compris le week-end et pendant les congés.
• Modèles : un modèle par étape (24 h, 72 h, rapport final), plus un pour la CNIL et un pour les clients.
• Contacts hors ligne : cellule de crise, prestataire informatique, DPO, assureur et conseil juridique, sur papier et sur un appareil hors du système d’information.
• Journal : un journal horodaté dès la première alerte. Il prouvera quand vous avez eu connaissance de l’incident.
• Prestataires : des contrats qui les obligent à vous signaler leurs incidents sans délai.
• Exercice : un exercice par an avec la direction, jusqu’à une notification fictive.

Le diagnostic NIS2 vérifie ces points dans le domaine « Enregistrement et notification ». Le contact déclaré lors de l’enregistrement servira de point d’entrée pour l’ANSSI.