Comment fonctionne la notification des incidents au titre de NIS2 ?

L’article 23(4) fixe le contenu de chaque étape :

• Alerte précoce, dans les 24 heures après avoir eu connaissance de l’incident significatif : le cas échéant, si l’on suspecte qu’il a été causé par des actes illicites ou malveillants et s’il pourrait avoir un impact transfrontière.
• Notification d’incident, dans les 72 heures après en avoir eu connaissance : une mise à jour de l’alerte précoce et une évaluation initiale de la gravité et de l’impact, avec les indicateurs de compromission lorsqu’ils sont disponibles.
• Rapport intermédiaire : à la demande du CSIRT ou de l’autorité compétente, sur les évolutions pertinentes de la situation.
• Rapport final, au plus tard un mois après la notification : une description détaillée, gravité et impact compris, le type de menace ou la cause profonde probable, les mesures d’atténuation appliquées et en cours, et l’éventuel impact transfrontière.

Les prestataires de services de confiance ont un délai plus court pour les incidents qui touchent leurs services de confiance : la notification d’incident est due dans les 24 heures après en avoir eu connaissance.

L’autorité n’est pas le seul destinataire. Le cas échéant, l’article 23(1) impose de notifier sans retard injustifié aux destinataires des services les incidents significatifs susceptibles de nuire à la fourniture de ces services. Selon l’article 23(2), les destinataires potentiellement touchés par une cybermenace importante doivent être informés des mesures ou corrections qu’ils peuvent appliquer. Lorsque la sensibilisation du public est nécessaire, le CSIRT ou l’autorité peut, après avoir consulté l’entité, informer le public ou exiger que l’entité le fasse (article 23(7)).

En retour, le CSIRT ou l’autorité répond à l’alerte précoce sans retard injustifié et si possible dans les 24 heures, avec un premier retour d’information et, sur demande, des orientations sur les mesures d’atténuation (article 23(5)). Si l’incident semble de nature criminelle, il fournit aussi des orientations pour le signaler aux autorités répressives.

Pour les fournisseurs DNS, registres de noms de domaine de premier niveau, fournisseurs de cloud, de centres de données, de réseaux de diffusion de contenu, de services gérés et de services de sécurité gérés, places de marché en ligne, moteurs de recherche, réseaux sociaux et prestataires de services de confiance, le règlement d’exécution (UE) 2024/2690 de la Commission remplace l’appréciation par des critères. Selon son article 3, un incident est significatif s’il remplit au moins l’un des critères suivants, entre autres :

• une perte financière directe supérieure à 500 000 euros ou à 5 % du chiffre d’affaires annuel total de l’exercice précédent, le montant le plus faible étant retenu ;
• l’exfiltration de secrets d’affaires ;
• le décès d’une personne ou une atteinte considérable à sa santé ;
• un accès non autorisé réussi, suspecté malveillant, susceptible de causer une perturbation opérationnelle grave ;
• les seuils propres à chaque service, fixés à ses articles 5 à 14.

La maintenance planifiée n’entre pas en compte. Selon l’article 4, des incidents survenus au moins deux fois en six mois avec la même cause apparente comptent comme un seul incident significatif s’ils remplissent ensemble le critère de perte financière. Les autres entités appliquent le critère général de l’article 23(3) de la directive, précisé par les orientations nationales.

• Formaliser la classification des incidents au regard de l’article 23(3), ou des critères du règlement 2024/2690 lorsqu’ils s’appliquent, et désigner qui tranche.
• Consigner le moment où vous avez eu connaissance d’un incident significatif : les délais de 24 et 72 heures courent à partir de là.
• Tenir à jour le circuit de signalement vers votre CSIRT ou votre autorité compétente dans chaque État membre où vous êtes concerné.
• Préparer des modèles pour l’alerte précoce, la notification et le rapport final, afin de réunir au fil de l’incident les informations exigées par l’article 23(4).
• Décider à l’avance qui informe les clients touchés, et comment.