Notification des incidents au titre de NIS2 : 24 h / 72 h / 1 mois

La directive NIS2 fixe trois échéances successives pour la notification des incidents de cybersécurité importants. Vous devez transmettre une alerte précoce dans les 24 heures suivant la prise de connaissance de l’incident, puis une notification plus détaillée dans les 72 heures et, enfin, un rapport final complet dans un délai d’un mois. La distinction essentielle concerne le délai de 72 heures prévu par le GDPR pour notifier une violation de données, qui constitue une échéance unique et non un processus en trois étapes. Les confondre est une erreur fréquente à l’examen.

Pour bien retenir l’ordre, imaginez une alerte d’actualité dans les 24 heures, une séance d’information détaillée dans les 72 heures et un bilan dans un délai d’un mois. Testez-vous en récitant : « 24 pour l’alerte, 72 pour les détails, un mois pour le rapport complet. » Si vous voyez un délai de 48 heures ou de 14 jours, il provient probablement d’un autre règlement, comme le règlement sur la résilience opérationnelle numérique (DORA) : considérez-le comme un élément destiné à vous induire en erreur.

Pour éviter toute confusion, retenez l’enchaînement « alerter, expliquer, clore ». L’alerte à 24 heures est un simple signalement comprenant une première évaluation de l’incidence ; la notification à 72 heures ajoute la cause profonde et les effets persistants ; le rapport à un mois présente l’enquête complète et les mesures d’atténuation. Pour éliminer une réponse, sachez que la mention d’un « rapport intermédiaire » ou d’une « mise à jour » ne correspond vraisemblablement pas à NIS2 : NIS2 ne prévoit que ces trois étapes fixes, pas des mises à jour continues. Le délai de 24 heures commence par ailleurs au moment où l’entité « prend connaissance » de l’incident, et non au moment où il se produit ; soyez donc attentif aux termes « découvert » et « survenu ».