Notification d'incident NIS 2 : 24 heures, 72 heures, puis un mois

Notification d'incident : les trois échéances

L'article 23 de la directive (UE) 2022/2555, lu sur EUR-Lex le 14 septembre 2026, organise le signalement en étapes, et non en un rapport unique. Première étape, « sans retard injustifié et en tout état de cause dans les 24 heures après avoir eu connaissance de l'incident important, une alerte précoce qui, le cas échéant, indique si l'on suspecte l'incident important d'avoir été causé par des actes illicites ou malveillants ou s'il pourrait avoir un impact transfrontière ».

Deuxième étape, « sans retard injustifié et en tout état de cause dans les 72 heures après avoir eu connaissance de l'incident important, une notification d'incident » qui met à jour l'alerte et « fournit une évaluation initiale de l'incident important, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission, lorsqu'ils sont disponibles ».

Troisième étape, « un rapport final au plus tard un mois après la présentation de la notification d'incident ». Entre les deux, l'autorité peut demander « un rapport intermédiaire sur les mises à jour pertinentes de la situation ».

Ce que le rapport final doit contenir

Quatre éléments sont énumérés, et ils dessinent ce qu'il faut avoir tracé pendant la crise : « une description détaillée de l'incident, y compris de sa gravité et de son impact » ; « le type de menace ou la cause profonde qui a probablement déclenché l'incident » ; « les mesures d'atténuation appliquées et en cours » ; et « le cas échéant, l'impact transfrontière de l'incident ».

Si l'incident n'est pas terminé à l'échéance, la directive prévoit le cas : l'entité fournit alors « un rapport d'avancement puis un rapport final dans un délai d'un mois à compter du traitement de l'incident ». Le compteur repart donc de la fin du traitement, pas de la date de découverte.

Qu'est-ce qu'un incident « important »

Le seuil n'est pas technique mais fonctionnel. Un incident est considéré comme important si « il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité concernée », ou si « il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables ».

Deux mots comptent : « susceptible de », qui fait entrer les incidents dont l'effet n'est pas encore avéré, et « ou », qui rend les deux critères alternatifs. Un rançongiciel qui n'a pas encore chiffré la production mais menace de le faire relève déjà du premier critère.

Ce que la notification déclenche en retour

La directive prévoit une contrepartie, souvent ignorée de ceux qui redoutent le signalement. « Le CSIRT ou l'autorité compétente fournissent, sans retard injustifié et si possible dans les 24 heures suivant la réception de l'alerte précoce », une réponse comprenant « un retour d'information initial sur l'incident important et, à la demande de l'entité, des orientations ou des conseils opérationnels sur la mise en œuvre d'éventuelles mesures d'atténuation ». Le CSIRT « fournit un soutien technique supplémentaire si l'entité concernée le demande ».

Et si l'incident paraît pénal : l'autorité « fournit également des orientations sur les modalités de notification de l'incident important aux autorités répressives ». Signaler ouvre donc un appui, pas seulement une obligation. Sur la conduite à tenir dans l'heure, voir notre page cyberattaque ; sur le rançongiciel, notre page dédiée.

Une obligation vise aussi les clients : les entités communiquent « sans retard injustifié, aux destinataires de leurs services qui sont potentiellement affectés par une cybermenace importante toutes les mesures ou corrections que ces destinataires peuvent appliquer en réponse à cette menace ».

Ce que cette page ne dit pas

Elle ne dit pas qui est assujetti à NIS 2, ni comment la France a transposé la directive, ni à quelle autorité la notification se fait en pratique. Elle ne traite ni la notification de violation de données personnelles à la CNIL, qui obéit à d'autres règles, ni les mesures de supervision. Directive lue sur EUR-Lex le 14 septembre 2026, dans le texte publié au Journal officiel de l'Union européenne.