Notification NIS2 : préparer les étapes et responsabilités

Préparer un circuit avant l’incident

La notification exige une organisation capable de qualifier les faits et de communiquer dans les délais pertinents. L’article 23 de la directive concerne les incidents importants. Tous les événements techniques ne se traitent donc pas de la même manière. La procédure doit aider les équipes à reconnaître ce qui affecte les services, à documenter les impacts et à faire décider les personnes compétentes.

Le cadre européen prévoit notamment une alerte précoce dans les vingt-quatre heures et une notification dans les soixante-douze heures après prise de connaissance d’un incident important, ainsi qu’un rapport final selon les conditions de l’article 23. Des règles particulières existent et les modalités nationales ou sectorielles doivent être examinées. Ces repères ne doivent pas être transformés en procédure universelle pour toute entreprise et tout événement.

Définir la qualification et le point de départ

La procédure indique quelles informations sont nécessaires pour apprécier l’impact : service affecté, perturbation, éléments connus sur la cause et conséquences observées. Les critères d’incident important doivent être reliés au texte applicable. Pour certaines catégories numériques, le règlement 2024/2690 apporte des précisions. Un seuil pertinent pour une catégorie ne s’applique pas automatiquement à une autre.

Conservez les heures et les faits dans un journal. Distinguez détection, qualification et connaissance de l’incident. La procédure ne doit pas retarder artificiellement le point de départ pour attendre une investigation complète. Les éléments incertains restent signalés comme tels. Le décideur doit disposer d’une synthèse qui sépare les faits confirmés des hypothèses.

Répartir les responsabilités de communication

Identifiez qui prépare le contenu, qui le valide et qui le transmet. Prévoyez un suppléant et un moyen de communication disponible si les outils habituels sont affectés. Le juridique examine les obligations, les métiers évaluent les impacts et l’équipe technique documente la situation. La direction doit savoir quand une décision lui est demandée.

L’information au client peut découler d’un contrat. Une violation de données personnelles peut demander une analyse distincte au titre du RGPD. DORA peut être pertinent pour certaines entités financières. Une demande d’assistance à un CSIRT n’est pas, par elle-même, la preuve que toutes les notifications requises ont été effectuées. La matrice des destinataires doit conserver ces distinctions.

Étape	Informations à préparer
Qualification	Service, impact, faits et critères retenus
Alerte	Situation connue, incertitudes et interlocuteur
Mise à jour	Évolution des effets et mesures engagées
Rapport	Chronologie, causes connues et corrections pertinentes
Conservation	Versions transmises, heures et validations

Exemple pédagogique : indisponibilité d’un service

Dans un scénario d’exercice, un service critique devient indisponible et l’équipe ne connaît pas encore la cause. La procédure doit permettre d’évaluer l’importance de l’incident et de préparer une première information factuelle. Elle ne doit pas exiger un diagnostic définitif avant tout échange. Le journal note les faits, les décisions et les questions ouvertes.

Les mises à jour corrigent ou complètent les informations. Une erreur initiale doit pouvoir être rectifiée de façon traçable. Les équipes conservent les versions transmises et les validations. Cet exemple ne décrit aucun incident client ; il sert à tester le fonctionnement de la procédure et les dépendances de communication.

Tester la procédure et protéger les éléments

Un exercice sur table permet de vérifier les contacts, les suppléants et les modèles de message. Le scénario peut inclure l’indisponibilité de la messagerie habituelle ou l’absence d’un décideur. Le retour d’expérience doit produire des corrections concrètes : un contact à remplacer, une validation à simplifier ou une information à rendre disponible.

Les éléments d’incident sont sensibles. Convenez des canaux et des règles de conservation. Le formulaire de devis de ce site ne recueille ni traces d’attaque ni identifiants. Si le besoin est une préparation de procédure, décrivez uniquement le secteur et le périmètre de la mission. En situation réelle, utilisez les circuits officiels et les intervenants d’assistance prévus par votre organisation.

Cahier de mission et critères de réception

Demandez une prestation qui commence par la matrice des obligations et des destinataires. Le prestataire doit préciser les textes examinés et les catégories d’activité. Une procédure copiée d’un autre secteur peut omettre des règles particulières. Le devis identifie les entretiens, les modèles livrés et l’exercice de validation éventuellement inclus.

Les documents attendus peuvent comprendre une fiche de qualification, une matrice de responsabilités, des modèles de communication et un journal de décision. Demandez comment les incertitudes seront gérées et comment les faits seront validés. Le rapport doit distinguer préparation réglementaire et assistance d’investigation : une mission documentaire ne garantit pas une capacité de réponse technique permanente.

La réception teste un scénario convenu sans transmission réelle à une autorité. Vérifiez que les participants savent trouver les contacts, qualifier le service affecté et préparer une information factuelle. Les délais d’exercice sont des observations internes, pas une preuve générale de conformité. Prévoyez une mise à jour des contacts et des règles lorsque les textes changent. Une notification test ne doit jamais être envoyée comme un incident réel sans autorisation explicite et coordination adaptée.

Prévoyez la conservation d’une version de chaque information transmise. Les mises à jour doivent pouvoir expliquer une correction de fait ou une extension du périmètre affecté. Le journal identifie les validations et les heures sans mélanger messages simulés et incident réel. Pour le rapport final, le cadre européen prévoit notamment un délai d’un mois après la notification, sous les conditions et cas particuliers de l’article 23.

Sources et portée réglementaire

Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.

Poursuivre le cadrage

Questions sur ce dossier

Faut-il attendre de connaître la cause pour préparer une alerte ?

La procédure doit permettre de communiquer des faits et des incertitudes selon le cadre applicable. Attendre un diagnostic complet peut être incompatible avec les étapes prévues.

Une assistance CSIRT remplace-t-elle les notifications ?

Pas automatiquement. L’assistance, la notification à une autorité et l’information contractuelle des clients doivent être organisées et tracées séparément.

Le formulaire de devis peut-il recevoir les détails de l’incident ?

Non. Il sert au cadrage commercial d’une mission. Les traces et informations sensibles doivent être traitées dans les circuits de réponse prévus avec les intervenants compétents.