La notification d’incident, au sens de NIS 2
Une entité importante ou essentielle qui subit un incident significatif doit en informer l’ANSSI selon un calendrier précis. Ce n’est pas une formalité administrative : c’est une procédure qui se prépare avant l’incident, pas pendant.
Qui est concerné, et par quels incidents
L’obligation s’applique aux entités essentielles et importantes régulées par NIS 2, pour tout incident dit « significatif » : celui qui cause une perturbation opérationnelle sévère ou des pertes financières importantes, ou qui affecte d’autres personnes physiques ou morales de manière substantielle.
L’appréciation de la gravité relève de l’entité elle-même, sous sa responsabilité — d’où l’intérêt de critères écrits à l’avance plutôt que d’un jugement improvisé en pleine crise.
Trois échéances, trois niveaux de détail attendus :
| Étape | Délai | Contenu attendu |
|---|---|---|
| Alerte précoce | 24 heures | Signalement initial à l'ANSSI, même incomplet — le fait qu'un incident significatif est en cours ou soupçonné |
| Notification | 72 heures | Évaluation initiale : gravité, impact, indicateurs de compromission connus à ce stade |
| Rapport final | 1 mois | Description complète de l'incident, causes probables, mesures correctives mises en œuvre |
Une procédure de notification se construit avant l’incident, pas pendant. Quatre éléments suffisent pour un premier niveau de préparation :
- Un responsable désignéQui décide de déclarer, et qui a l'autorité pour le faire sans attendre une validation en interne.
- Le canal de déclaration connuLa procédure ANSSI (MonEspaceNIS2) identifiée et testée avant d'en avoir besoin.
- Des critères de gravité écritsCe qui déclenche une alerte précoce, formalisé à l'avance plutôt que débattu en pleine crise.
- Une main courante prête à l'emploiUn modèle pour horodater chaque décision dès la première minute de l'incident.
Attendre d'avoir toutes les réponses
L'alerte précoce sous 24h est volontairement incomplète par nature : elle signale, elle n'explique pas encore tout. Attendre d'avoir une vision complète avant d'alerter fait dépasser le délai pour de mauvaises raisons.
Personne désigné pour déclarer
En pleine gestion de crise, découvrir qu'aucun rôle n'a été attribué pour contacter l'ANSSI fait perdre les premières heures — précisément celles qui comptent pour l'alerte précoce.
Aucune procédure écrite
Sans marche à suivre documentée à l'avance (qui appelle qui, quel formulaire, quelles informations minimales), chaque incident réinvente la procédure sous pression.
Oublier le rapport final
L'alerte précoce et la notification sont souvent faites ; le rapport final à un mois est le plus souvent oublié une fois l'urgence retombée — c'est pourtant une obligation à part entière.
Ne garder aucune trace horodatée
Sans main courante datée des décisions prises pendant l'incident, impossible de démontrer a posteriori le respect des délais, ni de nourrir le rapport final avec précision.
Savoir qu’un délai de 24h existe ne suffit pas : encore faut-il un responsable désigné, un canal testé, et un modèle de main courante prêt avant que l’incident n’arrive.
Notre diagnostic évalue votre niveau de préparation face à NIS 2, notification d’incident comprise, et signale ce qu’il resterait à mettre en place.
Que risque-t-on en cas de non-notification ?
NIS 2 prévoit des sanctions substantielles pour les manquements aux obligations du texte, dont la notification fait partie. Le montant précis dépend de la qualification de l’entité et de la nature du manquement.
Le rapport final est-il obligatoire pour un petit incident ?
L’obligation ne s’applique qu’aux incidents qualifiés de significatifs. Un événement mineur, sans impact opérationnel ou financier réel, ne déclenche pas la procédure — encore faut-il pouvoir justifier cette qualification.
Faut-il aussi informer nos clients ?
Selon les cas, une information des destinataires de service peut s’ajouter à la notification à l’ANSSI, notamment si l’incident affecte la continuité du service qui leur est rendu. À apprécier au cas par cas.
L’alerte précoce engage-t-elle si elle se révèle infondée ?
Le principe même de l’alerte précoce est d’accepter l’incertitude : mieux vaut signaler puis infirmer, que rester silencieux par excès de prudence.
Cette page présente les obligations issues de la directive NIS 2 et de sa transposition française de façon générale. Elle ne constitue pas un avis juridique : la qualification de vos incidents relève d’une appréciation propre à votre situation.