Notification d'incident sous NIS 2 : les délais de 24 heures, 72 heures et un mois
Sous NIS 2, un incident important se notifie en trois temps : une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification d'incident dans les 72 heures, puis un rapport final au plus tard un mois après cette notification. C'est l'article 23, paragraphe 4, de la directive (UE) 2022/2555 du 14 décembre 2022 (EUR-Lex, consulté le 20 octobre 2026). En France, le destinataire prévu est l'ANSSI, dont le CERT-FR traite déjà les incidents des entités essentielles et importantes. La loi de transposition n'étant pas votée au 20 octobre 2026, ces délais ne sont pas encore exigibles, mais la procédure se prépare maintenant.
Qu'est-ce qu'un incident important au sens de NIS 2
L'article 23, paragraphe 3, retient deux critères alternatifs. Un incident est important s'il a causé ou peut causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité, ou s'il a affecté ou peut affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables. Le texte vise aussi l'incident « susceptible » de produire ces effets : il n'est pas nécessaire d'attendre le dommage.
Pour certains acteurs du numérique (fournisseurs de services DNS, d'informatique en nuage, de centres de données, de services gérés, places de marché en ligne…), la Commission précise ces cas par actes d'exécution (article 23, paragraphe 11). Le projet de loi français renvoie à un décret en Conseil d'État les critères d'appréciation du caractère important (texte du Sénat du 12 mars 2025, article 17).
Les trois étapes et leurs délais
| Étape | Délai | Point de départ | Nom dans le projet de loi |
|---|---|---|---|
| Alerte précoce | 24 heures au plus tard | Prise de connaissance de l'incident important | Notification initiale |
| Notification d'incident | 72 heures au plus tard | Prise de connaissance de l'incident important | Notification intermédiaire |
| Rapport intermédiaire | Sur demande | Demande du CSIRT ou de l'autorité | Rapport sur les mises à jour, à la demande de l'ANSSI |
| Rapport final | Un mois au plus tard | Envoi de la notification d'incident | Rapport final, un mois après la notification intermédiaire |
| Incident toujours en cours | Rapport d'avancement, puis rapport final dans le mois | Traitement de l'incident | Même règle |
Les deux premiers délais s'entendent « sans retard injustifié et en tout état de cause » dans la limite indiquée. En retour, le CSIRT ou l'autorité répond si possible dans les 24 heures suivant l'alerte précoce (paragraphe 5). Les prestataires de services de confiance doivent, eux, envoyer la notification d'incident dans les 24 heures.
À qui notifier en France
La directive désigne le CSIRT national ou l'autorité compétente. Le projet de loi confie la réception des notifications à l'autorité nationale de sécurité des systèmes d'information, l'ANSSI (texte du Sénat, article 17 ; même règle dans le texte de la commission spéciale de l'Assemblée nationale du 10 septembre 2025). La page de contact du CERT-FR (cert.cyber.gouv.fr, consultée le 20 octobre 2026) indique qu'il traite « sur le plan technique » les incidents des entités essentielles et importantes, propose une déclaration en ligne et un numéro joignable 7 jours sur 7 et 24 heures sur 24 : le 3218 ou le 09 70 83 32 18 depuis la France métropolitaine. Il précise ne pas être un service de justice ou de police recevant des plaintes.
Deux autres destinataires peuvent s'ajouter. Les destinataires de vos services, « le cas échéant », lorsque l'incident peut nuire à la fourniture du service (article 23, paragraphe 1). La CNIL si des données personnelles sont en cause, sauf absence de risque pour les personnes : l'article 33 du règlement (UE) 2016/679 impose de notifier la violation « si possible, 72 heures au plus tard » après en avoir pris connaissance.
Ce que contient chaque notification
- Alerte précoce : le signalement de l'incident et, le cas échéant, si l'on suspecte des actes illicites ou malveillants ou un impact transfrontière.
- Notification d'incident : la mise à jour de l'alerte, une évaluation initiale de la gravité et de l'impact, les indicateurs de compromission disponibles.
- Rapport final : une description détaillée de l'incident, de sa gravité et de son impact ; le type de menace ou la cause profonde probable ; les mesures d'atténuation appliquées et en cours ; l'impact transfrontière éventuel.
Le texte ajoute que le simple fait de notifier « n'accroît pas la responsabilité » de l'entité (article 23, paragraphe 1).
Préparer la procédure avant l'incident
- Une grille de qualification reprenant les deux critères de l'article 23, paragraphe 3, avec des exemples propres à votre activité.
- Une règle d'horodatage : qui constate, qui qualifie, à quelle heure commence le décompte de la « prise de connaissance ».
- Une liste imprimée des contacts mobilisables, accessible sans le système d'information (mesures 14.2 et 14.3 de la version de travail du ReCyF de l'ANSSI, consultée le 20 octobre 2026).
- Des modèles pré-remplis pour les trois envois, avec les informations stables déjà saisies.
- Des clauses fournisseurs : votre infogérant doit vous alerter assez tôt pour que vous teniez vos 24 heures. Voir les clauses d'un contrat de prestation informatique.
- La conservation des preuves : le ReCyF demande de conserver les relevés techniques utilisables en cas de judiciarisation (mesure 12.6).
La procédure s'insère dans le calendrier décrit par l'exemple de plan d'action NIS 2 sur 90 jours.
Exemple de fiche d'incident (données fictives)
| Rubrique | Contenu |
|---|---|
| Prise de connaissance | Lundi 2 novembre 2026, 9 h 40 : chiffrement de deux serveurs de préparation de commandes constaté par l'infogérant |
| Qualification | Incident important, critère 1 : expéditions arrêtées sur un entrepôt |
| Alerte précoce | À envoyer avant le mardi 3 novembre, 9 h 40 ; acte malveillant suspecté ; pas d'impact transfrontière connu |
| Notification d'incident | À envoyer avant le jeudi 5 novembre, 9 h 40 ; envoyée le jeudi 5 novembre à 8 h 15 avec la gravité, l'impact et les indicateurs disponibles |
| Rapport final | Au plus tard le 5 décembre 2026, un mois après la notification |
| Autres envois | Information des clients concernés ; notification à la CNIL, des données de clients étant exposées |
La catégorie de l'entité ne change pas ces délais : ils sont identiques pour une entité essentielle et une entité importante, comme le rappelle la comparaison entre les deux catégories.
Sources consultées
- Directive (UE) 2022/2555 du 14 décembre 2022, article 23, EUR-Lex, consultée le 20 octobre 2026.
- Sénat, texte adopté n° 78 du 12 mars 2025, article 17 ; Assemblée nationale, texte de la commission spéciale n° 1779 du 10 septembre 2025 ; relevés de la Conférence des présidents des 6 et 13 octobre 2026.
- CERT-FR, page Contact, et ANSSI, MesServicesCyber (page NIS 2 et ReCyF), consultées le 20 octobre 2026 ; règlement (UE) 2016/679, article 33, EUR-Lex.
Questions fréquentes
Les 24 heures courent-elles depuis l'attaque ou depuis sa découverte ?
Depuis le moment où l'entité a eu connaissance de l'incident important (article 23, paragraphe 4, points a et b). D'où l'intérêt d'horodater la constatation et la qualification.
Faut-il notifier sans connaître la cause ?
Oui. L'alerte précoce n'exige pas d'analyse complète : elle indique, le cas échéant, si un acte malveillant est suspecté. La notification à 72 heures et le rapport final complètent ensuite les informations.
Une fuite de données personnelles se déclare-t-elle à l'ANSSI ou à la CNIL ?
Aux deux si les conditions sont réunies : la notification NIS 2 si l'incident est important, et la notification à la CNIL prévue par l'article 33 du RGPD. Le projet de loi prévoit aussi que l'ANSSI informe la CNIL des incidents susceptibles d'entraîner une violation de données.