La directive NIS2 impose trois échéances de déclaration après un incident significatif : une alerte précoce sous 24 heures, une notification circonstanciée sous 72 heures, puis un rapport final sous un mois. Ces délais courent à partir du moment où vous avez connaissance de l’incident, pas du moment où vous le comprenez — et c’est précisément ce décalage qui met les PME en difficulté.
La bonne nouvelle : les deux premières échéances ne demandent ni analyse forensique ni cause racine. Elles demandent des faits, une qualification provisoire et un interlocuteur identifié. Tout cela se prépare à froid, en une heure, avec une fiche type. Voici ce que chaque échéance attend réellement, et le modèle de fiche à remplir le jour J.
Trois échéances, trois livrables très différents
L’erreur la plus fréquente consiste à traiter les trois délais comme trois versions du même document. Ce sont trois livrables distincts, avec trois niveaux d’exigence.
- 24 heures — alerte précoce. Un signalement court : un incident significatif est en cours, voici son type présumé, voici s’il résulte d’un acte malveillant et s’il peut avoir un impact transfrontalier. Aucune analyse n’est attendue.
- 72 heures — notification d’incident. Une mise à jour : évaluation initiale de la gravité, de l’impact, des indicateurs de compromission connus, et correction éventuelle de la qualification faite à 24 heures.
- 1 mois — rapport final. La description détaillée : nature de la menace, cause racine probable, mesures d’atténuation appliquées, impact transfrontalier avéré. Si l’incident est toujours en cours, vous remettez un rapport d’avancement et le rapport final suit la clôture.
Un point souvent ignoré : l’autorité nationale peut vous répondre entre les deux premières échéances, avec des orientations techniques. En France, les notifications passent par l’ANSSI, qui a ouvert un guichet dédié aux entités NIS2.
Le déclencheur réel : qu’est-ce qu’un incident significatif
NIS2 ne demande pas de déclarer tous les incidents. Le critère est la significativité : un incident l’est s’il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières importantes, ou s’il a affecté d’autres personnes en causant un préjudice considérable, matériel ou immatériel.
Traduit pour une PME de 200 personnes : un ransomware qui chiffre un serveur de fichiers de production est significatif. Un poste isolé nettoyé par l’EDR ne l’est pas. Entre les deux, il existe une zone grise, et c’est là qu’il faut avoir tranché avant l’incident. Écrivez vos propres seuils : nombre d’heures d’indisponibilité d’un service métier, nombre de personnes concernées par une fuite, activation du plan de continuité. Un seuil écrit vaut mieux qu’un arbitrage improvisé à 2 heures du matin.
Attention aussi au point de départ du compte à rebours : la « prise de connaissance ». Si votre prestataire détecte l’incident le vendredi soir et que vous découvrez son message le lundi, l’horloge a-t-elle tourné pendant le week-end ? Clarifiez ce point dans le contrat, avec une obligation d’alerte immédiate et un canal qui ne dépend pas d’une boîte mail générique.
Ce que la fiche doit contenir, champ par champ
Voici le modèle à préparer maintenant, sous forme d’un document unique que n’importe quel membre de l’équipe IT peut remplir sans vous. Les champs marqués [24 h] suffisent pour la première échéance.
- [24 h] Identification : raison sociale, numéro SIREN, secteur NIS2, statut (entité essentielle ou importante), nom et téléphone du référent joignable.
- [24 h] Horodatage : date et heure de survenue estimée, date et heure de prise de connaissance, source de la détection (EDR, SOC, salarié, client, tiers).
- [24 h] Nature présumée : rançongiciel, intrusion, déni de service, fuite de données, compromission de compte, indisponibilité d’origine non malveillante.
- [24 h] Malveillance et transfrontalier : acte malveillant suspecté oui/non/indéterminé ; impact possible dans un autre État membre oui/non.
- [72 h] Impact : services affectés, durée d’indisponibilité constatée, nombre d’utilisateurs ou de clients concernés, données potentiellement exposées.
- [72 h] Indicateurs : adresses IP, condensats, noms de fichiers, comptes compromis — ce que vous avez, sans attendre d’avoir tout.
- [72 h] Mesures déjà prises : isolement, réinitialisation des accès, restauration, activation du plan de continuité.
- [1 mois] Analyse : cause racine, vecteur d’entrée, chronologie consolidée, mesures correctives durables et calendrier.
Ajoutez en tête de fiche une ligne qui sauve du temps : qui décide que l’incident est significatif. Une seule personne, avec un suppléant nommé. Sans cette ligne, les 24 heures se consomment en réunions.
Les pièges qui font rater le délai
Trois échecs reviennent systématiquement, et aucun n’est technique.
Attendre de comprendre. Beaucoup de dirigeants retardent l’alerte précoce parce que le diagnostic n’est pas posé. C’est un contresens : l’alerte à 24 heures est conçue pour être incomplète et révisable. Une qualification corrigée à 72 heures est normale ; un silence à 24 heures ne l’est pas.
Confondre les guichets. Une fuite de données personnelles déclenche aussi la notification RGPD à la CNIL sous 72 heures, et un dépôt de plainte reste utile pour l’assurance. Ce sont des canaux distincts, avec des destinataires et des contenus différents. Mettez les trois sur la même page de votre fiche, pour éviter qu’un seul soit traité.
Ne pas savoir qui notifie quand le SI est à l’arrêt. Si votre messagerie est chiffrée, où se trouve la fiche ? Gardez une copie papier et une copie hors du domaine, avec les numéros directs. La même logique que pour les sauvegardes : ce qui n’existe qu’en ligne disparaît avec le reste. Notre article sur la sauvegarde immuable en PME détaille ce principe, et notre comparatif SOC managé, MDR ou MSSP précise qui, dans chaque modèle, produit réellement les éléments de la notification.
Préparer la chaîne de détection, pas seulement le formulaire
Une fiche parfaite ne sert à rien si personne ne vous prévient. Le délai de 24 heures suppose une détection qui fonctionne la nuit et le week-end, et une remontée qui atteint un humain décisionnaire. C’est le vrai chantier : la conformité NIS2 en matière de notification est d’abord une question de surveillance continue et de procédure d’astreinte, pas de rédaction.
Si votre entreprise entre dans le périmètre de la directive, ces trois échéances ne sont qu’une obligation parmi d’autres : notre guide de mise en conformité NIS2 pour PME et ETI reprend l’ensemble des exigences et l’ordre dans lequel les traiter.
Ce qu’il faut retenir
- Les trois délais NIS2 — 24 h, 72 h, 1 mois — courent depuis la prise de connaissance, pas depuis le diagnostic.
- L’alerte à 24 heures est volontairement sommaire : type d’incident, malveillance suspectée, impact transfrontalier possible.
- Écrivez vos seuils de significativité et nommez la personne qui décide, avant l’incident.
- Une fuite de données personnelles ajoute la notification CNIL : trois canaux, une seule fiche.
- Sans détection continue et astreinte, le délai de 24 heures est structurellement hors d’atteinte.