Combien de temps faut-il conserver les dossiers d'incidents de sécurité ?

NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises. ne fixe pas de durée unique : décidez-en une vous-même et écrivez pourquoi. Plusieurs règles vont dans le même sens. Le RGPDRGPD: règlement général sur la protection des données. La loi européenne sur la protection des données (règlement (UE) 2016/679). impose de documenter toute violation de données personnelles (article 33, paragraphe 5) afin que l'autorité puisse vérifier le respect du règlement, ce qui suppose de garder la trace aussi longtemps qu'un tel contrôle peut raisonnablement intervenir. Les autorités NIS2 peuvent demander des preuves d'incidents et de notifications passés, les assureurs examinent parfois un sinistre longtemps après, et les délais de prescription des actions contractuelles et en responsabilité se comptent en années dans de nombreux pays. Des règles sectorielles et nationales peuvent fixer leurs propres durées. Une pratique courante consiste à garder le registre des incidents et les notifications plusieurs années, et les journaux bruts moins longtemps, en supprimant les données personnelles devenues inutiles. La conservation de l'historique des alertes et du journal d'audit de NetSenX dépend de l'offre ; exportez ce que vous devez garder plus longtemps.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 35 questions sur Délais de notificationTous les thèmes