Un incident, plusieurs notifications : comment s'articulent NIS2, le RGPD et DORA ?

Chaque texte a sa propre notification, son destinataire et son délai, et un incident peut en déclencher plusieurs. Un incident important dans une entité concernée va au CSIRTCSIRT: équipe de réponse aux incidents de sécurité informatique. L'équipe nationale à laquelle on signale les incidents importants. ou à l'autorité compétente au titre de l'article 23 de NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises. ; si des données personnelles sont touchées, le responsable du traitement notifie aussi l'autorité de protection des données selon l'article 33 du RGPDRGPD: règlement général sur la protection des données. La loi européenne sur la protection des données (règlement (UE) 2016/679). ; une entité financière notifie les incidents majeurs liés aux TIC au titre de l'article 19 de DORA à la place de NIS2 ; et un fabricant de produits peut avoir des obligations au titre du règlement sur la cyberrésilience, voir le règlement (UE) 2024/2847, article 14. Certains systèmes nationaux offrent un portail unique, mais ne supposez pas qu'une notification couvre tout. Tenez un seul dossier d'incident et produisez chaque notification à partir de lui, pour que les faits concordent. L'article 35 de NIS2 demande aussi aux autorités NIS2 d'informer les autorités de protection des données des violations dont elles ont connaissance. NetSenX suit les délais NIS2 et prépare un projet de notification RGPD article 33 à partir des mêmes données d'incident.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 35 questions sur Délais de notificationTous les thèmes