Article 23 NIS2

Notification d'incident NIS2 : calculateur de délais et modèle d'alerte précoce

La notification d'incident NIS2 est l'obligation, pour une entité essentielle ou importante, de signaler à son CSIRT ou à l'autorité compétente chaque incident important par étapes : une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification d'incident dans les 72 heures, un rapport intermédiaire si l'autorité le demande, et un rapport final au plus tard un mois après la notification d'incident. Le délai court à partir du moment où vous avez connaissance de l'incident, pas de son début. Le calculateur ci-dessous transforme ce moment en dates, et le modèle indique ce que l'alerte précoce doit contenir.

Le fait à retenir

Selon l'article 23, paragraphe 3, de NIS2 (directive (UE) 2022/2555), un incident est important s'il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité concernée, ou s'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

Source : Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex

Calculateur de délais

Saisissez la date et l'heure auxquelles vous avez eu connaissance de l'incident important. Les dates sont calculées dans votre navigateur, dans son fuseau horaire ; rien de ce que vous saisissez n'est envoyé.

Saisissez une date et une heure pour voir les délais.

  • Rapport intermédiaire : chaque fois que le CSIRT ou l'autorité compétente le demande.
  • Si l'incident est toujours en cours à l'échéance du rapport final, un rapport d'avancement est dû à cette date, et le rapport final dans le mois qui suit le traitement de l'incident.
  • Vérifiez votre droit national : la loi qui transpose NIS2 dans votre pays peut fixer le canal et le formulaire, et ajouter d'autres exigences à ces délais.

Modèle d'alerte précoce

Les deux points exigés par l'article 23, paragraphe 4, point a), plus les coordonnées dont votre CSIRT aura besoin. Copiez-le dans votre propre canal de notification ; les formulaires nationaux peuvent en demander davantage.

Alerte précoce NIS2 (directive (UE) 2022/2555, article 23, paragraphe 4, point a))
Nom de l'entité et secteur :
Personne de contact, téléphone et e-mail :
Date et heure auxquelles l'entité a eu connaissance de l'incident :
Ce que l'on sait à ce stade, en deux ou trois phrases :
Actes illicites ou malveillants soupçonnés ? (oui / non / pas encore connu) :
Impact transfrontière possible ? (oui / non / pas encore connu) :
Services touchés à ce stade :
Orientations ou conseils opérationnels demandés au CSIRT, le cas échéant :

Ce que chaque échéance vous demande

Ouvrez une étape pour voir ce que le rapport doit contenir, ce que NetSenX a déjà prêt et ce qui reste de votre ressort. Aucun délai ne s'arrête pour un week-end ou un jour férié.

  • 24 heures : alerte précoce (NIS2, article 23, paragraphe 4, point a)
    Ce que le rapport doit contenir
    Si l'incident important est soupçonné d'être causé par des actes illicites ou malveillants, et s'il pourrait avoir un impact transfrontière. Bref, par principe.
    Ce que NetSenX a prêt
    L'incident et ses échéances suivis dès son enregistrement, et les alertes qui l'ont déclenché, chacune expliquée en langage clair, dans chaque offre.
    Ce qui reste de votre ressort
    Décider que l'incident est important, et envoyer l'alerte précoce à votre CSIRT ou à l'autorité compétente.
  • 72 heures : notification d'incident (NIS2, article 23, paragraphe 4, point b)
    Ce que le rapport doit contenir
    Une mise à jour de l'alerte précoce et une première évaluation : gravité, impact et, le cas échéant, indicateurs de compromission.
    Ce que NetSenX a prêt
    La chronologie des alertes avec les hôtes, destinations et heures concernés, et le journal d'audit de ce qui a été vu et décidé. Rapports PDF à partir de l'offre Starter.
    Ce qui reste de votre ressort
    L'évaluation de la gravité et de l'impact, les indicateurs que vous choisissez de partager, et l'envoi.
  • Un mois : rapport final (NIS2, article 23, paragraphe 4, point d)
    Ce que le rapport doit contenir
    Une description détaillée avec la gravité et l'impact, le type de menace ou la cause profonde, les mesures d'atténuation appliquées et en cours, et l'éventuel impact transfrontière.
    Ce que NetSenX a prêt
    L'historique complet conservé selon la durée d'historique des alertes de votre offre, et la technique MITRE ATT&CK indiquée sur les alertes qui y correspondent.
    Ce qui reste de votre ressort
    L'analyse de la cause profonde, les mesures elles-mêmes et le rapport. Si l'incident est toujours en cours, un rapport d'avancement est dû à la place.
  • 72 heures : violation de données à caractère personnel (RGPD, article 33)
    Ce que le rapport doit contenir
    La nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises, adressés à l'autorité de contrôle.
    Ce que NetSenX a prêt
    Une notification de violation au titre de l'article 33 du RGPD, préparée à partir du dossier d'incident pour votre délégué à la protection des données.
    Ce qui reste de votre ressort
    Savoir si des données personnelles sont touchées et s'il faut notifier, la notification elle-même et toute communication aux personnes concernées.

Vérifiez votre droit national : la loi qui transpose NIS2 dans votre pays peut fixer le canal et le formulaire, et ajouter d'autres exigences à ces délais.

Ce que chaque rapport doit contenir

L'article 23, paragraphe 4, de la directive, étape par étape. Les lois nationales de transposition peuvent ajouter des champs ou imposer un formulaire.

  1. 01Alerte précoce : dans les 24 heures

    Si l'on soupçonne que l'incident important est causé par des actes illicites ou malveillants, et s'il pourrait avoir un impact transfrontière. Elle est brève par nature : les détails viennent ensuite.

  2. 02Notification d'incident : dans les 72 heures

    Une mise à jour de l'alerte précoce et une évaluation initiale de l'incident, y compris sa gravité et son impact, ainsi que, lorsqu'ils sont disponibles, les indicateurs de compromission.

  3. 03Rapport intermédiaire : sur demande

    Les mises à jour pertinentes de la situation, lorsque le CSIRT ou l'autorité compétente les demande.

  4. 04Rapport final : un mois après la notification

    Une description détaillée de l'incident, y compris sa gravité et son impact ; le type de menace ou la cause profonde qui a probablement déclenché l'incident ; les mesures d'atténuation appliquées et en cours ; et, le cas échéant, l'impact transfrontière.

Ce que NetSenX fait aujourd'hui

  • Suit chaque incident au regard des délais de l'article 23 de NIS2 (24 heures, 72 heures, un mois) et prépare pour votre DPO une notification de violation au titre de l'article 33 du RGPD. Rapports PDF à partir de l'offre Starter.
  • Détecte le beaconing C2, le balayage et le mouvement latéral, ainsi que les volumes de données sortants inhabituels, à partir du comportement réseau, pour que l'incident soit trouvé assez tôt pour que le délai ait un sens.
  • Explique chaque alerte en langage clair, dans chaque offre, et inscrit les alertes, les décisions des analystes et les changements de configuration dans un journal d'audit que vous pouvez remettre à votre auditeur.
  • Indique sur l'alerte la technique MITRE ATT&CK lorsqu'une détection y correspond, ce qui aide à décrire le type de menace dans le rapport final.

Ce que NetSenX ne fait pas

NetSenX ne décide pas si un incident est important ni si votre organisation relève de NIS2, et n'envoie aucun rapport à votre CSIRT ou à votre autorité compétente à votre place. Le calculateur applique les délais de la directive elle-même ; les lois nationales de transposition peuvent ajouter des précisions, comme le canal ou le formulaire à utiliser, vérifiez donc les règles de votre pays.

Questions des acheteurs

Quand commence le délai de 24 heures de NIS2 ?

Au moment où l'entité a connaissance de l'incident important, et non au début de l'incident. L'article 23, paragraphe 4, compte à partir de ce moment l'alerte précoce (24 heures) comme la notification d'incident (72 heures).

Que doit contenir une alerte précoce NIS2 ?

Selon l'article 23, paragraphe 4, point a), l'alerte précoce indique, le cas échéant, si l'on soupçonne que l'incident important est causé par des actes illicites ou malveillants et s'il pourrait avoir un impact transfrontière. Les détails suivent dans la notification à 72 heures.

Le rapport final est-il dû un mois après l'incident ?

Non : un mois après l'envoi de la notification d'incident. Si l'incident est encore en cours à ce moment, un rapport d'avancement est dû à la place, et le rapport final dans le mois qui suit le traitement de l'incident.

Les délais sont-ils différents pour les prestataires de services de confiance ?

Oui. Un prestataire de services de confiance notifie les incidents importants qui ont un impact sur la fourniture de ses services de confiance dans les 24 heures après en avoir eu connaissance, au lieu de 72 heures.

Sources

  1. Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex
  2. European Commission — NIS2 transposition status by Member State

Cette page est une information générale et ne constitue pas un conseil juridique. Vérifiez vos obligations auprès de votre autorité nationale ou de votre conseil juridique.

Pages associées

Essayez NetSenX sur votre propre réseau

Commencez avec l'offre Free pour 3 appareils au maximum, ou réservez une démo de 20 minutes.

Voir les tarifsRéserver une démo