NIS2 : notification d’incident en 24h, ce que les PME doivent préparer

La notification d’incident forme le cœur opérationnel de NIS2. Ce n’est pas qu’une obligation théorique. C’est une procédure chronométrée, avec des délais stricts et un contenu précis à respecter. Beaucoup de PME découvrent cette mécanique trop tard, au moment même où elles doivent l’appliquer sous pression. Cet article détaille le calendrier complet de la notification d’incident, la définition d’un incident significatif, et comment préparer votre entreprise avant qu’un incident ne survienne réellement.

Notification d’incident : qu’est-ce qu’un incident « significatif » ?

NIS2 n’impose pas de notifier chaque anomalie technique. Seul un incident jugé significatif déclenche l’obligation. Un incident devient significatif s’il cause, ou risque de causer, une perturbation opérationnelle grave. Il devient aussi significatif s’il entraîne des pertes financières importantes pour l’entité concernée. Un troisième critère existe : l’incident touche d’autres personnes ou entités, avec des dommages considérables. La qualification précise de ces seuils doit encore être affinée par des actes d’exécution européens, attendus dans les prochains mois. En attendant, une entreprise prudente traite tout incident douteux comme potentiellement significatif, plutôt que de risquer un défaut de notification. Cette approche prudente coûte peu et évite un risque de sanction bien plus lourd.

Notification d’incident : le calendrier en trois étapes

Le calendrier de notification d’incident suit un rythme précis, avec trois échéances distinctes. Voici le calendrier de notification en 3 étapes:

Alerte précoce sous 24 heures

Dès qu’une entreprise a connaissance d’un incident significatif, elle dispose de 24 heures pour transmettre une alerte précoce. Cette première notification reste volontairement légère. Elle indique si l’incident est suspecté d’origine malveillante. Elle précise aussi si un impact transfrontalier semble possible. Il ne s’agit pas encore d’une analyse complète, mais d’un signal rapide envoyé à l’autorité compétente.

Notification complète sous 72 heures

Un second envoi suit sous 72 heures. Cette notification devient plus détaillée. Elle inclut une première évaluation de la gravité de l’incident. Précise son impact réel ou potentiel sur l’activité. Elle mentionne aussi les indicateurs de compromission déjà identifiés par les équipes techniques, s’ils existent à ce stade.

Rapport final sous un mois

Un mois après la notification initiale, un rapport final doit être transmis. Ce document couvre la cause profonde de l’incident. Il détaille les mesures correctives déjà mises en œuvre. Il résume aussi les enseignements tirés, utiles pour éviter qu’un incident similaire ne se reproduise.

Notification d’incident : où et comment déclarer ?

En France, la notification passe par l’ANSSI, via un portail dédié appelé MonEspaceNIS2. Ce portail centralise les déclarations et guide l’entreprise à travers chaque étape du processus. Le CSIRT-FR reste le point de contact technique en cas de question complémentaire. Une entreprise qui n’a jamais utilisé cette plateforme a intérêt à s’y créer un compte avant même la survenue d’un incident. Découvrir l’interface en pleine crise fait perdre un temps précieux, alors que chaque heure compte dans les 24 premières heures.

Notification d’incident : qui doit s’en charger dans l’entreprise ?

Beaucoup de PME n’ont pas encore désigné de responsable clair pour cette tâche. C’est une erreur fréquente. Le délai de 24 heures laisse peu de place à l’improvisation. Une entreprise a intérêt à nommer un référent NIS2, en lien avec sa direction générale et son équipe technique. Ce référent doit connaître la procédure de déclaration avant qu’un incident ne survienne. Il doit aussi savoir qui alerter en interne, à n’importe quelle heure du jour ou de la nuit, car un incident ne prévient jamais de son horaire d’arrivée.

Que risque une entreprise en retard ?

Un défaut de notification dans les délais expose l’entreprise aux sanctions générales prévues par NIS2. Ces montants atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle. Ils atteignent 7 millions d’euros ou 1,4 % pour une entité importante. Au-delà de l’amende, un retard de notification peut aussi nuire à la réputation de l’entreprise. L’ANSSI peut, dans certains cas, exiger une communication publique sur le manquement constaté. Cette sanction indirecte pèse parfois plus lourd qu’une simple amende financière, surtout pour une entreprise dont les clients accordent une grande importance à la confiance numérique.

Notification d’incident : comment préparer un modèle à l’avance ?

La meilleure façon d’éviter un retard reste de préparer un modèle de notification avant tout incident réel. Ce modèle liste les informations à rassembler rapidement : date et heure de détection, systèmes touchés, premiers indices de gravité. Une entreprise qui dispose déjà de ce modèle gagne un temps précieux lors des 24 premières heures. Elle évite aussi d’improviser un contenu incomplet sous la pression d’une échéance courte. Un exercice de simulation, mené une fois par an avec les équipes concernées, permet de tester ce modèle en conditions proches du réel. Cet exercice révèle souvent des trous dans la chaîne d’alerte interne, avant qu’un vrai incident ne les révèle au pire moment possible.

Un exemple concret pour comprendre le rythme

Prenons une PME industrielle victime d’un rançongiciel un vendredi soir. Ses équipes détectent l’attaque le samedi matin. Le compte à rebours des 24 heures démarre à ce moment précis, pas au moment où l’attaque a réellement commencé. Le référent NIS2 envoie donc son alerte précoce le samedi après-midi, avant même de connaître l’ampleur exacte des dégâts. Le lundi, l’entreprise transmet sa notification complète sous 72 heures, avec une première estimation des systèmes touchés et des données potentiellement exposées. Un mois plus tard, une fois les systèmes restaurés et l’enquête technique terminée, l’entreprise envoie son rapport final. Ce scénario illustre un point essentiel : le week-end ou les jours fériés ne suspendent jamais ce calendrier. Une entreprise qui n’a pas d’astreinte organisée risque de perdre plusieurs heures précieuses avant même que l’alerte interne ne remonte jusqu’au bon interlocuteur.

Notification d’incident et référentiel ReCyF : une procédure déjà cadrée

Le cadre général de NIS2 prévoit cette obligation de notification comme l’une de ses pierres angulaires. Le référentiel ReCyF de l’ANSSI, publié en mars 2026, précise justement les mesures concrètes à mettre en place pour tenir ces délais. Une entreprise qui s’appuie sur ce référentiel dispose d’une feuille de route plus claire que le seul texte européen, souvent plus général dans sa formulation. Le ReCyF ne se limite d’ailleurs pas à la seule notification. Il couvre aussi la gestion des accès, le chiffrement et la sécurité de la chaîne d’approvisionnement, détaillés dans notre mode d’emploi complet du référentiel ReCyF. Chacun de ces sujets mérite un point d’attention distinct dans la mise en conformité globale de l’entreprise.

Comment préparer votre entreprise à la notification d’incident ?

Quelques actions concrètes permettent d’aborder cette obligation sereinement :

FAQ : les questions fréquentes sur la notification d’incident NIS2

Le délai de 24 heures démarre-t-il à la détection ou à l’attaque elle-même ?

Il démarre au moment où l’entreprise a connaissance de l’incident, pas au moment où l’attaque a techniquement commencé. Un incident détecté tardivement ne repousse donc pas l’échéance rétroactivement.

Faut-il notifier même un incident mineur, par précaution ?

Seuls les incidents jugés significatifs déclenchent l’obligation. Une entreprise qui hésite gagne à documenter sa décision, plutôt qu’à notifier systématiquement chaque anomalie technique sans discernement.

Le week-end ou un jour férié suspend-il le délai de 24 heures ?

Non. Le calendrier de notification s’applique en continu, y compris les week-ends et jours fériés, ce qui impose une astreinte réelle pour le référent désigné.

Une PME sans équipe technique dédiée peut-elle respecter ce calendrier ?

Oui, à condition de préparer son modèle de notification à l’avance et de désigner un référent, même externe, capable de mobiliser un prestataire en cas d’incident. Un contrat d’astreinte avec un prestataire de cybersécurité peut suffire à combler ce manque de ressources internes, à condition de définir clairement les rôles de chacun en amont.

Une notification signifie-t-elle que l’entreprise sera sanctionnée ?

Non. Une notification ne constitue pas une reconnaissance de faute. Elle permet à l’autorité compétente de suivre la situation et, si nécessaire, d’accompagner l’entreprise dans la gestion de l’incident. Les sanctions concernent principalement le non-respect des obligations prévues par NIS2, et non le simple fait d’avoir subi un incident.

Peut-on modifier une notification après son envoi ?

Oui. La notification transmise dans les 24 heures constitue une alerte précoce et ne contient généralement que les informations disponibles au moment de sa rédaction. Si de nouveaux éléments apparaissent au cours des investigations, ils peuvent être intégrés dans la notification complète transmise sous 72 heures, puis dans le rapport final remis un mois plus tard. NIS2 prévoit justement cette progression afin de permettre aux entreprises de notifier rapidement un incident sans attendre de disposer d’une analyse exhaustive.

Faut-il attendre de connaître l’origine exacte ?

Non. Il n’est pas nécessaire d’avoir identifié avec certitude l’origine ou l’auteur de l’incident pour envoyer l’alerte précoce. Dès lors qu’un incident est considéré comme significatif et que l’entreprise en a connaissance, le délai de 24 heures commence à courir. Les informations pourront être complétées au fur et à mesure des investigations dans la notification sous 72 heures, puis dans le rapport final. Attendre de disposer de toutes les réponses ferait courir un risque de dépassement des délais prévus par NIS2.

Ce qu’il faut retenir sur la notification d’incident NIS2

La notification d’incident impose un rythme serré à toute entreprise concernée par NIS2. Vingt-quatre heures pour l’alerte précoce, soixante-douze heures pour la notification complète, un mois pour le rapport final : ce calendrier laisse peu de marge à l’improvisation. Une entreprise qui prépare son modèle de notification, désigne un référent clair et se familiarise avec le portail MonEspaceNIS2 avant tout incident réel aborde cette obligation avec une longueur d’avance. Le référentiel ReCyF de l’ANSSI complète utilement ce dispositif, avec des mesures concrètes plutôt qu’un texte général. Anticiper cette procédure aujourd’hui évite une improvisation coûteuse le jour où un incident survient réellement. Une astreinte claire, un modèle prêt à l’emploi et un compte déjà créé sur MonEspaceNIS2 font souvent toute la différence entre une notification maîtrisée et une course contre la montre.