Notification d'incidents NIS2 : 24 heures, 72 heures, un mois

La directive NIS2 a transformé la notification des incidents : d'une obligation vaguement définie, elle est devenue un processus par étapes assorti de délais fixes. Pour les entités essentielles et importantes, le premier rapport est dû dans les 24 heures après avoir pris connaissance d'un incident important. C'est peu de temps pour comprendre ce qui s'est passé, décider si l'incident est important et trouver la bonne personne pour transmettre la notification, surtout à 3 heures du matin un dimanche.

Les organisations qui s'en sortent bien sont celles qui ont pris les décisions de notification à l'avance.

Les trois étapes

L'article 23 de NIS2 prévoit une approche par étapes. Chaque État membre la transpose dans son droit national et désigne le destinataire des rapports, généralement le CSIRT national ou l'autorité compétente. En Belgique, par exemple, c'est le Centre pour la Cybersécurité Belgique qui joue ce rôle. La séquence générale est la même partout.

Alerte précoce : dans les 24 heures

Sans retard injustifié et en tout état de cause dans les 24 heures après avoir pris connaissance d'un incident important, l'entité envoie une alerte précoce. Celle-ci est volontairement brève. Elle indique, le cas échéant, si l'on suspecte que l'incident est causé par des actes illicites ou malveillants, et s'il pourrait avoir un impact transfrontière.

Le but est d'alerter l'autorité tôt ; attendre d'avoir des certitudes irait à l'encontre de l'objectif.

Notification d'incident : dans les 72 heures

Dans les 72 heures après avoir pris connaissance de l'incident, l'entité transmet une notification d'incident. Celle-ci met à jour l'alerte précoce et fournit une évaluation initiale : la gravité et l'impact de l'incident et, lorsqu'ils sont disponibles, les indicateurs de compromission.

L'autorité peut également demander des rapports intermédiaires sur les mises à jour pertinentes de la situation.

Rapport final : dans un délai d'un mois

Au plus tard un mois après la notification d'incident, l'entité transmet un rapport final. Celui-ci contient une description détaillée de l'incident, y compris sa gravité et son impact ; le type de menace ou la cause profonde ayant probablement déclenché l'incident ; les mesures d'atténuation appliquées et en cours ; et, le cas échéant, l'impact transfrontière.

Si l'incident est toujours en cours à ce moment-là, l'entité transmet un rapport d'avancement, suivi du rapport final dans un délai d'un mois après le traitement de l'incident.

En plus de ces rapports, les entités peuvent devoir informer sans retard injustifié les destinataires de leurs services des incidents importants susceptibles de les affecter, ainsi que des mesures que ces destinataires peuvent prendre en réponse à une cybermenace importante.

Ce que recouvre généralement un incident « important »

Tous les incidents ne doivent pas être notifiés. Au sens de NIS2, un incident est important s'il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité concernée, ou s'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels ou immatériels considérables.

Deux aspects de cette définition comptent en pratique. Premièrement, susceptible de causer signifie que vous évaluez l'impact potentiel, et pas seulement ce qui s'est déjà produit. Deuxièmement, les seuils sont qualitatifs dans la directive elle-même. Pour certaines entités du secteur numérique, un règlement d'exécution fixe des critères plus précis ; pour d'autres, des orientations nationales peuvent aider. Dans tous les cas, il vous faut votre propre interprétation documentée avant tout incident, car le délai de 24 heures ne s'arrête pas pendant que vous en débattez.

Préparer des critères de classification

Traduisez la définition en critères que votre équipe peut appliquer rapidement. Les dimensions habituelles sont :

• Impact sur les services : quels services sont touchés, pendant combien de temps et pour combien d'utilisateurs.
• Impact financier : pertes directes ou coûts au-delà d'un seuil que vous définissez.
• Impact sur des tiers : préjudice pour des clients, patients, citoyens ou d'autres organisations.
• Données : confidentialité, intégrité ou disponibilité des données, en particulier des données à caractère personnel.
• Cause : activité malveillante suspectée, ce qui compte aussi pour l'alerte précoce.
• Effets transfrontières : services ou utilisateurs dans d'autres États membres.

Définissez ce que « grave » et « considérable » signifient pour votre organisation dans chaque dimension, et consignez le raisonnement qui sous-tend chaque décision de classification. Cette trace constitue ensuite une preuve utile, que la décision ait été de notifier ou non.

N'oubliez pas que d'autres régimes peuvent s'appliquer au même incident : la notification des violations de données à l'autorité de protection des données au titre du RGPD, des règles sectorielles et, pour les entités financières, DORA. Cartographiez leurs recoupements afin qu'un seul incident ne déclenche pas trois processus non coordonnés.

Attribuer les rôles avant l'incident

La chaîne de notification doit désigner des personnes, et non des départements :

• Qui déclare un incident important présumé et lance le compte à rebours.
• Qui classifie, avec un suppléant pour les nuits, les week-ends et les congés.
• Qui approuve la transmission, et à quel niveau. Les organes de direction des entités NIS2 répondent des mesures de gestion des risques en matière de cybersécurité ; l'implication de la direction doit donc être planifiée plutôt qu'improvisée.
• Qui transmet à l'autorité et dispose de l'accès au canal de notification.
• Qui communique avec les destinataires de services concernés, ainsi qu'avec les équipes juridique, communication et protection des données.

Consignez comment les joindre en dehors des heures de bureau, et testez-le.

Modèles et preuves

Préparez pour chaque étape des projets comportant les champs attendus par l'autorité, pré-remplis avec ce qui ne change pas : données de l'entité, secteur, contacts. Pendant un incident, l'équipe complète des faits au lieu de concevoir un formulaire.

Tenez une chronologie dès le premier signal : quand l'incident a été détecté, quand il a été classifié, quand chaque rapport a été envoyé et ce qu'il contenait. Le rapport final s'appuie sur cette chronologie, tout comme un éventuel examen ultérieur par l'autorité.

La répéter

Une procédure qui n'a jamais été exécutée échouera au premier incident réel. Intégrez la notification à vos exercices : un scénario sur table où l'équipe doit se prononcer sur le caractère important et rédiger l'alerte précoce dans le délai imparti suffit souvent à révéler des contacts manquants, des règles d'approbation floues et des modèles qui demandent des informations dont personne ne dispose. Consignez ce qui n'a pas fonctionné et corrigez-le avant l'exercice suivant.

En bref

La notification NIS2 récompense la préparation. Arrêtez vos critères, désignez vos personnes, préparez vos modèles et répétez les 24 premières heures. Les outils peuvent aider en réunissant incidents, classifications, playbooks et résultats d'exercices en un seul endroit, et en rédigeant des projets de notification qu'une personne vérifie, mais les décisions sur ce qui est considéré comme important vous appartiennent et doivent être prises à l'avance.

Cet article constitue une information générale et non un avis juridique.