Réponse courte
L'article 23 de NIS2 organise une séquence en trois temps pour les incidents significatifs : alerte précoce dans les 24 heures, notification dans les 72 heures et rapport final au plus tard un mois après la notification. Le dispositif doit être relié à la gestion opérationnelle de l'incident et au droit national applicable.
À retenir
- ✓Définir les critères de détection et de qualification d'un incident significatif.
- ✓Préparer une alerte initiale sous 24 heures avec les informations disponibles.
- ✓Organiser l'enrichissement sous 72 heures puis le rapport final sous un mois.
- ✓Tenir compte du cadre français de transposition et des instructions de l'autorité compétente.
Les délais courts transforment la notification en capacité opérationnelle. L'entreprise doit savoir qui déclenche l'analyse, qui décide de notifier, quelles informations sont disponibles et comment les équipes sécurité, juridique, direction et communication coopèrent.
1. Préparer le processus avant l'incident
Le processus décrit les canaux de détection, les responsables d'astreinte, les critères de gravité, la chaîne de décision, les coordonnées des autorités et les modèles de notification. Il identifie aussi les autres obligations possibles, notamment au titre du RGPD, des contrats ou d'un secteur réglementé.
Des exercices permettent de vérifier que l'information circule sans ralentir la réponse technique et que les responsabilités restent claires en dehors des heures ouvrées.
2. Qualifier le caractère significatif
NIS2 vise les incidents qui causent ou peuvent causer une perturbation opérationnelle grave ou une perte financière, ou qui affectent ou peuvent affecter d'autres personnes par des dommages considérables. La qualification combine l'impact, la durée, l'étendue, les services et les personnes affectées.
La décision et ses éléments sont horodatés. Une première qualification peut évoluer à mesure que l'enquête progresse.
3. Tenir les trois jalons de notification
L'alerte précoce intervient sans retard indu et au plus tard dans les 24 heures après la prise de connaissance. La notification sous 72 heures actualise l'information et apporte une première évaluation de la gravité, de l'impact et, lorsqu'ils sont disponibles, des indicateurs de compromission.
Le rapport final est remis au plus tard un mois après la notification. Il décrit l'incident, son impact, la cause probable et les mesures appliquées ou en cours. Un incident toujours en cours donne lieu à un rapport d'avancement puis à un rapport final après son traitement.
- 24 h : alerte précoce
- 72 h : notification et évaluation initiale
- 1 mois : rapport final
4. Suivre la transposition française
La directive fixe le cadre européen, mais les modalités nationales, les autorités, le périmètre et certains critères sont précisés par la transposition. Le 8 juillet 2026, la Commission européenne indiquait que la France n'avait pas encore notifié une transposition complète.
Une entreprise potentiellement concernée peut préparer la gouvernance, la détection, les modèles et les preuves dès maintenant, tout en mettant à jour sa procédure lors de la publication des textes français et instructions de l'ANSSI.
Questions fréquentes
Les réponses essentielles
Le délai de 24 heures exige-t-il une analyse complète ?
Non. Il s'agit d'une alerte précoce fondée sur les informations disponibles. Elle est complétée par la notification sous 72 heures puis le rapport final.
Un même incident peut-il relever du RGPD et de NIS2 ?
Oui. Une compromission peut déclencher plusieurs régimes. Les critères, destinataires et contenus sont distincts et doivent être coordonnés dans la procédure.
Faut-il attendre la transposition française pour se préparer ?
Les modalités nationales doivent être suivies, mais la détection, la qualification, la chaîne de décision, les modèles et les exercices peuvent être préparés immédiatement.
Sources
Textes et ressources officielles
Sources consultées et vérifiées lors de la mise à jour du 10 août 2026.
- Union européenne - EUR-LexDirective (UE) 2022/2555 - article 23
Texte officiel fixant les étapes de notification des incidents significatifs.
- ANSSIDirective NIS 2 et Référentiel Cyber France
Point d'entrée officiel français pour la préparation à NIS2.
- Commission européenneSituation de la transposition de NIS2 en France
Information officielle du 8 juillet 2026 sur l'absence de transposition complète notifiée par la France.