Directive (UE) 2022/2555, article 23

Notification des incidents sous NIS2 : le seuil, la séquence en trois temps et la superposition avec le RGPD

L'obligation de notification de NIS2 se distingue de celles que les entreprises connaissent déjà sur deux points : elle se déclenche à un seuil défini par le texte lui-même, et elle impose non pas un envoi mais une séquence de trois communications à des échéances distinctes. Une procédure interne écrite après l'incident ne permet pas de tenir la première de ces échéances.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Le seuil : ce qu'est un incident important

Tout incident n'est pas notifiable. L'article 23.1 vise les incidents importants, et l'article 23.3 définit ce qualificatif par deux critères alternatifs.

Un incident est important, d'une part, s'il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité concernée. Il l'est, d'autre part, s'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

Deux éléments de rédaction méritent attention. Le premier est le « susceptible de » : le seuil est atteint par le risque, non par le dommage réalisé. Le second est que le second critère regarde au-delà de l'entité : un incident sans conséquence interne mais qui expose des clients ou des partenaires est notifiable.

L'article 6, point 6, définit par ailleurs l'incident comme un événement compromettant la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données stockées, transmises ou faisant l'objet d'un traitement, ou des services que les réseaux et systèmes d'information offrent ou rendent accessibles. La disponibilité y figure au même rang que la confidentialité : une interruption de service sans fuite de données entre dans le champ.

La séquence en trois temps

L'article 23.4 organise la notification en plusieurs communications successives au CSIRT ou, le cas échéant, à l'autorité compétente. Chacune a un contenu propre et une échéance propre, calculées à compter de la prise de connaissance de l'incident important.

Sans retard et au plus tard 24 heures : alerte précoce

L'alerte précoce indique si l'on suspecte que l'incident important a été causé par des actes illicites ou malveillants, et s'il pourrait avoir un impact transfrontière. Son contenu est volontairement réduit : à ce stade, l'entité n'est pas censée avoir qualifié l'incident, et l'objet de l'alerte est de permettre au CSIRT de fournir une réponse et une assistance.

Sans retard et au plus tard 72 heures : notification

La notification d'incident met à jour l'alerte précoce et fournit une évaluation initiale de l'incident, y compris de sa gravité et de son impact, ainsi que les indicateurs de compromission lorsqu'ils sont disponibles. Pour les prestataires de services de confiance, ce délai est ramené à 24 heures lorsque l'incident a un impact sur la fourniture de leurs services de confiance.

Sur demande du CSIRT : rapport intermédiaire

Le CSIRT ou l'autorité compétente peut demander un rapport intermédiaire sur les mises à jour pertinentes de la situation. Cette étape n'est pas systématique.

Au plus tard un mois après la notification : rapport final

Le rapport final comprend une description détaillée de l'incident, y compris de sa gravité et de son impact ; le type de menace ou la cause profonde qui a probablement déclenché l'incident ; les mesures d'atténuation appliquées et en cours ; et, le cas échéant, l'impact transfrontière de l'incident.

Incident en cours au terme du mois : rapport d'avancement

Lorsque l'incident est toujours en cours au moment où le rapport final serait dû, l'entité fournit un rapport d'avancement à cette échéance, puis le rapport final dans le mois suivant le traitement de l'incident.

L'information des destinataires du service

L'article 23.1 impose en outre à l'entité de communiquer, sans retard injustifié, aux destinataires de ses services qui sont potentiellement affectés par une cybermenace importante, les mesures ou corrections que ces destinataires peuvent appliquer en réponse. Le cas échéant, elle les informe également de la cybermenace elle-même.

L'article 23.2 ajoute une faculté pour l'autorité : lorsque la divulgation de l'incident est dans l'intérêt public, le CSIRT ou l'autorité compétente peut demander à l'entité d'informer le public, ou informer le public lui-même.

La superposition avec l'article 33 du RGPD

Un incident de cybersécurité portant sur des données à caractère personnel déclenche deux obligations distinctes, adressées à deux autorités différentes, dans deux délais différents, et selon deux seuils différents.

L'article 33.1 du règlement (UE) 2016/679 impose au responsable du traitement de notifier la violation à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. L'article 34 y ajoute, en cas de risque élevé, une communication aux personnes concernées.

L'article 23 de la directive (UE) 2022/2555 impose une alerte précoce sous 24 heures au CSIRT ou à l'autorité compétente, selon le seuil de l'incident important décrit plus haut.

Les deux régimes ne se recouvrent pas. Un incident peut être important au sens de NIS2 sans emporter de violation de données personnelles, par exemple une interruption de service sans accès à des données. Un incident peut à l'inverse constituer une violation au sens du RGPD sans atteindre le seuil de perturbation opérationnelle grave. Et un même incident peut relever des deux, ce qui rend le délai de 24 heures déterminant : c'est lui qui commande la procédure interne, puisque tenir 24 heures permet de tenir 72 heures, alors que l'inverse n'est pas vrai.

L'article 35 de la directive prévoit d'ailleurs expressément le cas de recoupement : lorsque les autorités compétentes ou le CSIRT ont connaissance d'un incident important susceptible d'entraîner une violation de données à caractère personnel, elles en informent sans retard l'autorité de contrôle compétente au titre du RGPD.

Ce que cela impose d'écrire avant l'incident

La conséquence opérationnelle est que la procédure de gestion des incidents, exigée à l'article 21.2, point b), doit contenir des éléments que l'on ne peut pas décider dans l'urgence : qui qualifie l'incident au regard du seuil de l'article 23.3, qui décide de notifier, quelle autorité est saisie et par quel canal, qui rédige, et qui prévient le délégué à la protection des données afin que l'analyse RGPD soit conduite en parallèle et non après.

Une organisation qui découvre le formulaire de notification pendant l'incident ne tiendra pas le délai de 24 heures. C'est la raison pour laquelle la procédure, et non l'outillage technique, est le premier livrable d'une mise en conformité NIS2.

L'intervention correspondante

Les mesures de gestion des risques de l'article 21 et la procédure de notification de l'article 23 forment un ensemble : la seconde n'est tenable que si la première a désigné les responsabilités à l'avance.

Construire la procédure de notification et le plan de conformité NIS2

Textes et sources cités

Cette analyse est d'ordre général et ne constitue pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.