Opérationnel · 6 min · mis à jour le 4 novembre 2026
Notifier un incident important : la règle des 24 h, 72 h et 1 mois
NIS 2 impose un calendrier de signalement très court. Le jour où un incident survient, il est trop tard pour découvrir la procédure. Voici le déroulé à préparer dès maintenant.
Qu'est-ce qu'un incident important ?
Un incident est important s'il a causé, ou peut causer, une perturbation grave du fonctionnement des services ou des pertes financières pour l'entité, ou s'il a touché, ou peut toucher, d'autres personnes en causant des dommages matériels ou non matériels considérables.
Les trois étapes
| Délai | Étape | Contenu attendu |
|---|---|---|
| 24 h après en avoir eu connaissance | Alerte précoce | Signaler l'incident, préciser s'il semble causé par un acte malveillant et s'il peut avoir un impact dans d'autres pays |
| 72 h après en avoir eu connaissance | Notification de l'incident | Mettre à jour l'alerte, donner une première évaluation : gravité, impact, indicateurs de compromission |
| 1 mois après la notification | Rapport final | Description détaillée, type de menace ou cause probable, mesures d'atténuation, impact transfrontière |
Un rapport intermédiaire peut être demandé à tout moment. Si l'incident est toujours en cours au bout d'un mois, un rapport d'avancement est remis, puis le rapport final un mois après la fin du traitement.
Les prestataires de services de confiance doivent faire leur notification sous 24 h au lieu de 72 h.
À qui notifier ?
En France, l'autorité est l'ANSSI, et son centre opérationnel, le CERT-FR. Les modalités pratiques seront précisées par les textes d'application. Selon les cas, l'entité doit aussi informer sans retard les destinataires de ses services touchés, et leur indiquer les mesures qu'ils peuvent prendre.
Ce qu'il faut préparer dès aujourd'hui
- Une procédure de gestion des incidents avec les critères d'incident important (objectif 12 du ReCyF).
- Un circuit de décision clair : qui qualifie, qui notifie, qui valide.
- Un modèle d'alerte précoce et de notification pré-rempli.
- Un annuaire de crise imprimé et les contacts de vos prestataires (objectif 14).
- Une preuve conservée de chaque étape : horodatage, contenu envoyé, accusé de réception.
Ne pas oublier les autres signalements
Un même incident peut déclencher d'autres obligations : notification de violation de données à la CNIL sous 72 h (RGPD), dépôt de plainte, déclaration à l'assureur dans les délais du contrat.
Questions fréquentes
Le délai de 24 h commence-t-il à l'attaque ?
Non, il commence au moment où l'entité a connaissance de l'incident important.
Faut-il notifier une tentative d'attaque bloquée ?
La notification obligatoire concerne les incidents importants. Les incidents évités de justesse et les menaces peuvent être signalés volontairement.