La directive NIS 2 impose trois échéances successives en cas d’incident à impact significatif : une alerte précoce sous 24 heures, une notification détaillée sous 72 heures, un rapport final sous un mois. En France, l’ANSSI centralise ces déclarations. La difficulté n’est pas administrative mais opérationnelle : tenir 24 heures suppose d’avoir détecté et qualifié l’incident avant que le compteur ne devienne critique.
Quels sont les délais de notification imposés par NIS 2 ?
Le dispositif de notification de la directive NIS 2 se déroule en trois temps, chacun avec un contenu attendu différent.
| Échéance | Délai | Contenu attendu |
| Alerte précoce | 24 heures après la prise de connaissance de l’incident | Signalement initial : nature de l’incident, caractère éventuellement malveillant, impacts transfrontaliers possibles |
| Notification d’incident | 72 heures après la prise de connaissance | Évaluation préliminaire de la gravité, des impacts et des indicateurs de compromission, mise à jour de l’alerte initiale |
| Rapport final | 1 mois après la notification | Analyse complète des causes, mesures d’atténuation appliquées, impacts constatés, répercussions transfrontalières éventuelles |
Le point de départ des délais mérite attention : il court à compter de la prise de connaissance de l’incident, non de sa survenance. La prise de connaissance s’entend du moment où l’organisation dispose de motifs raisonnables de croire qu’un incident significatif s’est produit, et non de l’achèvement d’une investigation complète. Un incident détecté trois semaines après son déclenchement ouvre donc le compteur au moment de la détection. Cette règle protège les organisations dont les moyens de détection sont imparfaits, mais elle produit un effet pervers : plus la détection est tardive, plus l’analyse de cause racine sera difficile à conduire dans les délais du rapport final.
Un rapport intermédiaire peut être demandé lorsque l’incident reste en cours au moment de l’échéance du rapport final. La déclaration ne se clôt pas tant que l’incident n’est pas traité.
Quels incidents doivent être notifiés ?
La directive NIS 2 ne demande pas de déclarer tous les incidents, mais ceux qui ont un impact significatif sur la fourniture des services de l’entité. Deux critères principaux caractérisent cet impact : l’incident a causé ou est susceptible de causer une perturbation opérationnelle grave ou des pertes financières, ou bien il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en leur causant un préjudice matériel ou immatériel considérable.
Cette formulation laisse une marge d’appréciation que les textes d’application ont vocation à réduire. En France, les seuils précis et les modalités de qualification relèveront des décrets de la loi de transposition, non encore publiés.
À retenir
En l’absence de seuils précisés, la pratique consiste à documenter systématiquement la décision de notifier ou de ne pas notifier, avec les éléments qui l’ont motivée. En cas de contrôle, une décision tracée et argumentée se défend ; une absence de décision, non.
À qui notifier un incident en France ?
L’ANSSI (Agence nationale de la sécurité des systèmes d’information) est l’autorité qui centralise les notifications d’incident au titre de la directive NIS 2 en France, via le CERT-FR qui exerce la fonction de CSIRT national. Le portail monespaceNIS2 constitue le point d’entrée déclaratif. Les modalités opérationnelles précises — format, interlocuteurs, articulation avec les CSIRT régionaux — seront fixées par les décrets d’application.
Une organisation soumise à plusieurs réglementations doit anticiper la coexistence des régimes. Une violation de données personnelles relève également du RGPD et se notifie à la CNIL sous 72 heures, selon des critères distincts. Un incident peut donc déclencher deux notifications parallèles, à deux autorités, avec deux périmètres d’analyse différents.
Comment tenir un délai de 24 heures ?
Le délai de 24 heures ne se gagne pas au moment de la déclaration : il se gagne en amont, dans la capacité à détecter puis à qualifier un événement de sécurité. Une organisation qui découvre une compromission par un appel client a déjà perdu.
Le Référentiel Cyber France, publié par l’ANSSI le 17 mars 2026 en version de travail, formule cette exigence explicitement. Toute entité, importante comme essentielle, doit disposer de mécanismes d’analyse et de qualification des événements de sécurité remontés. C’est la condition matérielle du respect des délais.
Trois éléments conditionnent cette capacité :
- Une collecte centralisée des événements. Sans journalisation consolidée, la qualification repose sur des vérifications manuelles, système par système, incompatibles avec un délai de 24 heures.
- Une chaîne de qualification définie à l’avance. Qui décide qu’un événement devient un incident, selon quels critères, et qui déclenche la notification. Ces rôles se définissent hors crise.
- Une capacité de traitement continue. Le délai s’exprime en heures calendaires : un incident détecté un vendredi soir consomme son délai pendant le week-end.
Le référentiel ajoute deux exigences propres aux entités essentielles : la réalisation d’une analyse des causes après chaque incident avec conservation des preuves associées, et la protection des relevés techniques d’un incident contre toute altération qui les rendrait inexploitables. Un attaquant qui efface les journaux compromet à la fois l’investigation et la capacité à produire le rapport final.
Que se passe-t-il après la notification ?
Le rapport final attendu sous un mois ferme le cycle déclaratif, mais il suppose un travail d’investigation qui commence dès la détection. Trois éléments le composent : la description détaillée de l’incident et de sa gravité, l’identification du type de menace ou de la cause profonde, et les mesures d’atténuation appliquées ou en cours.
Deux chantiers se mènent en parallèle du cycle déclaratif. Le premier est la préservation des éléments techniques nécessaires à l’analyse de cause racine. Le second est la restauration du service, qui relève d’un dispositif distinct : voir notre article sur la restauration après un rançongiciel.
PARTITIO, infogéreur certifié ISO 27001 et HDS, accompagne ses clients sur la détection, la qualification et la production des éléments techniques exploitables en cas de notification. La logique est la même que pour l’ensemble du dispositif NIS 2 : un incident qui ne laisse pas de trace exploitable place l’organisation en difficulté au moment du rapport final, quelle que soit la qualité de sa réponse opérationnelle.
Pour le cadre général de la réglementation, ses obligations et son calendrier, voir notre article sur la directive NIS 2.
Questions fréquentes
Quel est le délai pour déclarer un incident sous NIS 2 ?
La directive NIS 2 prévoit trois échéances successives : une alerte précoce dans les 24 heures suivant la prise de connaissance de l’incident, une notification détaillée dans les 72 heures, et un rapport final dans un délai d’un mois. Les délais courent à compter de la détection de l’incident, non de sa survenance.
Quels incidents faut-il notifier à l'ANSSI ?
La directive NIS 2 vise les incidents ayant un impact significatif sur la fourniture des services de l’entité : ceux qui causent une perturbation opérationnelle grave ou des pertes financières, et ceux qui affectent d’autres personnes en leur causant un préjudice considérable. Les seuils précis relèveront des décrets d’application de la loi de transposition française, non encore publiés.
Faut-il notifier un incident à la fois à l'ANSSI et à la CNIL ?
Oui, lorsque l’incident implique une violation de données à caractère personnel. Les deux régimes coexistent avec des critères et des périmètres distincts : l’ANSSI au titre de la directive NIS 2 pour la sécurité des systèmes d’information, la CNIL au titre du RGPD pour les données personnelles. Les deux notifications se préparent en parallèle.
Le délai de 24 heures court-il pendant le week-end ?
Oui. Le délai s’exprime en heures calendaires à compter de la prise de connaissance de l’incident, sans distinction de jours ouvrés. Une organisation sans capacité de traitement continue, en interne ou via un prestataire, s’expose à consommer l’essentiel de son délai avant même d’engager la qualification.
Que contient le rapport final exigé sous un mois ?
Le rapport final présente une description détaillée de l’incident et de sa gravité, l’identification du type de menace ou de la cause profonde ayant conduit à l’incident, ainsi que les mesures d’atténuation appliquées ou en cours. Lorsque l’incident est toujours en cours à l’échéance, un rapport intermédiaire est transmis et le rapport final suit le traitement effectif de l’incident.
Le déroulé des trois échéances de notification
Le livre blanc NIS 2 de PARTITIO détaille le déroulé complet des trois échéances de notification et les mécanismes de détection et de qualification attendus en amont.
