La notification d'incidents NIS2, en termes simples
Dernière mise à jour:
La directive européenne NIS2 demande à de nombreuses organisations de notifier les incidents de cybersécurité importants à leur autorité nationale, selon un calendrier précis. Voici ce qu'elle demande, et où InfraFence vous aide à le faire.
Êtes-vous concerné ?
NIS2 couvre les moyennes et grandes organisations de secteurs comme l'énergie, les transports, la banque, la santé, l'eau, les infrastructures numériques (cloud, hébergement, centres de données, DNS), les services informatiques et de sécurité gérés, l'administration publique, l'industrie et les services numériques, ainsi que certaines plus petites quelle que soit leur taille, comme les fournisseurs de DNS et de services de confiance. Chaque pays de l'UE l'applique par sa propre loi et désigne sa propre autorité : renseignez-vous auprès d'eux ou de votre conseil.
Ce qui compte comme incident important
Un incident qui a causé, ou peut causer, une perturbation grave de vos services ou des pertes financières pour vous, ou des dommages considérables à d'autres personnes ou organisations. C'est à vous de décider si un incident est important.
Trois échéances
Sous 24 heures
Alerte précoce
À partir du moment où vous avez connaissance d'un incident important : signalez qu'il a eu lieu, s'il est susceptible d'être causé par des actes illicites ou malveillants et s'il pourrait avoir un impact dans d'autres pays.
Sous 72 heures
Notification d'incident
Mettez à jour l'alerte précoce avec une première évaluation : la gravité de l'incident, son impact et, s'ils sont disponibles, les indicateurs de compromission. L'autorité peut demander des points de situation entre-temps.
Sous un mois
Rapport final
Un mois après la notification : une description détaillée, le type de menace ou la cause première, les mesures d'atténuation appliquées et en cours, et tout impact dans d'autres pays. Si l'incident est toujours en cours, envoyez alors un rapport d'avancement, puis le rapport final dans le mois qui suit son traitement.
Des données personnelles en jeu ? Article 33 du RGPD
Si l'incident est aussi une violation de données personnelles, le RGPD demande au responsable du traitement de la notifier à l'autorité de protection des données dans les 72 heures après en avoir pris connaissance, sauf s'il est peu probable qu'elle engendre un risque pour les droits et libertés des personnes. Les deux obligations courent en parallèle, auprès d'autorités différentes.
Comment InfraFence vous aide
Une chronologie que vous n'avez pas à reconstruire
Les événements de vos serveurs sont déjà au même endroit : quand l'attaque a commencé, ce qui a été bloqué, qui s'est connecté en SSH, quels fichiers ont changé, et chaque action menée, par une personne ou par AutoMode, avec les approbations et les annulations.
Des brouillons en quelques minutes, dans votre langue
À partir d'un incident ou d'une période, l'IA rédige l'alerte précoce, la notification d'incident et le rapport final, ainsi que l'évaluation de la violation au titre de l'article 33 du RGPD, à partir de cette chronologie. Inclus dans Pro et AutoMode.
À vous de les modifier
Chaque brouillon est modifiable et enregistré en versions. Exportez-le en Markdown ou imprimez-le en PDF, puis complétez-le avec ce que vous seul savez : l'impact sur l'activité, les personnes concernées, les décisions prises.
Les mesures en place, documentées
NIS2 demande aussi des mesures de gestion des risques comme le traitement des vulnérabilités, le contrôle d'accès et la journalisation. Contrôles de durcissement, analyses de vulnérabilités, authentification à deux facteurs, journal d'activité, score de sécurité et rapport mensuel vous aident à montrer ce qui est en place sur vos serveurs.
Ce qu'InfraFence ne fait pas
- Il ne décide pas si un incident est important ou doit être notifié : c'est vous qui décidez.
- Il n'envoie rien à aucune autorité : vous relisez, complétez et soumettez les rapports vous-même.
- Les brouillons ne sont pas un conseil juridique et ne vous rendent pas conforme à eux seuls.
- Il ne voit que ce que l'agent voit sur vos serveurs : les autres systèmes, les personnes et les fournisseurs restent de votre ressort.
Cette page est un résumé en termes simples de l'article 23 de la directive (UE) 2022/2555 (NIS2) et de l'article 33 du règlement (UE) 2016/679 (RGPD), à titre d'information uniquement. Les lois nationales diffèrent dans le détail : pour vos obligations, référez-vous aux textes officiels, à votre autorité nationale et à votre conseil.
Soyez prêt avant que le compte à rebours commence
Commencez gratuitement sur un serveur. Les brouillons de rapports sont inclus dans Pro et AutoMode ; chaque nouveau compte a 14 jours d'AutoMode offerts, sans carte bancaire.