Alerte précoce NIS2 sous 24 heures : quoi envoyer et à qui

L'article 23 de la directive demande aux entités essentielles et importantes de notifier à leur CSIRT ou, selon le cas, à leur autorité compétente tout incident important, par étapes :

Deux détails changent votre façon de travailler. Le délai court à partir du moment où vous avez connaissance de l'incident important, pas du début de l'attaque. Et 24 heures sont un plafond : la règle est « sans retard injustifié ». Dans les 24 heures suivant l'alerte précoce, si possible, le CSIRT ou l'autorité répond avec un premier retour et, sur demande, des conseils pour l'atténuation (art. 23, § 5). Les prestataires de services de confiance ont aussi 24 heures pour la notification d'incident.

Selon l'article 23, paragraphe 3, un incident est important :

• s'il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité ; ou
• s'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

Pour les fournisseurs numériques (DNS, registres de noms de domaine de premier niveau, cloud, centres de données, réseaux de diffusion de contenu, fournisseurs de services gérés et de services de sécurité gérés, places de marché en ligne, moteurs de recherche, réseaux sociaux et services de confiance), le règlement d'exécution (UE) 2024/2690 rend ces critères mesurables. L'article 3 fixe des critères généraux : une perte financière directe supérieure à 500 000 euros ou à 5 % du chiffre d'affaires annuel, le montant le plus bas étant retenu ; l'exfiltration de secrets d'affaires ; le décès d'une personne ou une atteinte considérable à sa santé ; ou un accès non autorisé, réussi et présumé malveillant aux réseaux et systèmes d'information, susceptible de causer une perturbation opérationnelle grave. L'article 4 ajoute les incidents récurrents : au moins deux fois en six mois, avec la même cause apparente, atteignant ensemble le seuil financier. Les articles 5 à 14 ajoutent des critères par type de fournisseur ; pour les fournisseurs de services gérés, par exemple, un service totalement indisponible pendant plus de 30 minutes (article 10).

Les autorités nationales peuvent ajouter leurs propres définitions : vérifiez celles de votre pays. Deux points valent partout : c'est à vous de décider si un incident est important, et une attaque bloquée n'est pas automatiquement un incident. La directive appelle « incident évité » un événement qui a été empêché de se produire (article 6), que vous pouvez notifier volontairement (article 30).

La directive demande peu : si l'incident semble illicite ou malveillant, et s'il pourrait toucher d'autres pays. En pratique, les formulaires nationaux demandent quelques éléments de plus, et l'autorité ne peut vous aider que si elle peut vous joindre. Une alerte précoce utile contient :

1. Qui vous êtes : l'entité, son secteur et une personne de contact joignable à toute heure.
2. Quand : la date et l'heure de la détection et de la prise de connaissance, en UTC ou avec le fuseau horaire.
3. Ce que vous avez constaté : quelques lignes factuelles, par exemple des accès inhabituels à un serveur, des fichiers chiffrés, un service à l'arrêt, des données envoyées vers une adresse inconnue.
4. Cause soupçonnée : si vous soupçonnez des actes illicites ou malveillants, et pourquoi.
5. Impact transfrontière : si des services, des clients ou des systèmes dans d'autres États membres pourraient être touchés.
6. Mesures déjà prises : isolement, changement des mots de passe et des clés, adresses bloquées, sauvegardes restaurées.
7. Prochaines étapes, et si vous souhaitez des conseils ou un appui technique du CSIRT.

La rapidité avant l'exhaustivité : écrivez ce que vous savez, signalez ce que vous ne savez pas encore et complétez dans la notification d'incident sous 72 heures. Une alerte précoce qui arrive en retard parce qu'elle voulait être parfaite manque son but.

En France, la transposition n'est pas encore faite. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025 et, en novembre 2026, il est toujours devant l'Assemblée nationale. Tant qu'il n'est pas voté et promulgué, les obligations NIS2, dont l'alerte précoce, ne s'appliquent pas encore en droit français.

L'ANSSI suit la transposition et prépare les entités sur MonEspaceNIS2 ; le CERT-FR est son centre de réponse aux incidents. Préparez dès maintenant votre procédure sur le calendrier de la directive : le jour où la loi s'appliquera, le délai de 24 heures ne laissera pas le temps de l'improviser.

Chaque État membre désigne son CSIRT et son autorité compétente, et certains ont modifié les étapes ou les délais. La situation en novembre 2026 dans les pays des langues de ce site :

Pour les autres États membres, la Commission européenne tient une page par pays avec les contacts nationaux : vérifiez sa date de mise à jour, puis les sources officielles nationales. Si vous opérez dans plusieurs pays, la règle générale est le pays où vous êtes établi ; les fournisseurs de services gérés, de cloud, de centres de données et quelques autres fournisseurs numériques relèvent du pays de leur établissement principal dans l'Union (article 26).

Vingt-quatre heures, c'est court seulement si vous l'apprenez tard, ou si vous devez reconstituer à la main ce qui s'est passé. Ce qui rend le délai tenable se met en place avant l'incident :

• Des alertes qui atteignent une personne : les événements critiques vont vers un canal que quelqu'un lit, y compris la nuit et le week-end, pas vers une boîte jamais ouverte.
• Une chronologie unique : les événements de tous les serveurs au même endroit, avec les heures, les adresses sources, les connexions et les actions menées. Les premières lignes de l'alerte précoce deviennent une question de lecture, pas de collecte de journaux.
• Un décideur désigné à l'avance : qui décide si l'incident est important, et qui valide et envoie la notification.
• Le canal de l'autorité prêt : inscription faite là où elle est obligatoire, accès au portail testé, contacts du CSIRT à portée de main.
• Les prestataires dans la boucle : si un prestataire gère vos serveurs, le contrat fixe en combien de temps il vous prévient. Son retard fait partie de vos 24 heures.

InfraFence couvre les serveurs Linux sur lesquels tourne son agent :

• Alertes : par e-mail sur toutes les offres ; Slack, Discord, Telegram et webhooks signés à partir de l'offre Basic, avec une gravité minimale et des catégories par canal. Voir Alertes.
• La chronologie : attaques, bannissements, connexions SSH, fichiers modifiés, logiciels malveillants détectés, et chaque action d'une personne ou d'AutoMode, avec validations et annulations. Voir Événements et activité.
• Des brouillons de notification : dans Compliance (Pro et AutoMode), l'alerte précoce, la notification d'incident et le rapport final NIS2 sont rédigés à partir d'un incident des 7 derniers jours ou d'une période de 31 jours au plus, avec vos notes et dans la langue de votre choix. Le brouillon distingue les tentatives bloquées d'une compromission confirmée et laisse ce qu'il ne peut pas savoir, comme les coordonnées de l'entreprise et l'impact métier, en champs à compléter. Les brouillons sont versionnés et se téléchargent en Markdown ou s'impriment en PDF. Voir Rapports mensuels et NIS2.

Les brouillons suivent la structure de l'article 23, pas un formulaire national : reportez le texte dans le formulaire ou le portail de votre pays. Pour rédiger un brouillon, la chronologie et vos notes sont envoyées à un prestataire externe de génération de texte, et la page vous le signale avant de commencer.

Ce qu'il ne fait pas : il ne décide pas si un incident est important, il n'envoie rien à aucune autorité ni à aucun CSIRT, et il ne voit que les serveurs où l'agent tourne. L'historique des événements est de 30 jours sur Starter et de 90 jours sur les offres payantes. Les brouillons ne sont pas un conseil juridique et ne suffisent pas, seuls, à vous mettre en conformité. Si des données personnelles sont en jeu, lisez aussi NIS2 et RGPD.

• Directive (UE) 2022/2555 (NIS2), sur EUR-Lex : articles 6, 23, 26 et 30.
• Règlement d'exécution (UE) 2024/2690 de la Commission, sur EUR-Lex : articles 3, 4 et 10.
• France : le dossier législatif à l'Assemblée nationale et MonEspaceNIS2 de l'ANSSI.
• Italie : D.Lgs. 138/2024, article 25, sur Normattiva, et la détermination ACN 379907/2025.
• Allemagne : § 32 BSIG et la page du BSI sur l'obligation de signalement.
• Espagne : décret-loi royal 12/2018, sur le BOE, et le ministère de l'Intérieur sur l'avant-projet.
• Portugal : décret-loi 125/2025, au Diário da República, articles 40 à 44 du régime annexé.
• Commission européenne, transposition de NIS2 dans les pays de l'UE.