NIS2 et RGPD : notifier le même incident à deux autorités

Les 72 heures des deux textes se ressemblent, mais ne démarrent pas toujours ensemble : NIS2 compte à partir du moment où vous avez connaissance d'un incident important, le RGPD à partir du moment où vous avez connaissance d'une violation de données. Vous pouvez découvrir la seconde plus tard, quand l'analyse montre que l'attaquant a atteint une base de données.

Les deux évaluations sont distinctes, et chacune peut aboutir à oui ou à non. Quelques cas typiques, pour une organisation soumise à NIS2 :

Les lignes directrices 9/2022 du CEPD expliquent, exemples à l'appui, comment évaluer le risque d'une violation, y compris en cas de rançongiciel et de perte de disponibilité.

La directive relie les deux régimes : quand une autorité NIS2 constate qu'un manquement peut entraîner une violation de données à caractère personnel, elle en informe l'autorité de protection des données ; et si cette dernière inflige une amende au titre du RGPD, l'autorité NIS2 ne sanctionne pas une seconde fois le même comportement (article 35). Cela ne remplace pas votre propre notification à l'une ou à l'autre. Le considérant 106 encourage les États membres à proposer un point d'entrée unique pour les deux notifications ; en novembre 2025, la Commission a proposé un point d'entrée unique européen et, pour le RGPD, une notification réservée aux violations à risque élevé, sous 96 heures (proposition « omnibus numérique », COM(2025) 837). En novembre 2026, ce n'est encore qu'une proposition : les règles de cette page s'appliquent.

En France, la notification RGPD va à la CNIL, par son téléservice. Côté NIS2, le projet de loi « résilience » est encore devant l'Assemblée nationale en novembre 2026 : l'obligation de notifier les incidents importants à l'ANSSI ne s'applique donc pas encore en droit français. L'ANSSI prépare les entités sur MonEspaceNIS2. En revanche, l'obligation de notifier les violations de données à la CNIL s'applique déjà, quelle que soit la taille de l'organisation.

Le CEPD tient la liste de toutes les autorités nationales de protection des données. La page sur l'alerte précoce donne l'état de la transposition de NIS2 dans chacun de ces pays.

Hors de l'UE : le RGPD s'applique aussi aux entreprises établies hors de l'Union qui proposent des biens ou des services à des personnes dans l'UE (article 3, § 2), et certaines lois locales fixent leurs propres délais. Au Brésil, par exemple, la LGPD et le règlement de l'ANPD imposent de notifier l'ANPD sous trois jours ouvrables quand un incident peut entraîner un risque ou un dommage significatif pour les personnes concernées.

1. Contenir et préserver : isolez ce qui est compromis, conservez journaux et copies avant de nettoyer, et ouvrez un journal d'incident avec les heures en UTC.
2. Notez le moment de la prise de connaissance, séparément pour l'incident important et pour la violation de données : ils déclenchent les deux délais.
3. Prenez deux décisions, par écrit : est-ce un incident important (NIS2) ? Est-ce une violation de données, avec quel risque pour les personnes (RGPD) ? Notez qui a décidé et pourquoi.
4. Un seul socle de faits, deux notifications : la même chronologie alimente les deux, pour que les deux autorités ne reçoivent pas des versions contradictoires.
5. Sous 24 heures : l'alerte précoce NIS2, si l'incident est important.
6. Sous 72 heures : la notification d'incident NIS2 et, s'il existe un risque pour les personnes, la notification RGPD, avec le délégué à la protection des données. En retard côté RGPD, indiquez pourquoi.
7. Informez les personnes concernées quand le risque est élevé (article 34 du RGPD), et les destinataires de vos services le cas échéant (NIS2).
8. Si vous êtes sous-traitant (par exemple une agence qui héberge le site d'un client), prévenez le responsable du traitement dans les meilleurs délais : c'est à lui de notifier.
9. Dans le mois qui suit la notification NIS2 : le rapport final, avec la cause profonde et les mesures.
10. Inscrivez la violation dans votre registre même si vous ne l'avez pas notifiée (article 33, § 5, du RGPD), et décidez de ce qu'il faut changer.

Dans Compliance (Pro et AutoMode), InfraFence rédige, à partir de la chronologie de vos serveurs, à la fois les notifications NIS2 (alerte précoce, notification d'incident, rapport final) et une évaluation de violation au titre de l'art. 33 du RGPD. Ce brouillon examine si des données personnelles ont été ou ont pu être touchées, avec les éléments pour et contre, évalue le risque et indique si une notification à l'autorité et une communication aux personnes concernées semblent nécessaires, puis prépare le contenu de l'article 33, § 3, et la documentation de l'article 33, § 5.

Les faits viennent de la même chronologie pour chaque brouillon : attaques, bannissements, connexions SSH, fichiers modifiés, logiciels malveillants détectés et actions menées. Ce que l'agent ne peut pas savoir, comme les données personnelles que contiennent vos applications, le nombre de personnes concernées ou l'identité de votre délégué à la protection des données, reste en champ à compléter. Les brouillons sont versionnés et se téléchargent en Markdown ou s'impriment en PDF. Pour les rédiger, la chronologie et vos notes sont envoyées à un prestataire externe de génération de texte, et la page vous le signale. Voir Rapports mensuels et NIS2.

Il ne décide pas s'il y a violation de données ou incident important, et il n'envoie rien à aucune autorité. Les brouillons ne sont pas un conseil juridique.

• Règlement (UE) 2016/679 (RGPD), sur EUR-Lex : articles 3, 4 (point 12), 33, 34, 55 et 56.
• Directive (UE) 2022/2555 (NIS2), sur EUR-Lex : articles 23 et 35, considérant 106.
• Lignes directrices 9/2022 du CEPD sur la notification des violations de données à caractère personnel.
• Membres du CEPD : les autorités nationales de protection des données.
• CNIL, notifier une violation de données personnelles.
• Proposition « omnibus numérique », COM(2025) 837, sur EUR-Lex.