Un incident, quatre délais : signalement NIS2, DORA, CRA et RGPD

Un seul incident de cybersécurité peut déclencher quatre délais de signalement. Ce guide opérationnel compare les délais, vous guide dans la classification et énumère les destinataires belges, néerlandais et luxembourgeois.

Ce guide opérationnel s'adresse aux personnes en conférence d'urgence en cas de problème : le gestionnaire d'incidents, le CISO, le DPO, le conseil juridique et, dans les entités financières, la fonction de risque lié aux TIC. Il présente les règles de notification pour un seul incident de cybersécurité de l'UE côte à côte, avec un flux de décision et les destinataires belges, néerlandais et luxembourgeois. À la fin, vous disposerez d'une feuille de décision que vous pourrez tester lors d'un exercice de simulation et utiliser en cas de crise réelle. Il couvre uniquement la notification ; la gestion technique relève de votre plan de réponse aux incidents.

Avant de commencer

Enregistrez les régimes applicables, dans un endroit accessible en cas de panne. Êtes-vous une entité essentielle ou importante en vertu de votre loi nationale NIS2 ? Une entité financière en vertu de DORA ? Un fabricant de produits comportant des éléments numériques en vertu du CRA ? Le RGPD s'applique presque toujours. Ensuite, convenez des rôles :

• Responsable du signalement (CISO ou responsable du risque lié aux TIC) : responsable de la classification et des horloges.
• DPO : décide des notifications en vertu des articles 33 et 34 du RGPD.
• Conseil juridique : examine la formulation, la responsabilité et les contraintes liées à l'application de la loi.
• Déclarant et suppléant : disposent de comptes actifs sur chaque portail (plateforme CCB, portail NCSC, plateforme de signalement unique ENISA, canal de l'autorité de contrôle financière).
• Approbateur : un membre de l'organe de direction informé à chaque soumission.

Les quatre horloges comparées

Régime	Ce qui le déclenche	Premier rapport	Suivi	Rapport final	Destinataire
NIS2 (art. 23)	Un incident important : perturbation opérationnelle grave ou perte financière, ou dommage considérable à autrui	Alerte précoce dans les 24 h suivant la prise de connaissance	Notification d'incident dans les 72 h (24 h pour les prestataires de services de confiance) ; rapport intermédiaire sur demande	Un mois après la notification d'incident, ou un rapport de progression si l'incident est toujours en cours	CSIRT national ou autorité compétente
DORA (art. 19 ; Rég. dél. 2025/301)	Un incident majeur lié aux TIC en vertu du Rég. dél. 2024/1772	Notification initiale dans les 4 h suivant la classification de l'incident comme incident important, et jamais plus tard que 24 h après la prise de connaissance	Rapport intermédiaire dans les 72 h suivant la notification initiale	Un mois après le dernier rapport intermédiaire mis à jour	Autorité compétente financière
CRA (art. 14)	Une vulnérabilité activement exploitée, ou un incident grave affectant la sécurité du produit	Alerte précoce dans les 24 h suivant la prise de connaissance	Notification dans les 72 h	Vulnérabilité : 14 jours après la mise à disposition d'un correctif ou d'une atténuation. Incident : un mois après la notification de 72 h	Coordinateur CSIRT, via la plateforme de signalement unique ENISA
RGPD (art. 33/34)	Une violation de données à caractère personnel	Notifier l'autorité de contrôle dans les 72 h suivant la prise de connaissance, sauf si la violation est peu susceptible d'engendrer un risque	Les informations peuvent être fournies par phases	Aucun rapport final fixe ; documenter la violation en interne	Autorité de protection des données ; personnes concernées sans délai indu si le risque est élevé

Sources : article 23 de NIS2^[1], calendriers DORA^[4], article 14 du CRA^[5], RGPD^[7].

Étape 1 : Démarrez l'horloge de prise de connaissance et enregistrez-la

Chaque régime compte à partir de la prise de connaissance, donc rendez ce moment explicite : le moment où vous êtes raisonnablement certain qu'un événement de sécurité s'est produit avec un impact possible. Enregistrez la date, l'heure et le fuseau horaire dans le journal des incidents lorsque le gestionnaire d'incidents déclare l'incident.

• Enregistrez qui a pris connaissance en premier et comment (une alerte SOC, un avis de fournisseur, une plainte de client).
• Calculez tous les délais possibles immédiatement et mettez-les à l'ordre du jour de la conférence téléphonique.
• Signalez les week-ends et les jours fériés. DORA permet à certaines entités de déposer avant midi le jour ouvrable suivant, mais pas aux établissements de crédit ni aux entités qui sont également des entités essentielles ou des entités importantes au sens de NIS2.^[4].

Étape 2 : Testez l'importance selon NIS2

En vertu de la NIS2, un incident est significatif s'il a causé ou est susceptible de causer une perturbation opérationnelle grave de vos services ou une perte financière pour vous, ou s'il affecte d'autres personnes en causant un dommage matériel ou immatériel considérable^[1]. Le règlement d'exécution (UE) 2024/2690 fixe des chiffres contraignants uniquement pour les prestataires d'infrastructure numérique et les prestataires numériques : les fournisseurs de DNS et de TLD, les fournisseurs de cloud et de centres de données, les réseaux de distribution de contenu, les prestataires de services gérés (de sécurité), les places de marché en ligne, les moteurs de recherche, les réseaux sociaux et les prestataires de services de confiance^[2].

• Pour ces entités, les critères généraux sont : une perte financière directe supérieure à 500 000 EUR ou 5 % du chiffre d'affaires annuel, le montant le plus faible étant retenu ; exfiltration de secrets commerciaux ; décès ou dommage considérable à la santé ; ou accès non autorisé réussi, soupçonné d'être malveillant, qui pourrait causer une perturbation opérationnelle grave.
• Les incidents qui se reproduisent dans les six mois avec la même cause apparente sont comptabilisés ensemble.
• Ensuite, vérifiez les seuils spécifiques aux services dans les articles 5 à 14 (par exemple, indisponibilité pour les services en nuage).
• En Belgique, le CCB publie des orientations pour les autres secteurs qui utilisent un seuil financier inférieur de 250 000 EUR. Lorsque l'orientation et le règlement de l'UE diffèrent, le règlement prévaut^[8].

Étape 3 : Classer selon DORA (entités financières uniquement)

DORA dispose de son propre test, défini dans le règlement délégué (UE) 2024/1772^[3]. Un incident est majeur s'il affecte les services critiques et si l'une des deux conditions suivantes est remplie. Soit il y a eu un accès malveillant, non autorisé et réussi aux réseaux et systèmes d'information susceptible d'entraîner des pertes de données, soit au moins deux autres seuils de matérialité sont atteints.

• Clients et transactions : plus de 10 % des clients utilisant le service, ou plus de 100 000 clients ; ou plus de 10 % des transactions quotidiennes moyennes.
• Durée et indisponibilité : l'incident dure plus de 24 heures, ou un service qui soutient des fonctions critiques ou importantes est indisponible pendant plus de 2 heures.
• Étendue géographique : impact dans deux ou plusieurs États membres.
• Impact économique : coûts et pertes supérieurs à 100 000 EUR.
• Impact réputationnel et pertes de données : tests qualitatifs. Les exemples incluent la couverture médiatique, les plaintes répétées de clients, ou l'impact sur la disponibilité, l'intégrité ou la confidentialité des données.

La classification en tant qu'incident majeur déclenche le délai de 4 heures ; si la classification n'intervient qu'après 24 heures, vous déposez dans les 4 heures suivant celle-ci^[4]. DORA est lex specialis par rapport à NIS2, de sorte que les entités financières signalent en vertu de DORA ; vérifiez les arrangements nationaux pour toute copie au CSIRT.

Étape 4 : Vérifier la CRA si vous fabriquez des produits

À partir du 11 septembre 2026, les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits comportant des éléments numériques^[6]. Le reste de la CRA s'applique à partir du 11 décembre 2027. Il s'agit d'une obligation de produit : elle s'applique même si votre propre réseau n'a jamais été touché, par exemple lorsque votre micrologiciel est exploité sur le site d'un client.

• Soumettez une notification via la plateforme de signalement unique d'ENISA. Elle est adressée au CSIRT désigné comme coordinateur dans l'État membre de votre établissement principal (en Belgique, le CCB), et ENISA la reçoit en même temps.
• Envoyez l'alerte précoce dans les 24 heures et la notification dans les 72 heures. Le rapport final est dû 14 jours après qu'une mesure corrective est disponible (pour les vulnérabilités) ou un mois après la notification (pour les incidents graves).
• Informez les utilisateurs affectés et dites-leur quelles atténuations ils peuvent appliquer^[5].

Étape 5 : Décider de la notification RGPD

Si des données à caractère personnel ont été détruites, perdues, altérées, divulguées ou consultées sans autorisation, le responsable du traitement doit notifier son autorité de contrôle chef de file dans les 72 heures à compter du moment où il en a eu connaissance, sauf si la violation est peu susceptible de présenter un risque ; si le risque est élevé, informer les personnes concernées sans délai injustifié^[7]. Les sous-traitants informent le responsable du traitement sans délai injustifié. Les signalements au titre de NIS2 et de DORA ne remplacent pas la notification au titre du RGPD.

• Évaluez le risque du point de vue de la personne concernée.
• Enregistrez chaque violation en interne, y compris celles que vous ne signalez pas, avec votre justification.

Étape 6 : Soumettre, aligner et planifier les suites

Utilisez une fiche d'information comme source pour chaque rapport : chronologie, services affectés, cause présumée, impact transfrontalier, mesures prises et indicateurs de compromission. Les formats diffèrent selon le portail ; les faits, eux, ne doivent pas.

• Déposez le premier rapport à temps même s'il est court. Marquez les inconnues comme « en cours d'investigation ».
• Mettez les délais de suivi dans le journal des incidents. Ils commencent à partir de différents points de départ : le rapport final NIS2 commence à partir de la notification de 72 heures, et le rapport final DORA à partir du dernier rapport intermédiaire.
• Si vous ne pouvez pas respecter un délai DORA, informez l'autorité avant son expiration et expliquez pourquoi.
• Informez la direction et enregistrez que vous l'avez fait.

Étape 7 : Clôturer et tirer les enseignements

Après les rapports finaux, examinez la notification elle-même : les délais ont-ils été respectés, la classification a-t-elle été suffisamment rapide, les portails et les comptes ont-ils fonctionné ? Intégrez les enseignements dans ce guide opérationnel et vos scénarios de simulation. Le modèle d'accompagnement comprend la feuille de décision, un calculateur de délais, une liste de contacts Benelux et un journal de soumission.

Comment cela se connecte à d'autres référentiels

Les contrôles 5.24 à 5.28 de l'ISO/IEC 27001:2022 exigent un processus de gestion des incidents mais ne fixent aucun délai externe ; ce guide opérationnel constitue la couche réglementaire qui s'y superpose. CyFun et l'article 21 de la NIS2 attendent une gestion documentée des incidents, et l'article 17 de la DORA exige un processus de gestion des incidents qui alimente la classification à l'étape 3. Dans Secrato, le guide opérationnel et la feuille de décision constituent des preuves sur les contrôles de gestion des incidents de la Bibliothèque unifiée de contrôles, de sorte qu'une évaluation compte pour la NIS2, la DORA, l'ISO/IEC 27001 et le RGPD.

Questions fréquemment posées

Devons-nous déposer une alerte précoce NIS2 si nous ne sommes pas encore sûrs que l'incident est significatif ?

L'alerte précoce est censée être rapide et légère. Si la significativité semble probable, déposez et corrigez plus tard ; c'est bien plus facile à justifier qu'un délai manqué.

Nous sommes une banque en Belgique. Devons-nous signaler à la fois à la NBB et à la CCB ?

DORA prime pour les entités financières, de sorte que le rapport DORA à votre autorité de contrôle financière est l'obligation principale. Consultez les orientations actuelles de la NBB et du CCB sur la façon dont les rapports DORA sont partagés avec le CSIRT. Ne supposez pas que vous devez déposer une notification NIS2 distincte.

Une attaque par rançongiciel sur notre système ERP est-elle couverte par la CRA ?

Uniquement si l'attaque exploite une vulnérabilité dans un produit comportant des éléments numériques que vous fabriquez, ou s'il s'agit d'un incident grave affectant la sécurité de ce produit. Une attaque sur vos propres systèmes internes relève de NIS2 et du RGPD, et non de la CRA.

Quels outils aident à la notification d'incident NIS2 dans les 24 heures ?

Une chronologie de décision qui indique à l'équipe quelle horloge a commencé, et un seul endroit pour les faits de l'incident. Notre feuille de chronologie de décision de notification d'incident gratuite couvre la première partie. Une plateforme GRC telle que Secrato tient les dossiers d'incidents liés aux contrôles, risques et preuves affectés, de sorte que l'alerte précoce, la notification et le rapport final s'appuient sur les mêmes informations.