Un incident, plusieurs horloges : notifier sans rien oublier entre NIS2, DORA, RGPD et CRA

À jour au 25 octobre 2026. La directive NIS2 n’est pas encore transposée en France et le guichet unique de notification proposé par la Commission européenne n’est pas adopté. Cet article sera mis à jour au fil de ces évolutions.

Un rançongiciel frappe une compagnie d’assurance un vendredi soir. Des données de clients sont chiffrées et probablement exfiltrées, plusieurs services sont interrompus, et l’entreprise est couverte par une assurance cyber. Avant même d’avoir compris l’attaque, plusieurs comptes à rebours ont démarré : celui de l’autorité financière, celui de la CNIL, celui de l’assureur… et bientôt celui de l’ANSSI au titre de NIS2.

Chaque réglementation a été conçue avec sa propre logique. C’est à l’organisation victime d’en faire une procédure unique, praticable en pleine crise.

Les principales échéances

Texte	Qui est concerné	Destinataire	Premières échéances	Rapport final
NIS2 (directive 2022/2555)	Entités essentielles et importantes, une fois la loi française adoptée	ANSSI	Alerte précoce sous 24 h, notification sous 72 h	Sous un mois
DORA (règlement 2022/2554)	Banques, assurances, entreprises d’investissement et autres entités financières	Autorité compétente (ACPR ou AMF selon l’entité)	Notification initiale sous 4 h après la classification de l’incident comme « majeur », et au plus tard 24 h après en avoir eu connaissance ; rapport intermédiaire sous 72 h	Un mois au plus après le dernier rapport intermédiaire
RGPD (articles 33 et 34)	Tout responsable de traitement	CNIL ; personnes concernées en cas de risque élevé	Notification sous 72 h, sauf si la violation n’est pas susceptible d’engendrer un risque	Notification complémentaire possible ; registre interne des violations
CRA (règlement 2024/2847, article 14)	Fabricants de produits comportant des éléments numériques	CSIRT coordinateur et ENISA, via la plateforme unique de signalement	Alerte précoce sous 24 h, notification sous 72 h	14 jours après la mise à disposition d’un correctif (vulnérabilité exploitée) ou un mois (incident grave)
Assurance cyber (code des assurances, article L. 12-10-1)	Entreprises victimes d’une cyberattaque et assurées contre ce risque	Police, gendarmerie ou parquet (dépôt de plainte)	Plainte sous 72 h après la connaissance de l’atteinte, condition de l’indemnisation	—

En attendant la transposition de NIS2, les régimes français existants continuent de s’appliquer : les opérateurs d’importance vitale et les opérateurs de services essentiels issus de la première directive NIS doivent déjà déclarer sans délai certains incidents à l’ANSSI. Les obligations du CRA, elles, s’appliquent depuis le 11 septembre 2026. Celles de DORA, depuis le 17 janvier 2025.

Ce que le tableau ne dit pas

Les horloges ne partent pas du même moment

Pour le RGPD, le délai de 72 heures court à partir du moment où l’organisme a une certitude raisonnable qu’un incident a touché des données personnelles. Pour DORA, le délai de 4 heures part de la classification de l’incident comme majeur, dans la limite de 24 heures après sa connaissance. Pour l’assurance, c’est la connaissance de l’atteinte qui compte. D’où l’importance d’horodater chaque étape : détection, qualification, décisions.

Les seuils ne sont pas les mêmes

Un incident « important » au sens de NIS2, un incident « majeur » au sens de DORA (selon les critères du règlement délégué 2024/1772), une violation de données présentant un risque pour les personnes, une vulnérabilité activement exploitée au sens du CRA : un même événement peut franchir un seuil et pas un autre. La qualification doit donc être faite régime par régime.

Le contenu attendu évolue

Sous NIS2, l’alerte précoce ne demande que quelques informations : l’incident est-il suspecté d’être malveillant, et peut-il avoir un impact transfrontière ? Le rapport final exige l’analyse des causes, les mesures prises et l’impact, notamment transfrontière. Mieux vaut savoir dès le départ quelles informations il faudra réunir.

Vos fournisseurs font partie de la chaîne

Un incident chez un prestataire informatique peut déclencher vos propres obligations. Encore faut-il qu’il vous prévienne à temps : NIS2 et DORA imposent toutes deux de maîtriser les risques liés aux tiers, ce qui passe par des clauses de notification dans les contrats.

Organiser une chaîne de décision unique

Une matrice de qualification commune : pour chaque type d’incident, les régimes applicables, les critères de déclenchement et les destinataires. Elle est validée à froid avec le juridique, le DPO et la conformité.
Des rôles clairs : qui qualifie, qui décide, qui notifie, qui signe, avec des suppléants joignables 24 heures sur 24, 7 jours sur 7.
Un horodatage systématique dans l’outil de gestion des incidents, pour prouver le respect des délais.
Des accès et modèles prêts à l’emploi : comptes créés sur les téléservices (CNIL, ANSSI, autorité financière, plateforme de l’ENISA pour les fabricants), modèles de messages pré-remplis.
Des exercices réguliers, chronomètre en main, en incluant les équipes juridiques et la direction.

Le rôle du SOC et des playbooks

Le SOC est en première ligne : c’est lui qui détecte, qualifie techniquement et documente. Les outils d’orchestration (SOAR) peuvent industrialiser une grande partie de la mécanique :

déclencher l’alerte de la cellule de crise dès qu’un incident est qualifié ;
lancer un compte à rebours par régime applicable, avec des rappels avant chaque échéance ;
pré-remplir les éléments factuels des notifications à partir des données du ticket (périmètre, systèmes et données touchés, chronologie) ;
tracer toutes les actions pour constituer le dossier de preuve.

La décision de notifier, elle, reste humaine : elle engage l’organisation et repose sur une appréciation juridique.

Vers un guichet unique européen ?

Dans sa proposition « Omnibus numérique » du 19 novembre 2025, la Commission européenne prévoit un point d’entrée unique, géré par l’ENISA, pour notifier les incidents au titre de NIS2, du RGPD, de DORA, du règlement eIDAS et de la directive sur la résilience des entités critiques. Il ne changerait ni les destinataires ni le contenu des notifications. La proposition envisage aussi de porter à 96 heures le délai de notification des violations de données au titre du RGPD.

En octobre 2026, ce texte est toujours en cours de négociation, et son utilisation ne serait obligatoire qu’environ 18 mois après son entrée en vigueur. Les procédures actuelles restent donc pleinement valables.

Par où commencer

Lister les régimes qui vous concernent : secteur d’activité, données traitées, produits commercialisés, contrat d’assurance.
Rédiger la matrice de qualification et la faire valider par le juridique, le DPO et la conformité.
Désigner les décideurs et leurs suppléants, joignables à toute heure.
Préparer les accès et les modèles de notification pour chaque destinataire.
Intégrer les comptes à rebours dans vos outils de gestion des incidents et vos playbooks.
Relire vos contrats : clauses de notification des fournisseurs, conditions de votre assurance cyber.
Exercer la chaîne au moins une fois par an, sur un scénario réaliste.

Pour le détail des obligations de NIS2, voir notre analyse NIS2 en France : se préparer sans attendre la loi de transposition.

Sources

← Toutes les analyses