- Objet
- deuxième temps de la notification
- Délai
- sous 72 heures (directive)
- Contenu
- première appréciation de la gravité et des conséquences
- Étape
- la deuxième des trois
- Mise à jour
- juin 2026
- Rédaction
- Compliance Compass
Qu’est-ce que la notification d’incident ?
L’expression Notification d’incident désigne le signalement qui fait suite à ce que la directive nomme alerte précoce et constitue le deuxième temps de la notification NIS2. Dans les 72 heures, elle apporte à l’autorité une première appréciation solide de la gravité, des conséquences et des causes possibles. Là où l’alerte précoce signale seulement qu’il s’est passé quelque chose d’important, la notification d’incident répond pour la première fois à la question de ce qui s’est exactement produit et de la gravité que cela revêt.
Ce qu’elle contient
- Première appréciation de l’incident (gravité, étendue, conséquences pour les services et les utilisateurs)
- Dans la mesure du connu : cause et nature de l’attaque, systèmes touchés
- Mesures d’urgence déjà prises pour contenir l’incident
- Indications sur d’éventuelles conséquences transfrontalières
Un maillon de la chaîne
C’est le temps médian des trois que compte la chaîne appelée Obligation de notification : alerte précoce (24 h) → notification d’incident (72 h) → Rapport final (1 mois). La chaîne entière n’est déclenchée que par un incident important. En France, aucun canal de notification NIS2 n’existe encore : les incidents se signalent au CERT-FR, et le portail MonEspaceNIS2 sert au préenregistrement volontaire, non au dépôt des notifications.
En pratique
Un prestataire de services de paiement a émis lundi son alerte précoce à la suite d’une attaque par déni de service. Jusqu’au jeudi, donc dans les 72 heures, l’équipe complète par la notification d’incident : l’attaque a paralysé l’interface de paiement environ six heures, a touché selon les estimations plusieurs milliers de transactions, son origine est attribuée à un réseau de machines compromises, et un service de filtrage a été activé en mesure d’urgence. Ces éléments mettent l’autorité en mesure d’avertir les autres acteurs du marché.
Pourquoi ces 72 heures
Elle donne à l’autorité des informations solides pour réagir elle-même et, le cas échéant, avertir d’autres entités. Sans processus préparés, ce délai est difficile à tenir : un plan de réponse à incident assorti de rôles clairs et de modèles aide à éviter les manquements — et donc les sanctions, dont l’article 34 fixe les plafonds minimaux à au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel pour les entités essentielles.
Pour aller plus loin : Directive (UE) 2022/2555 — notification d’incident, article 23, paragraphe 4
Questions fréquentes
Qu’est-ce que la notification d’incident ?
La notification d’incident est le deuxième des trois temps prévus par NIS2 ; elle fait suite à l’alerte précoce. Dans les 72 heures suivant la connaissance d’un incident important, elle apporte à l’autorité compétente une première appréciation solide de la gravité, des conséquences et — dans la mesure du connu — de la cause. En France, ce régime attend la loi de transposition, qui n’est pas promulguée ; les incidents se signalent aujourd’hui au CERT-FR.
Quel délai s’applique à la notification d’incident ?
La directive prévoit 72 heures à compter de la connaissance de l’incident important, soit 48 heures après l’échéance des 24 heures de l’alerte précoce. Le troisième temps, le rapport final, suit un mois plus tard au plus tard. Sur les sanctions, l’article 34 fixe des plafonds minimaux : au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles. En France, ni le délai ni la sanction ne sont encore exigibles, faute de loi de transposition.
Que doit contenir la notification d’incident ?
La notification d’incident comporte une première appréciation de la gravité et des conséquences pour les services et les utilisateurs, la cause et la nature de l’attaque dans la mesure du connu, ainsi que les mesures d’urgence déjà prises pour contenir l’incident. S’y ajoutent les indications sur d’éventuelles conséquences transfrontalières. Elle est donc nettement plus détaillée que l’alerte précoce qui la précède, laquelle ne fait que signaler un soupçon dans les 24 heures.