- Objet
- rapport de clôture après un incident
- Délai
- sous un mois (directive)
- Contenu
- cause, conséquences, mesures prises
- Étape
- troisième et dernier temps de la notification
- Mise à jour
- juin 2026
- Rédaction
- Compliance Compass
Qu’est-ce que le rapport final ?
Le Rapport final est le troisième et dernier temps de ce que NIS2 appelle l’Obligation de notification. Là où l’alerte précoce et la notification d’incident livrent, sous forte pression de temps, une première image de la situation, le rapport final récapitule, une fois l’incident traité, ce qui s’est réellement produit, quelles conséquences en ont résulté et par quelles mesures on a réagi. Il est donc la documentation de clôture qui fait foi devant l’autorité compétente.
Ce qu’il doit contenir
- Description détaillée de l’incident et de sa cause première (root cause)
- Nature et ampleur des conséquences — services touchés, volumes de données, nombre d’utilisateurs
- Contre-mesures prises et prévues, y compris celles destinées à éviter la répétition
- Le cas échéant : conséquences transfrontalières pour d’autres États membres
Sa place dans la chaîne
Il vient après les deux premiers temps : alerte précoce (24 h), puis notification d’incident (72 h). La directive le fixe à un mois après la notification d’incident ; en France, aucun canal NIS2 n’existe encore et les incidents se signalent au CERT-FR. Si un incident important se poursuit au-delà de ce mois, un rapport intermédiaire sur l’état d’avancement est dû d’abord ; le rapport final suit dès que l’incident est entièrement traité.
En pratique
Après une attaque par rançongiciel, un groupe hospitalier a eu besoin de trois semaines pour l’analyse forensique et le rétablissement. Dans son rapport final, il expose que l’accès initial est passé par une faille non corrigée du VPN, que la prise en charge des urgences a été dégradée pendant quatorze heures et que l’authentification multifacteur ainsi qu’une gestion des correctifs renforcée seront désormais mises en place. Il ne fait pas que tenir le délai : il donne à l’autorité des enseignements exploitables pour d’autres entités.
Plus qu’une formalité
Un bon rapport final a aussi de la valeur en interne : les enseignements consignés nourrissent l’amélioration des Mesures de sécurité et de la Réponse à incident et renforcent votre capacité à en faire la preuve devant l’autorité comme devant la direction — d’autant que l’article 34 de la directive fixe des plafonds minimaux de sanction, au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel pour les entités essentielles.
Pour aller plus loin : Directive (UE) 2022/2555 — rapport final, article 23, paragraphe 4
Questions fréquentes
Qu’est-ce que le rapport final dans NIS2 ?
Le rapport final est le troisième et dernier temps de la notification en trois étapes que NIS2 prévoit pour les incidents importants. Une fois l’incident entièrement traité, il en consigne la cause première, la nature et l’ampleur des conséquences ainsi que les contre-mesures prises et prévues. Il constitue la documentation de clôture adressée à l’autorité compétente et lui apporte des enseignements exploitables, dont d’autres entités peuvent aussi profiter. En France, cette obligation attend la loi de transposition.
Quel délai s’applique au rapport final ?
La directive le fixe à un mois au plus tard après la notification d’incident. Il ferme la chaîne NIS2, qui commence par l’alerte précoce sous 24 heures, se poursuit par la notification d’incident sous 72 heures et s’achève un mois plus tard par le rapport final. En France, ces délais ne s’imposeront qu’avec la loi de transposition, qui n’est pas promulguée ; les incidents se signalent aujourd’hui au CERT-FR.
Que se passe-t-il si l’incident dure plus d’un mois ?
Si un incident important se poursuit au-delà du mois qui suit la notification d’incident, un rapport intermédiaire sur l’état d’avancement prend d’abord la place du rapport final. Le rapport final proprement dit ne vient qu’une fois l’incident entièrement et définitivement traité. L’autorité compétente reste ainsi informée du progrès pendant toute la durée du traitement, sans que le délai d’un mois n’impose une clôture prématurée.