Notification des incidents NIS2 : l'alerte précoce sous 24 heures

Les obligations de notification NIS 2 imposent aux entités concernées de signaler les incidents de sécurité importants selon une cascade de délais échelonnée : une alerte précoce dans les 24 heures, une notification complète dans les 72 heures et un rapport final dans un délai d'un mois, chaque fois à l'autorité compétente ou au CSIRT national. Cette cascade est le cœur opérationnel qui détermine la capacité de notification d'une organisation.

• Trois délais, un seul déclencheur : 24 heures pour l'alerte précoce, 72 heures pour la notification complète, un mois pour le rapport final, comptés à partir de la prise de connaissance de l'incident, et non de son début.
• Un seul canal de destination : l'autorité nationale compétente ou le CSIRT (en Autriche, le CSIRT compétent, actuellement CERT.at pour les entreprises, sous la supervision de l'Office fédéral de la cybersécurité rattaché au BMI ; en Allemagne, le BSI).
• Le vrai goulot d'étranglement n'est pas le formulaire, mais la détection : si tu remarques l'incident tardivement, tu as déjà perdu la course contre l'horloge des 24 heures.

Pourquoi la cascade de délais existe

NIS 2 remplace l'ancienne directive NIS et élargit considérablement son champ d'application. En Allemagne, selon une estimation du BSI, le nombre d'entreprises concernées passe d'environ 4 500 à quelque 29 500 ; en Autriche, environ 4 000 entreprises de 18 secteurs sont concernées. Plus le champ d'application est large, plus un dispositif de notification efficace devient important : à partir des notifications reçues, les autorités établissent une vision de la situation, alertent d'autres entités et assurent la coordination en cas d'incidents transfrontières.

La logique échelonnée répond à un conflit bien réel. Dans les premières heures d'un incident de sécurité, les faits restent flous, car aucune analyse forensique complète n'est encore disponible. Dans le même temps, les autorités ont besoin d'un signal précoce. La cascade résout ce dilemme en demandant d'abord peu, mais vite (alerte précoce), puis en approfondissant le contenu sur 72 heures et un mois.

Le point décisif, souvent négligé : les délais courent à partir de la prise de connaissance (awareness) de l'incident important, et non à partir du moment où l'attaque a réellement commencé. Le risque de conformité se déplace ainsi en amont, vers la détection. C'est là qu'intervient l'asymétrie structurelle que connaissent les organisations de défense en 2026 : les attaquants travaillent de manière asynchrone et tolèrent les tentatives répétées, tandis que les défenseurs sont tenus par l'alerte précoce sous 24 heures.

Les trois étapes en détail : délai, contenu, destinataire

Le tableau suivant résume la cascade NIS 2. Il sert de repère ; les modalités exactes découlent de la loi nationale de transposition applicable.

Important : si l'incident est toujours en cours au moment du rapport mensuel, un rapport d'avancement remplace d'abord le rapport final ; le rapport définitif suit une fois le traitement de l'incident achevé.

Qui est le destinataire, et qu'est-ce qui change en Allemagne, en Autriche et en Suisse ?

NIS 2 est une directive européenne et ne produit ses effets concrets qu'à travers les lois nationales de transposition. Dans la pratique, pour la région DACH (Allemagne, Autriche, Suisse), cela signifie des destinataires et des calendriers différents :

• Allemagne : la loi de transposition de NIS 2 (NIS2UmsuCG) est en vigueur depuis le 6 décembre 2025, sans période transitoire. Le BSI est compétent ; le portail d'enregistrement a ouvert début 2026. Le BSI a annoncé qu'il identifierait activement les entités non enregistrées.
• Autriche : la loi NISG 2026 a été promulguée le 23 décembre 2025 et est en vigueur depuis le 1er octobre 2026. Les entités essentielles et importantes notifient les incidents de cybersécurité importants, conformément au § 34, al. 1, au CSIRT sectoriel dont elles relèvent ou, à défaut, au CSIRT national. Tant que les CSIRT sectoriels ne sont pas habilités, CERT.at reçoit les notifications en tant que CSIRT national via la plateforme de notification de l'USP ; pour l'administration publique, c'est le GovCERT qui est compétent (§ 8, al. 4). L'autorité de surveillance est l'Office fédéral de la cybersécurité, directement rattaché au ministère fédéral de l'Intérieur, le BMI (§ 3a). Les entités doivent s'enregistrer dans un délai de trois mois à compter de l'entrée en vigueur (§ 29, al. 3). La loi repose sur l'auto-évaluation et l'autodéclaration des entités concernées.
• Suisse (pour comparaison) : la Suisse n'est pas liée par NIS 2, mais dispose d'un régime parallèle avec la loi révisée sur la sécurité de l'information. Depuis le 1er avril 2025, les exploitants d'infrastructures critiques doivent signaler les cyberattaques importantes à l'Office fédéral de la cybersécurité (OFCS) dans les 24 heures ; au cours des six premiers mois, l'office a reçu 164 signalements.

Pour les entreprises actives dans plusieurs pays de la région DACH, il en résulte une réalité inconfortable : plusieurs canaux de notification, plusieurs autorités, des seuils parfois différents. À cela s'ajoutent d'autres régimes dotés de leur propre logique de notification, structurellement similaire. Le règlement européen sur la cyberrésilience s'applique à tous les secteurs pour les produits comportant des éléments numériques. Les fabricants doivent, depuis le 11 septembre 2026, signaler les vulnérabilités activement exploitées et les incidents graves affectant leurs produits : alerte précoce dans les 24 heures, notification dans les 72 heures, chaque fois au CSIRT compétent via la plateforme unique de notification exploitée par l'ENISA. Pour le secteur financier s'applique DORA, qui prévoit sa propre notification échelonnée pour les incidents liés aux TIC classés comme majeurs, avec une notification initiale dans les quatre heures suivant la classification.

Exemple concret : l'horloge des 24 heures tourne

Un constructeur de machines de taille moyenne (vraisemblablement « entité importante » au sens de NIS 2) remarque le vendredi à 22 h 14 des événements d'authentification inhabituels. En 2026, la détection est le goulot d'étranglement typique : des études montrent qu'une forte proportion des détections sont « malware-free », car les attaquants se connectent avec des identifiants valides au lieu de s'introduire par effraction, et ils sont devenus considérablement plus rapides (breakout time moyen de 29 minutes en 2025, valeur la plus rapide observée : 27 secondes). Une détection tardive, ou inexistante parce que personne n'est de permanence le week-end, coûte ici des heures qui manqueront ensuite pour tenir le délai de 24 heures.

Déroulement simplifié :

```
22:14 Prise de connaissance : connexions anormales détectées (T0, le délai commence)
→ horloge 24 h jusqu'à samedi 22:14
23:30 Première évaluation : identité compromise suspectée, important ?
Sam 03:00 Alerte précoce à l'autorité/au CSIRT (sous 24 h) :
"Incident important, action malveillante suspectée,
effet transfrontière non exclu à ce stade"
→ horloge 72 h jusqu'à lundi 22:14
Lun 18:00 Notification complète (sous 72 h) :
gravité, systèmes concernés, indicateurs, premières mesures
+1 mois Rapport final : analyse des causes, remédiation, retours d'expérience
```

Le point décisif : l'alerte précoce a dû être envoyée de nuit et le week-end. Sans capacité de détection 24/7, que ce soit via un SOC interne, un prestataire MDR ou un tri assisté par l'IA, le délai de 24 heures aurait été intenable dans les faits.

Comment un processus ou un agent peut aider, et où se situe la limite

Les outils SOC assistés par l'IA interviennent précisément sur les trois points sensibles de la cascade : détection, documentation, suivi des délais. Dans les déploiements en production, des gains d'efficacité nets sont démontrés pour le tri de niveau 1 : les éditeurs font état d'une réduction de 70 à 90 % des alertes traitées manuellement ; certains outils annoncent des temps d'investigation de quelques minutes contre environ 25 minutes en manuel. Pour l'obligation de notification, c'est pertinent, car une détection plus rapide et plus fiable déclenche l'horloge des 24 heures plus tôt et plus proprement.

Fonctions d'appui utiles tout au long de la cascade :

• Détection : enrichissement des alertes, corrélation entre plusieurs sources, déduplication et priorisation, pour qu'un incident important soit reconnu comme tel en temps utile.
• Documentation : journalisation automatique et infalsifiable des horodatages, des systèmes concernés, des mesures prises et des indicateurs de compromission, comme base de la notification à 72 heures et du rapport final.
• Suivi des délais : un workflow d'incident qui, à partir du moment de la prise de connaissance, décompte les délais de 24 h, de 72 h et d'un mois, déclenche les escalades et rend le statut visible (alerte précoce envoyée / notification en attente / rapport à échéance).

La limite reste toutefois claire : en 2026, aucun SOC prêt pour la production ne fonctionne de manière autonome sans contrôle humain aux points de décision critiques. Deux risques sont particulièrement pertinents pour l'obligation de notification. Premièrement, l'attribution hallucinée d'incidents : les grands modèles de langage produisent des attributions plausibles mais erronées à des groupes d'attaquants ou à des zones géographiques, et une information fausse transmise à une autorité pèse lourd. Deuxièmement, l'auditabilité : NIS 2 exige des preuves du processus décisionnel ; les conclusions générées par l'IA doivent rester traçables et vérifiables. C'est pourquoi l'évaluation du caractère important, la validation du contenu et la communication externe avec l'autorité restent sous responsabilité humaine. L'agent accélère et documente, mais il ne décide pas et ne notifie rien de lui-même vers l'extérieur.

Une remarque pratique issue du terrain de la défense : les logs, les e-mails de phishing et le trafic de reconnaissance peuvent contenir délibérément des contenus de prompt injection destinés à manipuler le LLM du défenseur. Si tu intègres l'IA dans le processus de notification, tu devrais connaître la protection contre la prompt injection de l'outil utilisé et la faire tester.

Préparation pratique en cinq points

1. Définir le moment de prise de connaissance : quand un incident est-il considéré comme « connu » ? Ce moment déclenche tous les délais et doit être documenté sans ambiguïté.
2. Garantir une détection 24/7 : SOC interne, prestataire MDR ou tri assisté par l'IA : sans détection continue, le délai de 24 heures est intenable.
3. Clarifier le canal de notification en amont : enregistrement auprès de l'autorité compétente, identifiants d'accès au portail de notification, personnes responsables désignées.
4. Workflow d'incident avec suivi des délais : un processus qui reproduit les trois étapes et déclenche automatiquement les escalades.
5. Tester le processus de notification : des exercices sur table (tabletop) qui simulent de façon réaliste l'alerte précoce sous 24 heures, y compris un scénario de nuit et de week-end.

Pour les agences et les décideurs B2B

Pour les agences marketing et les prestataires B2B, l'obligation de notification NIS 2 compte à double titre. D'abord comme sujet de chaîne d'approvisionnement : si tu travailles pour une entité essentielle ou importante, tu te retrouves souvent de fait, par le biais d'exigences contractuelles, soumis à ses attentes en matière de sécurité et de notification, et des processus de détection et de documentation propres deviennent un critère de sélection dans les appels d'offres. Ensuite comme terrain de contenu et de conseil : la cascade de délais demande des explications, suscite beaucoup de recherches et constitue un point d'ancrage naturel pour des contenus solides et citables. Blck Alpaca conçoit à cet effet des bases de connaissances et des briques de processus assistées par l'IA qui relient détection, documentation et suivi des délais, comme socle fiable, et non comme substitut à la responsabilité humaine dans le processus de notification.

Remarque : cet article sert d'orientation technique et ne constitue pas un conseil juridique. Les seuils, classifications et procédures concrets au titre de NIS 2, de la NIS2UmsuCG, de la NISG 2026, du CRA ou de DORA doivent être clarifiés avec des conseillers qualifiés dans chaque juridiction.