Incidents NIS2 : qualifier, chronométrer, déclarer

La page Incidents (navigation, sous Alertes) est le registre de tout incident de sécurité de l’organisation : ce qui s’est passé, l’impact, la cause, les mesures, les CVE liées et le journal. Quand l’organisation suit NIS2, elle aide aussi à la déclaration prévue par l’article 23 de la directive : elle qualifie (une liste de contrôle suggère, vous décidez), chronomètre les délais (alerte précoce 24 h, notification 72 h, rapport final un mois), prépare les textes et journalise tout. Sans NIS2 suivi, ces délais, la qualification « important » et les modèles de déclaration ne s’affichent pas.

Rien n'est transmis à l'autorité

L’outil ne transmet rien à l’ANSSI ni à aucune autorité : vous envoyez vos déclarations par les canaux de l’autorité, puis vous consignez l’envoi dans la fiche.

Le registre est réservé aux administrateurs de l’organisation et aux responsables NIS2 (direction, responsable de la sécurité, contact incident), car il peut contenir des éléments sensibles ; les autres membres voient « Accès réservé ». Ce sont aussi eux qui ouvrent, qualifient et modifient les incidents. Un incident d’une autre organisation n’est jamais affiché.

Le registre

1. Exporter : registre CSV ou PDF.
2. Déclarer un incident : ouvre une nouvelle fiche.
3. Compteurs, qui sont aussi des filtres.
4. Statut : Tous les statuts, En cours (non clos), Clos.
5. Importance : Toute importance, Important, Non important, À qualifier.
6. Recherche : une référence, un titre, une CVE.
7. Un incident : un clic ouvre sa fiche.

Les compteurs en cours, à qualifier et importants en cours filtrent la liste ; un second clic revient à la vue complète. En retard de déclaration est un chiffre seul.

La liste va du plus urgent au plus ancien : l’API la trie par prochaine échéance.

Chaque ligne donne le titre (un point rouge signale un retard), la référence INC-AAAA-NNN (numérotée par organisation et par année), le projet, les CVE liées, le statut (Ouvert, Qualifié, Clos), l’importance (Important, Non important, À qualifier) et la prochaine échéance avec son compte à rebours (« en retard de 2 j 11 h »). Pour un incident à qualifier, l’échéance est suivie de « si important » : elle ne s’applique que s’il l’est. Un incident non important affiche « Déclaration non requise ».

Déclarer un incident

1. Cliquez sur Déclarer un incident.
2. Donnez un titre (obligatoire) et une description : ce qui a été constaté, par qui, sur quels systèmes.
3. Choisissez le projet concerné, ou Aucun projet.
4. Saisissez les CVE liées, séparées par des espaces ou des virgules ; un identifiant mal formé est signalé.
5. Renseignez Détecté le et, si vous le savez déjà, la prise de connaissance du caractère important : c’est elle qui fait courir les délais de 24 h et 72 h. Laissez-la vide si l’incident n’est pas encore qualifié.
6. Ouvrir la fiche. La référence est attribuée (« Incident INC-2026-005 ouvert. »).

Depuis la fiche d’une alerte, ou depuis la fiche d’une CVE exploitée (KEV, rançongiciel), le bouton Déclarer un incident ouvre la même fenêtre, préremplie avec la CVE (« Exploitation suspectée de … ») et le projet : l’incident est relié à la CVE et au projet. Le bouton est mis en avant quand la CVE est exploitée ; si un incident cite déjà la CVE, son lien (« Incident INC-2026-003 ») s’affiche à côté. Voir Traiter une alerte.

La fiche d’un incident

1. En-tête : référence (avec un bouton pour la copier), statut, importance, « En retard » s’il y a lieu ; dessous, qui l’a ouvert et quand, et le projet.
2. Exporter en PDF : la fiche d’incident en PDF (voir Exports).
3. Clore l’incident.
4. Délais de déclaration : les quatre étapes et leur échéance.
5. Qualification, Fiche de l’incident, Modèles de déclaration : trois onglets. À l’arrivée, l’onglet utile s’ouvre : Qualification si l’incident n’a pas encore été qualifié, Modèles si une déclaration est due, sinon la Fiche.
6. Journal : la chronologie de l’incident.

Délais de déclaration

Cette partie de la fiche (comme la qualification et les modèles de déclaration) ne s’affiche que si l’organisation suit NIS2.

Le décompte part de la prise de connaissance du caractère important :

Étape	Échéance
1. Alerte précoce	prise de connaissance + 24 h
2. Notification d’incident	prise de connaissance + 72 h
3. Rapport intermédiaire	sur demande de l’autorité, sans échéance
4. Rapport final	un mois calendaire après l’envoi de la notification (à défaut, après son échéance, et l’écran dit alors que l’échéance est provisoire)

Les heures se comptent en durée réelle ; le mois se compte au calendrier, à l’heure de Paris. Chaque étape affiche son état :

État	Signification
Transmise	l’envoi est consigné, avec sa date ; Hors délai s’il a eu lieu après l’échéance
À venir	l’échéance est à plus de 6 heures
Bientôt	l’échéance tombe dans les 6 heures
En retard	l’échéance est dépassée
Sur demande	rapport intermédiaire
En attente	aucune prise de connaissance n’est renseignée : rien ne court encore

Un bandeau précise les cas particuliers : délais potentiels pour un incident encore à qualifier, « aucune déclaration n’est requise » pour un incident non important, plus aucun rappel pour un incident clos.

À savoir, en haut à droite, rappelle trois points affichés par l’application : l’outil ne transmet rien à l’autorité ; pour les prestataires de services de confiance, la notification est due sous 24 h (article 23, paragraphe 4, second alinéa) ; un incident toujours en cours à l’échéance du rapport final appelle un rapport d’avancement, puis le rapport final dans le mois qui suit son traitement (article 23, paragraphe 4, point e).

Rappels

Pour un incident important non clos, un rappel part à H-6, à H-1 et au dépassement, une fois chacun et par étape non faite, au contact incident et au responsable de la sécurité (workflow NIS2 · Déclarations d’incident). Un incident saisi après coup, déjà en retard, ne reçoit que le palier le plus avancé. Un incident encore à qualifier 12 h après la prise de connaissance reçoit un rappel unique : s’il est important, l’alerte précoce est due dans moins de 12 h. Rien ne part pour un incident non important.

Consigner un envoi

1. Envoyez la déclaration par les canaux de l’autorité.
2. Dans la frise, cliquez sur Marquer comme envoyée sous l’étape.
3. Indiquez la date et l’heure d’envoi, la référence attribuée par l’autorité (numéro de dossier ou d’accusé de réception), le canal d’envoi (Service en ligne, E-mail, Téléphone, Autre) et un commentaire.
4. Consigner l’envoi.

L’étape passe à « Transmise » et l’envoi entre au journal. Si aucune alerte précoce n’a été consignée, la notification en tient lieu (la fenêtre le signale). Une étape déjà consignée propose Corriger l’envoi : l’enregistrer à nouveau corrige la date, et le journal garde la trace de l’envoi précédent.

Qualifier l’incident

Onglet Qualification. Un incident est important s’il remplit l’un des critères de l’article 23, paragraphe 3, de la directive, tels que l’application les présente.

1. Cliquez sur Qualifier (ou Revoir la qualification).
2. Répondez Oui, Non ou Incertain aux critères généraux : perturbation opérationnelle grave des services, pertes financières pour votre entité, dommages considérables à d’autres personnes.
3. Indiquez si votre entité fournit l’un des services numériques listés (DNS, informatique en nuage, centre de données, services gérés…). Si oui, des critères du règlement d’exécution (UE) 2024/2690 s’ajoutent : perte financière directe au-delà du seuil affiché, exfiltration de secrets d’affaires, décès, atteinte considérable à la santé, accès non autorisé suspecté malveillant, incidents récurrents, seuils propres au type de service.
4. Lisez la suggestion : au moins un « Oui » → « vraisemblablement important » ; un « Incertain » → « à confirmer avec votre référent ou l’ANSSI » ; tout à « Non » → « ne semble pas important ».
5. Prenez votre décision : Important, Non important ou À qualifier plus tard. Vérifiez la prise de connaissance (départ des délais ; vide, elle est fixée au moment de l’enregistrement) et écrivez la motivation.
6. Enregistrer la qualification.

La liste suggère, vous décidez : « Aide à la décision, pas un avis juridique. » Qualifier « Important » fait courir les délais ; la décision, son auteur et sa date entrent au journal.

La fiche de l’incident

Onglet Fiche de l’incident, modifiable par Modifier tant que l’incident n’est pas clos. Elle réunit ce que les déclarations demandent :

• Chronologie et autorité : détecté le, prise de connaissance (la modifier recalcule les échéances et relance les rappels), autorité (« ANSSI (CERT-FR) » par défaut), référence de l’autorité, projet ;
• Description ;
• Impact : gravité (faible, modérée, élevée, critique), services touchés, utilisateurs ou clients touchés, durée d’interruption, pertes estimées, données concernées, impact transfrontalier et États membres touchés ;
• Cause : malveillance suspectée (Oui, Non, Inconnu, que l’alerte précoce doit préciser) et cause ;
• Mesures prises ;
• Indicateurs de compromission (adresses IP, domaines, empreintes…) ;
• Vulnérabilités liées, avec un lien vers la fiche de chaque CVE ou le dossier du projet.

Chaque modification entre au journal (« Fiche modifiée : Description, Cause, Mesures »).

Modèles de déclaration

Des textes préremplis depuis la fiche, qui reprennent le contenu attendu par l’article 23, paragraphe 4, pour chaque étape : Alerte précoce, Notification d’incident, Rapport intermédiaire, Rapport final.

• FR / EN : la langue du texte.
• Un encadré liste les champs à compléter avant envoi ; Compléter la fiche ouvre la fiche en modification.
• Objet et texte, chacun avec son bouton de copie ; .txt et .md téléchargent le texte.

Relisez et adaptez le texte avant de l’envoyer : il est prérempli, pas validé.

Journal

Le journal garde, du plus récent au plus ancien, l’ouverture, la qualification, la prise de connaissance, chaque envoi consigné, chaque modification de la fiche, la clôture, et les entrées saisies à la main : Note ou Échange avec l’autorité (« appel du CERT-FR, demande d’un rapport intermédiaire… »). Rien n’y est effacé ni réécrit ; l’auteur et l’horodatage sont figés.

Clore l’incident

Clore l’incident demande un bilan facultatif (résolution, cause retenue, enseignements). La clôture fige la fiche et arrête les rappels ; le journal reste ouvert aux notes et aux envois. Si le rapport final d’un incident important n’est pas consigné, la fenêtre prévient : vous pourrez encore le consigner, mais plus aucun rappel ne sera envoyé.

Exports

• Exporter en PDF, sur la fiche : la « Fiche d’incident INC-… » — l’incident, son impact et ses indicateurs, sa qualification (avec la mention « Aide à la décision, pas un avis juridique ») et son journal en ordre chronologique.
• Exporter, sur le registre : CSV ou Registre PDF, qui range les incidents en trois parties : importants, à qualifier, non importants.

Si le serveur ne sait pas produire le PDF, un message l’indique.

Les incidents sont des preuves à conserver : tant que le registre en contient un, l’organisation ne peut pas être supprimée. Exportez le registre en PDF et conservez-le ; la suppression passe ensuite par le support (voir Organisations).

Disponible selon votre offre

Le registre des incidents a sa propre fonction d’offre, Incidents (Pro et Business). Hors offre, l’entrée porte un cadenas et la page présente ce qu’elle apporte et l’offre qui l’ouvre. Une offre peut inclure les incidents sans les référentiels : le registre s’ouvre alors sans projet couvert, sans les délais NIS2. Voir aussi : Abonnement › pages, vues et éléments.

Questions fréquentes

Quand faut-il renseigner la prise de connaissance ? Dès que vous savez que l’incident est important : c’est le point de départ des délais. Laisser la date vide tant que l’incident n’est pas qualifié est normal ; qualifier « Important » sans date la fixe au moment de l’enregistrement.

L’outil envoie-t-il la notification à l’ANSSI ? Non. Il prépare le texte ; vous l’envoyez, puis vous consignez l’envoi.

J’ai consigné un envoi à la mauvaise date. Utilisez Corriger l’envoi sur l’étape : la nouvelle date remplace l’ancienne, et le journal garde les deux.

Vue d'ensemble et activationL'obligation Incidents dans l'état de conformité.

Réglages et rapport directionContact incident, workflows, rapport.