Un incident survient un vendredi soir. Trois régimes de notification peuvent s’appliquer simultanément, avec des délais, des destinataires et des seuils différents. Aucun ne s’aligne sur les autres.
Voici la cartographie, et ce qu’il faut préparer à froid.
RGPD : violation de données personnelles
Destinataire : l’autorité de contrôle — la CNIL en France.
Délai : 72 heures après en avoir pris connaissance (article 33).
Seuil : toute violation, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes.
Si le risque est élevé, l’article 34 impose en outre d’informer les personnes concernées, dans les meilleurs délais.
Point souvent mal compris : le délai court à partir de la prise de connaissance, pas de l’incident. Encore faut-il pouvoir dater cette prise de connaissance — ce qui suppose une traçabilité.
NIS 2 : incident important
Destinataire : l’autorité nationale compétente ou le CSIRT désigné.
Procédure en trois temps (article 23) : une alerte précoce très rapide, une notification plus complète ensuite, puis un rapport final une fois l’analyse achevée. Un rapport d’étape peut être demandé si l’incident se prolonge.
Seuil : incident ayant causé ou susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières, ou affectant d’autres personnes physiques ou morales.
Les modalités précises relèvent du texte de transposition national : vérifiez l’état en vigueur auprès de l’ANSSI.
DORA : incident majeur lié aux TIC
Pour les entités financières, un régime propre s’applique, également en trois temps — notification initiale, rapport intermédiaire, rapport final — avec des critères de classification harmonisés au niveau européen. Voir ce que DORA impose.
Les autres interlocuteurs
Au-delà des obligations légales :
- Votre assureur — les contrats prévoient presque toujours un délai de déclaration court, sous peine de déchéance de garantie. À vérifier avant.
- Vos clients, si un engagement contractuel le prévoit. Les clauses de notification se multiplient sous l’effet de NIS 2 sur la chaîne d’approvisionnement.
- Le dépôt de plainte, souvent exigé par les assureurs et utile pour la suite.
- Vos salariés, si leurs données sont concernées.
Ce qui rend les délais intenables
Ce n’est jamais la rédaction. C’est l’incapacité à répondre à trois questions sous pression :
- Que s’est-il passé exactement ? Sans journalisation exploitable, on notifie dans le flou — et une notification vague devra être complétée, ce qui attire l’attention.
- Quelles données sont concernées, et combien de personnes ? Cela suppose un inventaire et une cartographie des traitements.
- Qui signe ? La notification engage l’organisation. Si le dirigeant est injoignable un samedi, qui décide ?
Ce qu’il faut préparer à froid
Une matrice de décision : pour chaque type d’incident, quels régimes s’appliquent, quels seuils, quels délais, qui prévient qui.
Des modèles de notification pré-remplis pour chaque destinataire, avec les champs manquants identifiés.
Des délégations écrites nommant les personnes habilitées à signer, avec des suppléants.
Un annuaire hors ligne : coordonnées de l’autorité, de l’assureur, du prestataire de réponse à incident, du conseil juridique. Si tout est dans le système chiffré, vous ne joignez personne.
Un exercice. Deux heures sur table suffisent à révéler que personne ne sait qui appelle la CNIL.
L’erreur à éviter
Attendre d’avoir toutes les informations pour notifier. Les textes prévoient explicitement des notifications initiales incomplètes, complétées ensuite. Notifier tard en étant complet est une faute ; notifier dans les délais en annonçant ce qu’on ignore encore ne l’est pas.
Sources
- RGPD, articles 33 et 34
- Directive (UE) 2022/2555 (NIS 2), article 23
- Règlement (UE) 2022/2554 (DORA)
- CNIL — notifier une violation de données
Aller plus loin
La construction de cette procédure fait partie de nos missions de gouvernance, risques et conformité, en lien avec la gestion de crise.