Communiquer pendant un incident
Repère: COMMUNICATE
De quoi s’agit-il ?
Préparer qui informe le personnel, les clients, les autorités et les autres personnes concernées.
Pourquoi c’est utile
Des responsabilités claires limitent les messages contradictoires et distinguent les faits connus.
Ce que vous pouvez faire
Nommez le décideur et le porte-parole. Préparez contacts et modèles. Évaluez les obligations de notification selon l’incident et l’organisation.
Services utiles
Workshops aide à préparer et exercer le plan de communication. Les conditions de notification doivent accompagner tout délai indiqué.
Référence officielle — NIS2 art. 23
1. Chaque État membre veille à ce que les entités essentielles et importantes notifient, sans retard injustifié, à son CSIRT ou, selon le cas, à son autorité compétente, conformément au paragraphe 4, tout incident ayant un impact important sur leur fourniture des services visés au paragraphe 3 (ci-après dénommé «incident important»). Le cas échéant, les entités concernées notifient, sans retard injustifié, aux destinataires de leurs services les incidents importants susceptibles de nuire à la fourniture de ces services. Chaque État membre veille à ce que ces entités signalent, entre autres, toute information permettant au CSIRT ou, le cas échéant, à l’autorité compétente de déterminer si l’incident a un impact transfrontière. Le simple fait de notifier un incident n’accroît pas la responsabilité de l’entité qui est à l’origine de la notification.
— Directive (UE) 2022/2555 (NIS2), Art. 23(1)
a) sans retard injustifié et en tout état de cause dans les 24 heures après avoir eu connaissance de l’incident important, une alerte précoce qui, le cas échéant, indique si l’on suspecte l’incident important d’avoir été causé par des actes illicites ou malveillants ou s’il pourrait avoir un impact transfrontière;
— Directive (UE) 2022/2555 (NIS2), Art. 23(4)(a)
b) sans retard injustifié et en tout état de cause dans les 72 heures après avoir eu connaissance de l’incident important, une notification d’incident qui, le cas échéant, met à jour les informations visées au point a) et fournit une évaluation initiale de l’incident important, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission, lorsqu’ils sont disponibles;
— Directive (UE) 2022/2555 (NIS2), Art. 23(4)(b)
Les entités concernées signalent les incidents significatifs sans retard : généralement une alerte sous 24 heures après connaissance, une notification sous 72 heures et un rapport final dans le mois après notification. Des exceptions et règles d’incident en cours existent.
Lire l’article sur EUR-Lex → · Texte officiel, cité du Journal officiel de l’UE
Les sigles utilisés ici: NIS2, GDPR, DORA, CRA
- NIS2 — Network and Information Systems Directive 2
- Une directive européenne sur la cybersécurité, avec des exigences pour les organisations qui entrent dans son champ.
- GDPR — General Data Protection Regulation
- Le Règlement général sur la protection des données (RGPD). GDPR est le sigle anglais et AVG le sigle néerlandais.
- DORA — Digital Operational Resilience Act
- Des règles européennes sur la résilience opérationnelle numérique du secteur financier.
- CRA — Cyber Resilience Act
- Des règles européennes de cybersécurité pour les produits comportant des éléments numériques, dont certains logiciels et appareils connectés.