Incident important au sens de NIS 2
Deux critères de déclenchement qualitatifs, un règlement chiffré pour certains fournisseurs numériques, et un journal de décision écrit pour tous les autres.
Pourquoi la définition est déterminante
L'importance est ce qui déclenche toute l'horloge de notification de l'article 23 de NIS 2 : une alerte précoce dans les 24 heures, une notification d'incident dans les 72 heures, un rapport final dans un délai d'un mois. Si l'événement est important, l'horloge démarre dès que vous en avez connaissance. S'il ne l'est pas, vous ne devez rien au CSIRT ni à l'autorité compétente.
L'article 23, paragraphe 3, de NIS 2 ne vous donne que deux formulations générales. Le règlement d'exécution (UE) 2024/2690 de la Commission (CIR) ajoute des chiffres précis, mais uniquement pour un petit groupe de fournisseurs numériques (DNS, TLD, cloud, centre de données, CDN, MSP, MSSP, place de marché, moteur de recherche, réseau social, services de confiance). Pour tous les autres secteurs de NIS 2, le test reste qualitatif.
La plupart des RSSI sous-estiment cet écart. Si vous êtes dans la fabrication, l'alimentation, la santé ou la gestion des déchets, il n'y a pas de montant en euros, pas de décompte en minutes, pas de seuil d'utilisateurs. Vous devez décider, vous devez décider vite, et vous devez être en mesure d'expliquer pourquoi par la suite.
Directive NIS 2 (UE) 2022/2555, art. 23, paragraphe 3
Un incident est considéré comme important si: a) il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée; b) il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.
Il s'agit de la seule définition générale d'un incident important en droit de l'Union. Les deux points emploient « est susceptible de causer », vous devez donc apprécier le dommage potentiel aussi bien que le dommage effectif. Le texte ne quantifie jamais grave, considérable ou matériel.
CIR (UE) 2024/2690, art. 3
Un incident est considéré comme important au sens de l’article 23, paragraphe 3, de la directive (UE) 2022/2555 eu égard aux entités concernées lorsqu’un ou plusieurs des critères suivants sont remplis: a) l’incident a causé ou est susceptible de causer à l’entité concernée une perte financière directe supérieure à 500 000 EUR ou à 5 % du chiffre d’affaires annuel total de l’entité concernée au cours de l’exercice complet précédent, le montant le plus faible étant retenu; b) l’incident a causé ou est susceptible de provoquer l’exfiltration de secrets d’affaires de l’entité concernée, au sens de l’article 2, point 1), de la directive (UE) 2016/943; c) l’incident a causé ou est susceptible de causer la mort d’une personne physique; d) l’incident a causé ou est susceptible de causer des dommages considérables à la santé d’une personne physique; e) il y a eu un accès non autorisé effectif au réseau et aux systèmes d’information d’une entité concernée, qui est suspecté d’être malveillant et est susceptible de causer une perturbation opérationnelle grave; f) l’incident répond aux critères énoncés à l’article 4; g) l’incident répond à un ou plusieurs des critères énoncés aux articles 5 à 14.
Sept critères (lettres a à g): cinq substantiels plus deux renvois. L'article 1er du CIR précise que ces chiffres ne s'appliquent qu'à des fournisseurs numériques spécifiques (DNS, TLD, cloud, centre de données, CDN, MSP, MSSP, place de marché en ligne, moteur de recherche, plateforme de réseau social, services de confiance). Les articles 5 à 14 ajoutent des planchers de disponibilité par secteur pour le même groupe. Si votre secteur ne figure pas sur cette liste, ces chiffres ne vous lient pas et le test qualitatif de l'article 23, paragraphe 3, est tout ce dont vous disposez.
§32 BSIG (Allemagne, exemple de transposition)
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung ...
Chaque État membre transpose l'article 23 en droit national. Le §32 BSIG reprend la cascade et désigne comme destinataire un service de notification commun mis en place par le BSI et l'Office fédéral de la protection civile et de l'aide en cas de catastrophe (BBK). Il n'ajoute aucun chiffre propre pour les secteurs non numériques. Le NISG 2026 autrichien s'applique depuis le 1er octobre 2026. La France et les Pays-Bas n'avaient pas notifié leur transposition en juillet 2026 (la Commission les a saisis devant la Cour de justice).
Sept critères (lettres a à g)
Cinq critères de déclenchement substantiels plus deux renvois. a) 500 000 EUR ou 5 pour cent du chiffre d'affaires (le montant le plus faible étant retenu), b) secrets d'affaires exfiltrés, c) une personne tuée, d) un dommage grave à la santé d'une personne, e) une intrusion malveillante réussie susceptible de causer une perturbation grave, f) incidents récurrents au titre de l'art. 4, g) seuils spécifiques à l'entité au titre des art. 5 à 14. L'un quelconque déclenche l'importance pour les fournisseurs numériques concernés.
Incidents récurrents
Les petits incidents s'additionnent. Si la même cause profonde produit au moins deux incidents en six mois et que, pris ensemble, ils franchissent le seuil de perte financière de l'art. 3, paragraphe 1, point a), le CIR les traite comme un seul incident important. Les compter séparément est une erreur.
Spécificités DNS et TLD
Pour les fournisseurs de services DNS (art. 5) : résolution totalement indisponible pendant plus de 30 minutes, temps de réponse moyen supérieur à 10 secondes pendant plus d'une heure, ou données compromises (sauf une erreur de configuration touchant moins de 1 000 domaines et pas plus de 1 % d'entre eux). Registres de TLD (art. 6) : toute panne complète de la résolution faisant autorité, temps de réponse supérieur à 10 secondes pendant une heure, ou toute compromission des données du TLD. Les articles 7 à 14 fixent des seuils pour le cloud, les centres de données, les CDN, les MSP et MSSP, les places de marché, les moteurs de recherche, les réseaux sociaux et les services de confiance.
Critère A : perturbation opérationnelle grave ou perte financière pour votre entité
Il s'agit du critère tourné vers l'intérieur. La directive ne vous donne aucun montant en euros, aucune durée, aucun pourcentage. Le considérant 101 nomme trois éléments à examiner : la part du service affectée, la durée de l'incident et le nombre d'utilisateurs touchés. Utilisez-les pour structurer votre raisonnement. Ne les traitez pas comme une liste de cases à cocher.
Critère B : dommage matériel ou moral considérable à des tiers
Il s'agit du critère tourné vers l'extérieur. Clients, citoyens, opérateurs en aval, votre chaîne d'approvisionnement. Le dommage moral inclut l'atteinte à la réputation et à la confiance. Une brève interruption qui rompt le flux de travail d'un hôpital, divulgue des données de clients ou met hors ligne un service municipal peut satisfaire ce critère même si votre propre perte est faible.
Un rançongiciel arrête la production pendant deux jours
Les opérations s'arrêtent. Le critère A de l'art. 23, paragraphe 3, de NIS 2 (perturbation opérationnelle grave) est rempli. Alerte précoce 24 h, notification d'incident 72 h, rapport final 1 mois (art. 23 NIS 2 / §32 BSIG).
E-mail d'hameçonnage cliqué, aucun mot de passe saisi
Confinement réussi, aucune incidence sur les services ou les tiers. Une notification volontaire au titre de l'art. 30 de NIS 2 reste possible si vous souhaitez partager, et elle n'impose aucune obligation supplémentaire (art. 30, paragraphe 2).
Panne du fournisseur cloud, votre propre service ralenti
Si votre propre service devient nettement plus lent ou s'arrête, le critère A est rempli. Vérifiez aussi le critère B : des clients ou des opérateurs en aval subissent-ils un préjudice ? (art. 23, paragraphe 3, de NIS 2)
Une attaque DDoS met le portail client hors ligne pendant quatre heures
Interruption importante pour les clients. Les deux critères de l'art. 23, paragraphe 3, de NIS 2 sont potentiellement remplis. Pour les fournisseurs DNS, cloud ou de services de confiance, vérifiez également les art. 5 à 14 du CIR.
Une mauvaise configuration expose des données de clients
Article 33 du GDPR : 72 h à l'autorité de contrôle. Si un seuil de NIS 2 est également franchi (art. 23, paragraphe 3, de NIS 2 ou art. 3 du CIR), en outre article 23 de NIS 2 : alerte précoce de 24 h au CSIRT. Les deux horloges démarrent au moment de la prise de connaissance.
Fournisseur compromis, votre propre service affecté
Vérifiez d'abord le dommage à votre propre entité ou à vos clients. Tout incident d'un fournisseur ne déclenche pas votre propre obligation de notification. En parallèle : documentez la surveillance des fournisseurs au titre de l'art. 21, paragraphe 2, point d), de NIS 2.
Un doute ? L'alerte précoce peut être mise à jour dans la notification à 72 heures (art. 23, paragraphe 4, point b)). Pour les événements sous le seuil, vous pouvez notifier volontairement sans assumer d'obligations supplémentaires (art. 30).
L'article 30, paragraphe 1, de NIS 2 permet la notification volontaire d'incidents, de cybermenaces et d'incidents évités de justesse au CSIRT. Cela s'applique aux entités relevant du champ d'application de la directive ainsi qu'aux entités qui en sont exclues et qui souhaitent notifier un événement important.
L'article 30, paragraphe 2, de NIS 2 constitue la protection essentielle : la notification volontaire n'entraîne aucune obligation supplémentaire pour l'entité notifiante. Notifier un cas limite ne fait courir aucun risque de devoirs supplémentaires. Cela supprime le prétexte évident de ne pas notifier un incident incertain.
L'article 23, paragraphe 2, de NIS 2 ajoute une obligation distincte. Les entités essentielles et importantes communiquent, sans retard injustifié, à leurs destinataires de services toutes les mesures ou réparations qu'ils peuvent prendre pour atténuer les risques d'une cybermenace importante. Ce n'est pas la notification au CSIRT ; c'est la communication externe aux clients.
En Allemagne, le § 35 Abs. 2 BSIG met cela en œuvre : les entités de la finance, de la sécurité sociale, de l'infrastructure numérique, de la gestion des services TIC et des services numériques doivent indiquer aux clients menacés par une cybermenace importante ce qu'ils peuvent faire, lorsque l'intérêt des clients l'emporte sur le leur. Par ailleurs, le BSI peut ordonner à une entité d'informer ses clients d'un incident important (§ 35 Abs. 1 BSIG), par exemple en le publiant sur son site web.
Orientations du BSI au titre du §32 BSIG
Le BSI reprend la définition du § 2 Nr. 11 BSIG et lit « pourrait causer » comme : les effets pourraient se produire de façon réaliste. Les notifications passent par le portail du BSI. Il ne publie aucun chiffre pour les secteurs non numériques. Le BSI relève que le ministère fédéral de l'Intérieur peut, plus tard, préciser « important » par ordonnance (§ 56 Abs. 4 BSIG).
Orientations techniques de mise en œuvre de l'ENISA
Les orientations techniques de mise en œuvre de l'ENISA (TIG, version 1.0 de juin 2025 ; son tableau de correspondance a été mis à jour en version 1.2 en août 2025) donnent des conseils pratiques sur l'évaluation de l'impact et renvoient aux seuils du CIR là où ils s'appliquent. Les TIG sont non contraignantes et renvoient explicitement les secteurs hors du champ du CIR aux autorités nationales.
Autres États membres
Le NISG 2026 autrichien s'applique depuis le 1er octobre 2026. La France et les Pays-Bas n'avaient pas notifié leur transposition en juillet 2026 (la Commission les a saisis devant la Cour de justice). L'Allemagne est l'exemple utilisé ici.
Mythe 1 : Nous le saurons quand nous le verrons.
Réalité : l'art. 23, paragraphe 4, point a), vous donne 24 heures à compter du moment où vous avez connaissance d'un incident important pour envoyer l'alerte précoce. Dans ce délai, vous devez décider, consigner le raisonnement par écrit et pouvoir le défendre lors de l'audit. Si vous n'avez pas écrit vos critères avant l'incident, vous trancherez sous pression sans aucune trace sur laquelle vous appuyer. Construisez le cadre de décision maintenant, pas le jour venu.
Mythe 2 : Seules les violations de données comptent comme incidents importants.
Réalité : l'art. 23, paragraphe 3, point a), couvre la perturbation opérationnelle et la perte financière sans aucune mention de données à caractère personnel. Une ligne d'usine arrêtée par un rançongiciel sans exfiltration de données est un incident important. Une plateforme logistique hors ligne pendant trois heures peut en être un, si la panne perturbe gravement le service ou cause un dommage considérable aux clients. NIS 2 n'est pas le GDPR.
Mythe 3 : Les petits incidents sous le seuil ne s'additionnent pas.
Réalité : pour les fournisseurs numériques du CIR, les incidents ayant la même cause profonde apparente qui se produisent au moins deux fois en six mois comptent comme un seul incident important si leurs pertes financières franchissent ensemble le seuil de l'art. 3(1)(a) (art. 4 du CIR). NIS 2 lui-même n'a pas une telle règle, mais une série de petits incidents reste une raison de regarder à nouveau.
Les annexes I et II de NIS 2 couvrent 18 secteurs. Seul le groupe numérique de l'art. 1er du CIR (11 types d'entités) obtient des chiffres. C'est une petite part des entités concernées. Pour l'énergie, les transports, la banque, les infrastructures des marchés financiers, la santé, l'eau potable, les eaux usées, l'administration publique, l'espace, la poste, la gestion des déchets, la chimie, l'alimentation, la fabrication et la recherche, le test reste qualitatif.
C'est là que vous pouvez être utile autour de la table. La réponse honnête à la question du conseil d'administration (« qu'est-ce qui compte comme important pour nous ? ») est la suivante : l'UE l'a laissé à votre appréciation, voici les trois facteurs du considérant 101, voici le journal de décision que nous produirons le jour venu, voici qui le signe, voici le formulaire de notification du BSI que nous déposerons. La réponse défendable n'est pas un chiffre. C'est une décision écrite.
- Directive (UE) 2022/2555 (NIS 2), art. 23 et considérant 101: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Règlement d'exécution (UE) 2024/2690 de la Commission, articles 1, 3, 4, 5 à 14: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- BSIG § 32 (Allemagne): gesetze-im-internet.de/bsig_2025
- ENISA, NIS2 Technical Implementation Guidance, version 1.0, 26 juin 2025: enisa.europa.eu
- BSI, FAQ NIS-2 et portail du BSI: bsi.bund.de, portal.bsi.bund.de
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
