Art. 23 NIS 2 · § 32 BSIG

Notification NIS2 : quand et comment notifier un incident au BSI

Vous notifiez un incident de sécurité important au BSI en trois étapes : une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final un mois plus tard (§ 32 BSIG). Le délai court à partir du moment où vous en avez connaissance. La notification se fait sur le portail du BSI.

Commencer

Réserver un appel

Quelqu'un d'autre décide ? Une page pour votre direction

Simon Orzel·Laufend geprüft

Programmes et adhésions

Ce qu'est un incident de sécurité important

Un incident de sécurité est un événement qui compromet la disponibilité, l'intégrité ou la confidentialité de vos données ou de vos services (§ 2 n° 40 BSIG). Vous ne devez notifier que les incidents importants.

Un incident est important s'il a causé, ou peut causer, l'une de deux choses (§ 2 n° 11 BSIG, Art. 23(3) NIS 2) : une perturbation grave de l'activité ou des pertes financières pour votre entreprise, ou un dommage considérable pour d'autres. Pour certains fournisseurs numériques, le règlement d'exécution (UE) 2024/2690 fixe des seuils précis. Pour tous les autres, le BSI indique : un incident est important s'il remplit l'un des critères de l'Art. 3(1) de ce règlement, et toujours quand un service critique est en panne ou dégradé.

Perturbation grave de l'activité

L'incident perturbe gravement la fourniture de vos services, ou peut le faire.

Pertes financières

L'incident cause des pertes financières à votre entreprise, ou peut le faire. Pour les fournisseurs numériques couverts par le règlement d'exécution, le seuil est une perte directe de plus de 500 000 EUR ou de 5 % du chiffre d'affaires de l'année précédente, le montant le plus bas étant retenu (Art. 3(1)(a)).

Dommage pour d'autres

L'incident cause à d'autres personnes ou entreprises un dommage matériel ou immatériel considérable, ou peut le faire.

Violation de données

Une violation de données n'est importante que si elle remplit l'un des deux critères, par exemple parce qu'elle cause un dommage considérable à d'autres. La notification selon le § 32 BSIG s'ajoute à la notification selon les Art. 33 et 34 RGPD. Les deux peuvent s'appliquer au même incident.

Durée

La durée n'est pas un critère en soi. Pour les fournisseurs numériques couverts par le règlement d'exécution, des limites de temps s'appliquent par service, par exemple quand un service cloud est totalement indisponible pendant plus de 30 minutes (Art. 7(a)).

En cas de doute, notifiez tôt. Le BSI souhaite expressément une notification précoce, même si beaucoup de choses sont encore floues. Les corrections passent par les notifications suivantes.

Les délais

Trois notifications avec des délais fixes, plus deux qui ne s'appliquent que dans certains cas. Les délais sont des maximums : vous notifiez sans retard injustifié.

Le délai démarre avec la prise de connaissance. Selon le BSI, c'est le moment où un salarié de votre entreprise apprend l'incident important pendant ses heures de travail.

1

Alerte précoce

24 heures

Un premier avertissement au BSI, au plus tard 24 heures après que vous avez eu connaissance de l'incident.

Si l'incident semble venir d'un acte illicite ou malveillant
S'il pourrait toucher d'autres pays
Un premier classement de l'incident
Qui notifie, et comment le BSI peut joindre cette personne

2

Notification d'incident

72 heures

Au plus tard 72 heures après que vous avez eu connaissance de l'incident. Elle confirme ou complète l'alerte précoce.

Une première évaluation de la gravité et de l'impact
Des signes laissés par les attaquants (indicateurs de compromission), quand il y en a
Ce que vous savez de la cause
Ce que vous avez fait et ce que vous prévoyez encore de faire

3

Rapport intermédiaire

Sur demande

Seulement si le BSI le demande : la situation actuelle.

Où en sont le confinement et la remise en état
Nouveaux éléments sur la cause, l'ampleur ou l'impact

4

Rapport final

1 mois après la notification

Au plus tard un mois après la deuxième notification, celle du délai de 72 heures.

Une description détaillée de l'incident, avec sa gravité et son impact
Le type de menace ou la cause probable
Ce que vous avez fait et ce que vous faites encore
Si d'autres pays sont touchés

5

Rapport d'avancement

Si l'incident est en cours

Si l'incident est toujours en cours après un mois, vous remettez un rapport d'avancement à la place du rapport final. Le rapport final suit une fois l'incident traité (§ 32(2) BSIG).

La situation actuelle
Ce que vous avez contenu jusqu'ici

Un exemple

Une entreprise fictive. Lundi, 9 h : la comptabilité signale à l'informatique que des fichiers du serveur sont chiffrés. La prise de commandes est à l'arrêt.

Lundi, 9 h 30 : l'informatique confirme une attaque. Selon le plan d'urgence, c'est le dirigeant qui décide. Il classe l'incident comme important, car l'activité est gravement perturbée.

Lundi, 14 h : l'alerte précoce sur le portail du BSI. Elle dit ce qui est connu et qu'une attaque est soupçonnée. Le délai aurait couru jusqu'au mardi, 9 h.

Au plus tard jeudi, 9 h : la notification, avec une première évaluation de la gravité et de l'impact.

Un mois après cette notification : le rapport final avec la cause et la solution. Si l'incident est encore en cours à ce moment, un rapport d'avancement vient d'abord.

En parallèle, l'entreprise vérifie si des données personnelles sont touchées. Si oui, l'obligation de notification de l'Art. 33 RGPD s'applique aussi.

Ce que contient l'alerte précoce

Le BSI cite ces informations pour l'alerte précoce. Le formulaire du portail les demande.

Classement de l'incident, motif de la notification et situation
Une description provisoire : perturbation, impact, durée prévue et cause supposée
Quand l'incident s'est produit et quand vous l'avez remarqué
Secteurs et types d'entités touchés
Si une attaque est soupçonnée et si d'autres pays pourraient être touchés
Ce que vous avez fait jusqu'ici et si l'incident est sous contrôle
Comment le BSI peut joindre la personne qui notifie

La règle du BSI : la rapidité avant l'exhaustivité. Une notification envoyée ne peut pas être retirée. Vous la corrigez par une notification de suivi.

Comment cela se passe dans le parcours guidé

Deux étapes du parcours guidé sur nisd2.eu vous préparent à la notification.

« Plan what happens in an incident » : vos réponses produisent votre plan de réponse aux incidents. Il indique qui décide et comment vous notifiez.

« Know how to report an incident » : l'étape montre les trois délais et un exemple d'alerte précoce.

Vous notez si vous pouvez vous connecter au portail du BSI et notifier.

À la fin, la direction approuve le plan de réponse aux incidents dans l'application.

Rédiger votre plan d'urgence dans le parcours guidé

Où notifier, et qui notifie

Vous notifiez au BSI, en règle générale sur le portail du BSI.

Les notifications selon le § 32 BSIG vont au BSI, en règle générale par le portail du BSI. Si votre entreprise a un incident important avant d'être enregistrée, vous notifiez par un formulaire sur le portail de notification et d'information (MIP) du BSI. Les exploitants d'installations critiques et les autorités fédérales utilisent pour l'instant leurs canaux de notification habituels.

Tout salarié ayant accès au portail peut notifier. Pour cela, chaque personne a besoin de son propre certificat d'organisation ELSTER et doit être rattachée à votre entité dans le portail. Vous pouvez aussi faire notifier un prestataire pour vous. La responsabilité de la notification reste la vôtre.

Les exploitants d'installations critiques indiquent aussi le type d'installation, le service critique et l'impact sur celui-ci (§ 32(3) BSIG). Si des données personnelles sont touchées, une notification à l'autorité de protection des données peut aussi être nécessaire.

Après la notification

Le BSI accuse réception sans retard injustifié, si possible sous 24 heures. Sur demande, il donne des orientations ou des conseils (§ 36(1) BSIG).
Le BSI peut vous ordonner d'informer les destinataires de vos services de l'incident (§ 35(1) BSIG).
Attendez-vous à des questions. Le BSI recommande que ses avertissements puissent joindre quelqu'un aussi en dehors des heures de bureau.

Ce que vous préparez à l'avance

Qui décide si un incident est important, et qui notifie.
L'accès au portail du BSI pour ces personnes : un certificat d'organisation chacune et le rattachement à votre entité.
Les numéros de téléphone de l'informatique, des prestataires et de la direction, aussi sur papier.
Un plan d'urgence que l'on trouve même quand les serveurs sont en panne.

Sources

Loi BSI (BSIG), § 2 n° 11 et 40, §§ 32, 35 et 36 (gesetze-im-internet.de/bsig_2025)
Directive (UE) 2022/2555 (NIS 2), Art. 23 (eur-lex.europa.eu)
Règlement d'exécution (UE) 2024/2690, Art. 3 et 7
BSI, obligation de notification NIS 2 : délais, contenu et canal (bsi.bund.de/dok/nis-2-meldepflicht)
BSI, Mein Unternehmenskonto : accès au portail du BSI (bsi.bund.de/dok/muk)
Règlement (UE) 2016/679 (RGPD), Art. 33 et 34

En pratique

Où cela apparaît dans le parcours guidé

Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.

Le parcours lui-même est en allemand et en anglais.

Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.