Introduction

Les organisations numériques doivent gérer les incidents de sécurité en respectant des obligations réglementaires parfois superposées. Le GDPR et la NIS2 imposent des notifications et des registres qui peuvent coexister. Une réponse coordonnée réduit les délais, limite les dommages et diminue le risque juridique. Ce guide propose une méthode opérationnelle pour intégrer ces obligations dans un processus unique.

Vue d'ensemble des cadres réglementaires

  • GDPR : impose la notification des violations de données personnelles à l'autorité de contrôle sans délai injustifié et, si possible, dans les 72 heures suivant la prise de connaissance ; requiert également la communication aux personnes concernées en cas de risque élevé pour leurs droits et libertés.
  • NIS2 : étend les obligations aux opérateurs de services essentiels et à certains fournisseurs de services numériques, en privilégiant la continuité des services et la notification aux autorités compétentes/CSIRT.

Remarque : les modalités précises de notification de la NIS2 sont détaillées dans les textes nationaux de transposition. Vérifiez toujours ces textes pour connaître les délais et formats exacts.

Différences opérationnelles clés

  • Objet : le GDPR cible les données personnelles ; la NIS2 cible la disponibilité et la continuité des services essentiels.
  • Contenu des notifications : le GDPR demande la nature de l'incident, les catégories de données, le nombre de personnes concernées et les mesures prises ; la NIS2 met l'accent sur les effets sur les services, l'impact opérationnel et les mesures d'atténuation.
  • Destinataires : GDPR → autorité de contrôle et potentiellement les personnes concernées ; NIS2 → autorités nationales compétentes/CSIRT.

Principes pour un processus unifié

  1. « Règle du plus strict » : lorsque plusieurs obligations s'appliquent, respecter le délai et le contenu les plus contraignants.
  2. Source unique d'information : tenir un registre central des incidents contenant les éléments requis par les deux régimes.
  3. Rôles clairs : définir CISO, DPO, responsables IT, juriste et communications.
  4. Documenter chaque décision et sa justification.

Préparation (Avant l'incident)

  • Inventaire : cartographier systèmes, données personnelles et services essentiels, y compris les fournisseurs.
  • Contacts réglementaires : conserver les coordonnées à jour de l'autorité GDPR, du CSIRT national et des autorités NIS2.
  • Playbooks et modèles : préparer les modèles de notification et les checklists de collecte de preuves.
  • Équipe et exercices : former l'équipe de réponse et organiser des simulations régulières.

Détection, confinement et évaluation

  1. Détection : consigner l'événement (horodatage, source, type).
  2. Confinement : mesures immédiates pour limiter la propagation (isolement, blocage d'accès).
  3. Évaluation rapide : collecter les preuves, déterminer si des données personnelles ou des services essentiels sont affectés, estimer l'ampleur.
  4. Classification : utiliser une matrice de gravité pour décider de la notification.

Décision de notification : checklist pratique

  • L'incident implique-t-il des données personnelles ? Si oui, évaluer l'obligation GDPR.
  • L'incident affecte-t-il la continuité d'un service essentiel ? Si oui, évaluer l'obligation NIS2.
  • Les personnes concernées courent-elles un risque élevé ? Si oui, préparer une communication aux personnes concernées.

Règle opérationnelle : si plusieurs régimes s'appliquent, envoyer une notification initiale aux autorités dans le délai interne le plus contraignant (voir recommandations ci‑dessous).

Délais internes recommandés et SLA

  • Objectif opérationnel recommandé : notifier les autorités compétentes initialement dans les 24 heures pour les incidents critiques ; compléter la notification GDPR dans les 72 heures si applicable. Ce sont des objectifs opérationnels — confirmez les délais exacts de la NIS2 dans le droit national.
  • SLA suggérés : détection < 4h, évaluation initiale < 8h, notification initiale < 24h pour incidents à fort impact.

Modèles essentiels (champs clés)

  • Notification aux autorités (GDPR/NIS2) : identification de l'organisation, point de contact, date/heure de découverte, description, catégories de données/services affectés, estimation du nombre de personnes/systèmes, mesures prises, risques résiduels, actions prévues.
  • Communication aux personnes concernées (GDPR) : description simple de l'incident, conséquences possibles, mesures prises, conseils pratiques, contact pour assistance.
  • Registre d'incident : chronologie, preuves, décisions, signatures responsables.

Escalade et coordination

  • Niveau 1 (opérationnel) : équipe IT pour confinement et preuve.
  • Niveau 2 (gestion) : CISO, DPO, juriste pour évaluation juridique et décisions de notification.
  • Niveau 3 (exécutif) : direction/CEO pour impacts stratégiques et communications publiques.
  • Impliquer la communication avant tout communiqué externe.

Préservation des preuves et revue post‑incident

  • Conserver logs et images forensiques de façon immuable et documentée.
  • Mener une RCA et mettre à jour les playbooks.
  • Rédiger un rapport final avec actions correctives et leçons apprises.

Recommandations contractuelles et opérationnelles

  • Prévoir dans les contrats fournisseurs l'obligation de notification immédiate et l'assistance pour les déclarations réglementaires.
  • Inclure clauses d'assistance forensique et juridique pour fournisseurs critiques.

Exercices et indicateurs

  • Simulations de notification incluant remplissage de formulaires et envoi aux contacts officiels.
  • Indicateurs : temps moyen de détection, délai à la première notification, pourcentage d'incidents signalés dans les délais cibles.

Conclusion

Un processus unifié, basé sur inventaire, modèles, rôles clairs et documentation rigoureuse, permet de satisfaire les exigences GDPR et NIS2 tout en réduisant le risque opérationnel et juridique. Appliquez la « règle du plus strict » et revoyez régulièrement la conformité au droit national de transposition de la NIS2.