Que contient un rapport d'incident ?
Un rapport d'incident contient synthèse, chronologie, périmètre touché, cause racine, actions menées, impacts et recommandations. Ce que disent NIS2 et le RGPD.
Un rapport d’incident contient une synthèse pour la direction, la chronologie de l’attaque, le périmètre touché (systèmes, comptes, données), le point d’entrée et la cause racine, les actions de confinement et de remédiation, les impacts sur l’activité, les indicateurs de compromission et des recommandations priorisées. Il documente aussi ce qui reste incertain.
Cet article fait partie de notre série sur le déroulé d’une réponse à incident. Pour la vue d’ensemble, voir Comment se déroule une réponse à incident ?.
À quoi sert un rapport d’incident
Le rapport est le document de référence de l’incident. Il répond à trois besoins :
- Décider : la direction y trouve ce qui s’est passé, le risque résiduel et les investissements à prévoir.
- Corriger : les équipes techniques ou l’infogérant y trouvent la liste des actions à mener.
- Prouver : l’assureur, les autorités et parfois la justice s’appuient sur ses faits et sa chronologie.
Le NIST, dans la révision 3 de son guide SP 800-61 publiée en avril 2025, rappelle que les enseignements d’un incident doivent alimenter l’amélioration de toute la gestion des risques.
Les rubriques d’un rapport d’incident complet
| Rubrique | Contenu | Lecteur principal |
|---|---|---|
| Synthèse | Ce qui s’est passé en quelques lignes, gravité, état actuel, décisions attendues | Direction |
| Chronologie | Dates et heures clés : première action de l’attaquant, détection, confinement, éviction, reprise | Tous |
| Périmètre | Machines, comptes, applications et données touchés | Équipe technique, DPO |
| Point d’entrée et cause racine | Comment l’attaquant est entré et pourquoi cela a été possible | Direction, équipe technique |
| Actions menées | Confinement, éviction, restauration, changement des secrets, avec leurs dates | Équipe technique, assureur |
| Impacts | Durée d’arrêt, activités touchées, données consultées ou exfiltrées | Direction, DPO, assureur |
| Indicateurs de compromission | Adresses, fichiers, comptes, techniques observés | SOC, équipe technique |
| Niveau de confiance | Ce qui est établi, ce qui reste incertain, zones non analysées | Direction |
| Recommandations | Mesures priorisées, à court et moyen terme, avec un responsable | Direction, infogérant |
| Annexes | Preuves collectées, méthodes d’analyse, journaux pertinents | Experts, autorités |
La rubrique « niveau de confiance » est souvent oubliée. Elle est pourtant essentielle : elle dit si l’on peut considérer l’attaquant comme évincé. Voir Comment sait-on que l’attaquant est parti ?.
Rapport d’incident et notifications réglementaires : deux choses différentes
Le rapport d’incident est un document interne. Les notifications aux autorités suivent leurs propres formats et délais, mais elles puisent dans le même travail d’investigation.
Avec NIS2 (article 23), une entité essentielle ou importante notifie un incident important en trois temps : alerte précoce sous 24 heures, notification sous 72 heures, puis rapport final au plus tard un mois après la notification. Ce rapport final comprend une description détaillée de l’incident (gravité et impact), le type de menace ou la cause profonde probable, les mesures d’atténuation appliquées et en cours, et l’éventuel impact transfrontière. Si l’incident n’est pas clos à cette date, un rapport d’avancement est remis, puis le rapport final dans le mois qui suit son traitement. Rappel : au 29 septembre 2026, la loi française de transposition de NIS2 n’est pas adoptée. Voir Un SOC managé aide-t-il à respecter NIS2 ?.
Avec le RGPD (article 33), une violation de données personnelles présentant un risque est notifiée à la CNIL dans les 72 heures après en avoir pris connaissance. La notification décrit la nature de la violation (catégories et nombre approximatif de personnes et d’enregistrements), le contact du délégué à la protection des données, les conséquences probables et les mesures prises ou envisagées. Le même article prévoit de documenter toute violation, notifiée ou non : faits, effets et mesures correctrices.
Un rapport d’incident bien structuré contient déjà tous ces éléments. C’est pourquoi il vaut mieux le construire au fil de l’eau qu’à la fin.
Les erreurs fréquentes
- Un rapport trop technique : la direction ne le lit pas et les décisions ne sont pas prises. La synthèse doit tenir en une page.
- Des recommandations sans responsable ni échéance : elles restent lettre morte.
- Une chronologie incomplète : sans l’heure de détection, impossible de justifier le respect des délais de notification.
- Masquer les incertitudes : le rapport perd sa crédibilité dès qu’un nouvel élément apparaît.
- Oublier les données personnelles : faire relire le rapport par le DPO permet de vérifier les points liés au RGPD. Voir La réponse à incident est-elle obligatoire ?.
Qui reçoit le rapport quand on passe par un infogérant ?
Quand une PME est accompagnée par un infogérant partenaire de Cyna, l’infogérant porte la relation : c’est lui qui transmet les rapports à son client. Les rapports mensuels d’activité et de vulnérabilités de la plateforme Cyna sont exportables en CSV ou PDF, en marque blanche. En cas d’incident, lorsque le CERT de Cyna est mobilisé, il documente l’investigation et les actions menées avec l’infogérant. Pour la suite, voir Que se passe-t-il après la réponse à incident ?.
Faire le point avec un expert
Vous voulez savoir ce que votre SOC vous remettrait après un incident, ou relire un rapport existant ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.
Questions fréquentes
Qui rédige le rapport d'incident ?
En général le prestataire de réponse à incident, qui a mené l'investigation, avec l'appui de l'équipe technique ou de l'infogérant pour les actions réalisées. La direction le relit et valide les décisions qui en découlent.
Le rapport d'incident peut-il être remis à l'assureur ?
Oui, il sert souvent de base au dossier de sinistre. Avant de le transmettre, vérifiez avec votre avocat ou votre conseil ce qu'il est opportun de partager, en particulier les détails techniques sensibles et les données personnelles.
Faut-il un rapport pour un petit incident ?
Oui, mais proportionné. Une fiche de quelques paragraphes suffit pour un phishing bloqué. L'article 33, paragraphe 5, du RGPD prévoit d'ailleurs de documenter toute violation de données personnelles, même non notifiée à la CNIL.
Combien de temps après l'incident le rapport est-il remis ?
Un premier point de situation est utile dès les premiers jours. Pour les entités soumises à NIS2, l'article 23 prévoit un rapport final aux autorités au plus tard un mois après la notification de l'incident.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.