La réponse à incident est-elle obligatoire ?

Faire appel à un prestataire de réponse à incident n’est pas obligatoire en soi. En revanche, plusieurs textes prévoient la gestion et la notification des incidents : NIS2 (articles 21 et 23) pour les entités régulées, le RGPD (articles 32 à 34) dès que des données personnelles sont en jeu, DORA pour le secteur financier. En pratique, ces obligations supposent une capacité de réponse, interne ou externe.

Cet article fait partie de notre série sur la réponse à incident. Pour la vue d’ensemble, voir Qu’est-ce que la réponse à incident en cybersécurité ?.

Ce que prévoit chaque texte

Texte	Qui est visé	Ce que prévoit le texte	Délais
NIS2, article 21	Entités essentielles et importantes	Mesures de gestion des incidents, de continuité et de gestion de crise	Pas de délai fixé par l’article
NIS2, article 23	Mêmes entités	Notification des incidents importants	Alerte précoce en 24 h, notification en 72 h, rapport final sous un mois
RGPD, article 32	Tout responsable de traitement et sous-traitant	Sécurité adaptée au risque, dont la capacité à rétablir la disponibilité des données en cas d’incident	Pas de délai fixe
RGPD, article 33	Tout responsable de traitement	Notification à l’autorité de contrôle (la CNIL en France) des violations présentant un risque, documentation de toutes les violations	72 heures après en avoir pris connaissance
RGPD, article 34	Tout responsable de traitement	Information des personnes en cas de risque élevé	Dans les meilleurs délais
DORA, articles 17 et 19	Entités financières	Processus de gestion des incidents liés aux TIC, notification des incidents majeurs	Délais fixés par les normes techniques associées

NIS2 : gérer et notifier

L’article 21, paragraphe 2, de NIS2 liste les mesures minimales prévues pour les entités régulées, dont la gestion des incidents (point b) et la continuité des activités, y compris la gestion des crises (point c). La directive ne dit pas comment s’organiser : équipe interne, SOC managé, prestataire de réponse. Elle fixe des mesures sans imposer de modèle d’organisation.

L’article 23 prévoit ensuite la notification des incidents importants selon un calendrier serré : alerte précoce dans les 24 heures après en avoir eu connaissance, notification dans les 72 heures, rapport final au plus tard un mois après. Ces délais supposent une capacité de détection et d’analyse. Voir Un SOC managé aide-t-il à respecter NIS2 ?.

Où en est la France ? Au 18 octobre 2026, la loi de transposition n’est pas adoptée : le projet de loi « résilience », adopté par le Sénat le 12 mars 2025, a été retiré de l’ordre du jour de l’Assemblée nationale le 6 octobre 2026, et la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France le 8 juillet 2026. Les obligations prévues par la future loi ne sont donc pas encore en vigueur en droit français. Pour savoir si vous serez concerné, voir NIS2 : qui est concerné ?.

RGPD : la règle qui s’applique à presque tout le monde

Le RGPD s’applique à toute organisation qui traite des données personnelles. Trois articles comptent :

• Article 32 : il prévoit que la sécurité inclue les moyens de rétablir la disponibilité des données et l’accès à celles-ci dans des délais appropriés en cas d’incident.
• Article 33 : il prévoit qu’une violation de données présentant un risque pour les personnes soit notifiée à l’autorité de contrôle dans les 72 heures après en avoir pris connaissance. Selon la CNIL, une notification initiale peut être complétée ensuite. Le texte prévoit aussi que toutes les violations, notifiées ou non, soient documentées en interne.
• Article 34 : il prévoit, en cas de risque élevé, l’information des personnes concernées.

Pour savoir ce qui relève d’une violation de données, voir Qu’est-ce qu’un incident de cybersécurité ?.

Les autres cadres à connaître

• DORA (règlement (UE) 2022/2554), applicable depuis le 17 janvier 2025, prévoit pour les entités financières un processus de gestion des incidents liés aux technologies de l’information (article 17) et la notification des incidents majeurs (article 19).
• Les opérateurs d’importance vitale et les opérateurs de services essentiels désignés en France relèvent de textes propres, qui prévoient notamment des déclarations d’incidents à l’ANSSI. Le détail relève de ces textes et de l’ANSSI.
• L’assurance : l’article L12-10-1 du Code des assurances, issu de la loi LOPMI du 24 janvier 2023, traite du lien entre l’indemnisation des pertes liées à une cyberattaque et le dépôt d’une plainte, avec un délai de 72 heures. Les conditions applicables à un contrat donné se vérifient avec l’assureur et un conseil juridique.

Et pour les entreprises non régulées ?

Même hors NIS2 et DORA, des exigences comparables peuvent venir d’ailleurs :

• les contrats clients : un donneur d’ordre régulé peut attendre de ses fournisseurs qu’ils le préviennent vite et sachent traiter un incident. Voir Suis-je concerné par NIS2 si mon client l’est ? ;
• l’assurance cyber : les contrats peuvent prévoir des délais de déclaration et parfois des prestataires désignés ;
• la continuité de l’activité : sans capacité de réponse, un incident courant peut s’étirer sur des semaines.

Ce qu’il est utile d’avoir en place

1. Un moyen de détecter les incidents, de jour comme de nuit.
2. Une procédure qui dit qui qualifie, qui décide et qui notifie.
3. Un intervenant identifié pour la réponse technique. Voir Que couvre une prestation de réponse à incident ?.
4. Les contacts utiles : autorités, assureur, avocat. Voir Qui contacter en cas de cyberattaque ?.

Chez Cyna, le SOC managé 24/7 s’appuie sur une équipe CERT qui peut être mobilisée rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident.

Faire le point avec un expert

Vous voulez faire le point sur votre capacité de détection et de réponse, ou celle de vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Pour l’analyse de vos obligations juridiques, votre conseil juridique reste l’interlocuteur adapté. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Une PME non concernée par NIS2 a-t-elle des obligations ?

Le RGPD s'applique dès qu'une organisation traite des données personnelles, ce qui est presque toujours le cas. Il prévoit notamment la sécurisation des données, la documentation des violations et la notification de celles qui présentent un risque. Ce qui s'applique précisément à une entreprise donnée se vérifie avec son conseil juridique. Voir NIS2 : une PME est-elle concernée ?.

Qui notifie l'incident : l'entreprise, l'infogérant ou le SOC ?

Ce sont les textes qui désignent qui notifie : l'article 23 de NIS2 vise les entités concernées, l'article 33 du RGPD vise le responsable du traitement. L'infogérant et le SOC peuvent aider en fournissant les faits. Qui notifie dans une situation donnée se vérifie avec un conseil juridique.

Que risque une entreprise qui ne notifie pas ?

Les textes prévoient des sanctions administratives. L'article 83 du RGPD fixe, pour les manquements à l'article 33, un plafond d'amende de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. NIS2 prévoit aussi des amendes, dont les montants dépendront de la loi française. La sanction éventuelle dans un cas donné relève de l'autorité compétente.