SaaSFort Un fondateur SaaS découvre un ransomware dans une VM de production à 21h47 un dimanche. La détection s’est faite par accident — un ingénieur d’astreinte a remarqué des requêtes de base de données anormalement lentes lors d’un déploiement de routine. L’horloge légale pour l’Article 23 NIS2 démarre à 21h47. L’alerte précoce au BSI est due à 21h47 le lendemain.
La plupart des équipes n’en ont jamais soumis une. Elles passeront les trois premières heures de l’incident non pas sur la confinement, mais à comprendre ce que le BSI attend d’elles par écrit. C’est l’écart que cet article — et notre bundle gratuit de préparation aux incidents — comble.
L’horloge Article 23 démarre à la prise de conscience, pas à la détection
L’Article 23(4) de la Directive NIS2 (UE 2022/2555) donne aux entités essentielles et importantes une fenêtre de 24 heures pour une alerte précoce à leur CSIRT national ou autorité compétente — en Allemagne, c’est le BSI via le Meldeportal. L’horloge ne démarre pas quand l’attaquant a accédé pour la première fois. Elle démarre quand votre organisation prend conscience qu’un incident significatif est en cours.
Cette distinction est l’aspect le plus mal compris de l’Article 23. Nous avons vu des équipes contester avec des auditeurs sur le moment où la “prise de conscience” a été établie. La contestation perd presque toujours. Documentez le moment de la prise de conscience par écrit — avec des horodatages, qui a escaladé, et quelle preuve a déclenché l’escalade — ou attendez-vous à ce qu’un régulateur le définisse pour vous, moins généreusement, après coup.
Le calendrier complet se déroule en trois étapes :
| Étape | Délai | Ce que vous soumettez |
|---|---|---|
| Alerte précoce | 24 heures | Prise de conscience de l’incident, nature préliminaire, attaquant suspecté (si connu) |
| Notification d’incident | 72 heures | Évaluation initiale de l’impact, indicateurs de compromission, effet transfrontalier |
| Rapport final | 1 mois | Cause racine, mitigations appliquées, mesures préventives à venir |
Chaque étape est obligatoire. Passer l’alerte précoce parce que “nous n’avions pas encore tous les faits” est exactement le mode d’échec que les régulateurs pénalisent. L’étape de 24 heures sert à la reconnaissance — pas à une cause racine complète.
Les huit champs que le BSI attend dans la notification de 24 heures
Le formulaire du BSI Meldeportal pour les notifications §32 BSIG correspond à huit champs obligatoires. Le modèle .docx gratuit dans le bundle de préparation aux incidents reproduit exactement cette structure pour que vous puissiez copier/coller pendant un incident en direct sans reconcevoir le formulaire à la volée. Pour la carte de champs complète de 16 champs (DE Meldeformular ↔ Anglais), consultez notre carte de champs Article 23.
1. Identification du rapporteur et de l’entité. Raison sociale, numéro d’inscription BSI (si inscrit — et si vous avez manqué la date limite d’inscription, vous avez un problème séparé), nom et email du point de contact. Le rapporteur n’a pas besoin d’être le CEO, mais doit avoir l’autorité pour déposer au nom de l’entité.
2. Heure de détection de l’incident. Quand votre organisation en a-t-elle pris conscience ? Utilisez UTC et incluez le fuseau horaire local. Soyez précis. “Environ 22h dimanche” paraît évasif ; “21:47:03 UTC, 2026-05-03 (Europe/Berlin)” paraît documenté.
3. Nature suspectée de l’incident. Choisissez un ou plusieurs parmi la taxonomie BSI : malware, accès non autorisé, exfiltration de données, déni de service, compromission de la chaîne d’approvisionnement, ingénierie sociale, autre. Vous ne vous engagez pas sur une classification finale — c’est un jugement préliminaire.
4. Services et systèmes affectés. Orientés clients ou internes ? Production ou staging ? Géographiquement limité ou à l’échelle de l’UE ? Si vous servez des clients dans plusieurs États membres de l’UE, signalez l’effet transfrontalier — l’Article 23 exige que les CSIRT coordonnent les notifications transfrontalières.
5. Attaquant suspecté (si connu). Nom de l’acteur de la menace, TTP correspondant à un groupe connu, niveau de confiance d’attribution. La plupart des équipes ne peuvent pas répondre à cela en 24 heures. “Inconnu pour l’instant” est une réponse acceptable. En inventer un ne l’est pas.
6. Évaluation initiale de l’impact. Nombre d’utilisateurs affectés, catégories de données potentiellement impliquées, services dégradés ou indisponibles. Soyez conservateur — surestimer est pardonnable ; sous-estimer et être corrigé ultérieurement ne l’est pas.
7. Statut du confinement et de la réponse. Ce que vous avez fait dans les 24 dernières heures. “Environnement de production isolé, accès client suspendu en attente de l’examen forensique” paraît professionnel. “Nous y travaillons” paraît non préparé.
8. Prochaine mise à jour prévue. Quand la notification de 72 heures suivra, et toute communication intermédiaire que vous prévoyez avec les parties affectées. Le BSI attend de la continuité, pas du silence.
Le travail pré-incident qui rend le formulaire remplissable
Le délai de 24 heures est réalisable si et seulement si ces décisions ont été prises avant qu’un incident survienne :
- Qui est autorisé à déposer ? (Pré-désignez deux personnes nommées ; l’une sera en déplacement ou dormira quand le moment viendra.)
- Quel est le numéro d’inscription BSI de l’entité ? (Épinglé à votre runbook IR, pas enterré dans un fil de discussion email.)
- Que signifie “incident significatif” pour votre organisation, par écrit ? (L’Article 23(3) donne le seuil légal. Votre runbook doit donner le seuil opérationnel — des exemples concrets, pas du langage juridique.)
- Qui décide ? (La plupart des équipes se rabattent sur le CEO. Le CEO est rarement la bonne personne à 3h du matin. Pré-autorisez le RSSI ou un responsable sécurité d’astreinte.)
Un exercice tabletop force ces décisions sur papier avant que la pression d’un incident réel ne corrompe le processus. Notre bundle inclut trois scénarios — ransomware, violation de données, DDoS soutenu — chacun scénarisé comme un exercice de 90 minutes avec des fiches de rôle (CTO, RSSI, responsable communication, juridique, support) et des injections minutées. La sortie de chaque session est un brouillon de notification de 24 heures rempli. Vous terminez l’exercice avec un artefact, pas seulement un débriefing.
Conseil des équipes de conformité qui l’ont fait : Menez le tabletop un vendredi après-midi. La fatigue cognitive d’un incident réel est plus proche de la fatigue cognitive d’une fin de semaine que de celle d’un lundi frais. Le réalisme se traduit.
Ce que l’Article 23 ne pardonnera pas
Trois modes d’échec apparaissent systématiquement dans les orientations d’enforcement NIS2 et les premières données de cas des États membres :
Dépôt tardif. Manquer le délai de 24 heures déclenche le pouvoir discrétionnaire de l’autorité de surveillance. Pour les entités essentielles, les amendes atteignent 10 M€ ou 2 % du CA mondial, le montant le plus élevé s’appliquant. Le BSI a déclaré publiquement que les défaillances procédurales — notamment les notifications tardives ou incomplètes — sont une cible principale d’enforcement pendant la montée en puissance 2026–2027.
Mises à jour incohérentes. Si vos notifications de 24h, 72h et 1 mois divergent sur des faits de base (heure de l’incident, périmètre, systèmes affectés), les régulateurs lisent l’incohérence comme de la négligence ou de la dissimulation. Utilisez une seule source de vérité — le même modèle, versionné — dans les trois dépôts.
Notification sans preuve d’escalade interne. L’Article 21(2)(b) exige des procédures de gestion des incidents documentées. Si vous déposez une notification Article 23 sans une piste d’audit montrant qui a décidé d’escalader, quand, et sur quelle preuve, vous avez créé un écart documenté dans vos contrôles Article 21. Le dépôt Article 23 devient alors la preuve utilisée contre votre conformité Article 21.
La feuille de travail horloge de sensibilisation dans le bundle de préparation aux incidents est construite spécifiquement pour combler ce troisième écart. Elle documente détection, triage et la décision d’escalade — ligne par ligne, avec horodatages et décideurs nommés.
Comment cela se connecte à votre posture Article 21
L’Article 23 impose le processus de notification. L’Article 21 impose les contrôles sous-jacents — gestion des incidents, gestion des vulnérabilités, MFA, chiffrement, chaîne d’approvisionnement — qui déterminent si vous avez quelque chose à signaler et à quelle vitesse vous pouvez le détecter. Les deux sont opérationnellement inséparables.
La plupart des équipes dans le périmètre commencent par le modèle d’auto-audit Article 21 pour cartographier leur posture de contrôle actuelle, puis construisent la capacité de notification Article 23 par-dessus. Si vous n’avez pas encore mené l’audit Article 21, faites-le en premier — les dix contrôles listés dans l’Article 21(2) sont les entrées de presque chaque champ dans la notification de 24 heures.
Ce que contient le bundle gratuit
Le Bundle NIS2 de Préparation aux Incidents comprend :
- Modèles de notification de 24h, 72h et 1 mois en allemand et en anglais (.docx)
- Exercice tabletop avec trois scénarios scénarisés (ransomware, violation de données, DDoS soutenu), fiches de rôle et injections minutées
- Feuille de travail horloge de sensibilisation documentant les horodatages de détection, triage et escalade
- Journal de communications internes + fiche de décision pour capturer qui a approuvé la notification et quand
- Carte de champs format CSIRT faisant la cross-référence des exigences de champs BSI, ENISA et CSIRT.NL
Il est gratuit, limité par email, sous licence pour un usage interne illimité, et conçu pour être classé dans votre runbook IR en une après-midi.
FAQ
Quand commence réellement l’horloge des 24 heures de l’Article 23 NIS2 ?
L’horloge commence le moment où votre organisation prend conscience d’un incident significatif — pas quand l’incident a commencé, et pas quand la remédiation se termine. La feuille de travail horloge de sensibilisation du bundle documente l’heure de détection, la décision de triage et le moment où la responsabilité légale de notification commence.
Quel format le BSI attend-il pour la notification d’alerte précoce ?
Le BSI accepte les notifications via le BSI Meldeportal (formulaire en ligne) ou un email structuré. Le modèle .docx du bundle reproduit la mise en page des champs du Meldeportal pour que vous puissiez copier/coller pendant un incident en direct.
Ai-je besoin d’un modèle séparé pour la notification en allemand vs. en anglais ?
Oui si vous opérez en Allemagne. Le BSI accepte les notifications en allemand, et la plupart des communications CSIRT allemandes sont en allemand par défaut. Le bundle inclut des versions DE et EN des trois modèles de calendrier.
Et si mon évaluation de 24 heures s’avère incorrecte ?
L’Article 23 permet explicitement que les évaluations préliminaires soient révisées dans les notifications de 72 heures et d’1 mois. Ce qu’il ne permet pas, c’est le silence entre les dépôts, ou un rapport d’1 mois qui contredit le dépôt de 24 heures sans explication.
L’exercice tabletop est-il prescriptif ou ouvert ?
Chaque scénario dure ~90 minutes avec un script de modérateur, des fiches de rôle et des injections minutées. La sortie est un brouillon de notification de 24 heures rempli — vous terminez la session avec un artefact, pas seulement un débriefing.
La date limite d’enforcement NIS2 d’octobre 2026 est dans six mois. La première vague d’actions de surveillance ciblera les défaillances procédurales — lacunes d’inscription, notifications tardives, documentation manquante — car ce sont les défaillances que les auditeurs peuvent établir sans investigation technique approfondie. Le processus de notification de 24 heures est l’élément le plus procédural de toute la directive.
Lancez un scan SaaSFort gratuit — 66 vérifications, note A-F, PDF de conformité NIS2 en 60 secondes. Associez la baseline de scan à cet exercice de notification d’incident et votre autorité de surveillance voit des preuves à la fois de posture et de préparation. Téléchargez notre SaaS Security Playbook 2026 gratuit pour le cadre complet. Companion : comment remplir l’auto-audit NIS2 Article 21.
Dalla lettura all'azione
Scansionate il vostro dominio gratuitamente. Primi risultati in meno di 10 secondi — senza registrazione.