le client demande à quelle vitesse nous leur signalerions une fuite de données

Trois délais de notification dans 72 heures, pas un seul

Le client demande un délai de notification, mais l'article 21 paragraphe 2 de NIS2 ne prévoit pas un seul délai — c'est une série de trois moments. Dans les 24 heures suivant la découverte d'un incident grave, un avertissement précoce est adressé à l'autorité compétente ou à l'CSIRT. Dans les 72 heures, suit une notification plus détaillée avec une première évaluation de la gravité et de l'impact. Et dans un mois après traitement, suit un rapport final avec la cause, les mesures prises et les effets transfrontières. Si le questionnaire pose simplement « dans combien d'heures signalez-vous une fuite de données », la réponse est en fait triple, et vous pouvez aussi la remplir ainsi : pas un seul chiffre, mais les trois étapes avec leur propre délai.

Détail important : ces délais s'appliquent aux entités qui relèvent elles-mêmes de la directive, et l'obligation de notification s'adresse à leur propre autorité de contrôle — pas automatiquement au client qui envoie le questionnaire. Le fait que l'entreprise elle-même soit une telle entité assujettie à l'obligation de notification dépend du secteur et de la taille ; cela est décrit dans l'entreprise elle-même est-elle soumise à la directive NIS2 ou à sa transposition nationale». Ce que le client veut généralement savoir, c'est s'il existe une procédure interne qui respecte ce genre de délais — c'est un point différent de l'obligation légale de notification aux autorités, et est traité séparément dans la mise en place d'une procédure de traitement des incidents de sécurité.

Où cela figure dans la directive : article 21 paragraphe 2, point b

Les trois délais de notification — 24 heures, 72 heures, un mois — découlen directement de l'article 21 paragraphe 2 point b de la Directive (UE) 2022/2555. La loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet) transpose cette obligation dans le droit national et entre en vigueur le 15 août 2026 ; jusqu'à cette date, la directive elle-même est la source, après cette date le texte de loi tel que publié sur wetten.overheid.nl.