Exigence organisationnelle

Gestion des incidentsCe qu’exigent NIS 2, DORA, le RGPD et ISO 27001

Un incident de cybersécurité ne prévient pas. Qu’il s’agisse d’une intrusion, d’un rançongiciel, d’une fuite de données ou d’une indisponibilité prolongée d’un service critique, les premières heures sont décisives. La capacité d’une organisation à détecter rapidement un incident, à le qualifier, à le contenir et à en notifier les autorités compétentes dans les délais légaux conditionne directement l’ampleur des dommages et les risques de sanction.

Contactez nos experts
Définition

Qu’est-ce que la gestion des incidents cyber ?

Selon l’ANSSI, la sortie de crise après un incident cyber majeur peut prendre plusieurs mois, entre la réponse technique, l’investigation numérique et la remédiation. C’est précisément pour éviter d’en arriver là qu’une procédure de gestion des incidents documentée, testée et connue de tous est indispensable, bien avant que l’incident ne survienne.

La gestion des incidents est aujourd’hui une exigence explicite de la quasi-totalité des référentiels de cybersécurité : ISO 27001, NIS 2, DORA, RGPD, HDS, LPM… et les délais de notification aux autorités se comptent désormais en heures, pas en jours. DSI, RSSI, responsables conformité ou membres de la direction : cette page vous présente les exigences clés d’un processus de gestion des incidents conforme, les outils de détection à mettre en place, et les obligations de notification qui s’imposent à votre organisation.

La gestion des incidents cyber désigne l’ensemble des processus, des outils et des responsabilités qui permettent à une organisation de détecter, qualifier, contenir, éradiquer et tirer les enseignements d’un incident de sécurité informatique. Elle couvre le cycle de vie complet de l’incident, de sa détection jusqu’au retour d’expérience qui permettra d’améliorer la posture de sécurité.

Un incident de sécurité se caractérise par tout événement compromettant la confidentialité, l’intégrité ou la disponibilité des systèmes d’information ou des données d’une organisation. Cela inclut les cyberattaques délibérées, les violations de données, les défaillances techniques ayant un impact sur la sécurité, ou encore les comportements anormaux détectés sur le système d’information.

Selon le glossaire de l’ANSSI, la gestion d’un incident s’articule autour de plusieurs actions séquentielles :

  • La détection : identification des événements de sécurité suspects au sein du système d’information
  • L’alerte : notification interne aux équipes compétentes dès la détection d’un incident potentiel
  • L’endiguement : actions immédiates visant à contenir l’ampleur de l’incident et à limiter sa propagation
  • L’éradication : recherche et neutralisation des emprises résiduelles de l’attaquant dans le système
  • La remédiation : restauration d’un état sain et sécurisé du système d’information
  • Le retour d’expérience : analyse post-incident pour améliorer les mesures de sécurité en place

Pourquoi la gestion des incidents est-elle stratégique ?

Une gestion des incidents bien structurée produit des bénéfices concrets et mesurables pour l’organisation :

  • Elle réduit significativement le temps de détection et de réponse, limitant ainsi l’impact financier et opérationnel de l’incident
  • Elle permet de respecter les délais légaux de notification aux autorités, évitant ainsi les sanctions réglementaires
  • Elle préserve les preuves numériques nécessaires aux investigations et aux éventuelles procédures judiciaires
  • Elle renforce la confiance des clients, partenaires et régulateurs dans la capacité de l’organisation à gérer les crises
  • Elle alimente un processus d’amélioration continue de la sécurité, chaque incident devenant une source d’apprentissage
L’essentiel

Les points de contrôle communs

Une gestion des incidents conforme aux standards reconnus repose sur cinq piliers fondamentaux.

  1. Une procédure documentée de gestion des incidents

    La première exigence est l’existence d’une procédure écrite, validée par la direction, qui définit clairement comment l’organisation détecte, qualifie, traite et clôture un incident de sécurité. Cette procédure doit préciser les rôles et responsabilités de chaque acteur, les critères de classification des incidents, les canaux de communication internes et externes, et les modalités de notification aux autorités compétentes.

    La norme ISO 27001:2022 (contrôles A.5.24 à A.5.28) impose explicitement la mise en place d’une telle procédure, incluant la planification et la préparation de la réponse aux incidents, leur évaluation, leur traitement et leur analyse post-incident.

  2. Une capacité de détection adaptée (SIEM, SOC, EDR)

    Impossible de gérer un incident que l’on n’a pas détecté. La capacité de détection est le premier maillon de la chaîne. Elle repose sur un ensemble de dispositifs techniques et organisationnels :

    • Le SIEM (Security Information and Event Management) : collecte et corrèle les événements de sécurité issus de l’ensemble du système d’information pour identifier les comportements anormaux
    • Le SOC (Security Operations Center) : centre opérationnel de surveillance qui assure une veille continue sur le système d’information et coordonne la réponse aux incidents
    • L’EDR (Endpoint Detection and Response) : solution de détection et de réponse déployée sur les postes de travail et serveurs pour identifier les comportements malveillants au niveau des terminaux

    Le CERT-FR, entité gouvernementale française rattachée à l’ANSSI, opère lui-même un service de supervision de sécurité (SOC) pour les services de l’État et assure une veille permanente sur les vulnérabilités, la détection humaine et incidents affectant le territoire national.

  3. La classification et la priorisation des incidents

    Tous les incidents ne se valent pas. Une classification rigoureuse permet de prioriser les ressources et d’adapter la réponse à la gravité de la situation. Les critères de classification incluent généralement l’impact sur la confidentialité, l’intégrité et la disponibilité des données, le nombre de systèmes ou d’utilisateurs affectés, la criticité des services touchés, et le caractère délibéré ou accidentel de l’incident.

    Cette classification détermine également les obligations de notification : certains incidents doivent être déclarés aux autorités dans des délais très courts, qui se comptent désormais en heures.

  4. La notification aux autorités dans les délais légaux

    C’est l’une des exigences les plus contraignantes de la réglementation actuelle. Les délais de notification varient selon le référentiel applicable, mais ils sont tous très courts et leur non-respect expose à des sanctions significatives.

  5. Le retour d’expérience et l’amélioration continue

    Chaque incident est une opportunité d’apprentissage. L’ANSSI recommande systématiquement la réalisation d’un retour d’expérience (REX) après tout incident significatif. Ce retour d’expérience permet d’identifier les causes profondes de l’incident, d’évaluer l’efficacité de la réponse apportée, de mettre à jour la procédure de gestion des incidents, et d’alimenter le processus d’amélioration continue du SMSI.

À savoir

Les délais réglementaires de notification : ce que vous devez savoir

La multiplication des référentiels réglementaires a introduit des obligations de notification aux délais très stricts. Voici les principales échéances à connaître et à intégrer dans votre procédure de gestion des incidents.

  1. NIS 2 : 24h, 72h, 1 mois

    L’article 23 de la directive NIS 2 impose un régime de notification en trois temps pour les entités essentielles et importantes (différenciant de niveau selon les entités) :

    • Alerte précoce dans les 24 heures suivant la détection d’un incident significatif
    • Notification complète dans les 72 heures avec une évaluation initiale de l’incident, de sa gravité et de son impact
    • Rapport final dans un délai d’un mois après la notification initiale, incluant une description détaillée de l’incident, de ses causes et des mesures correctives prises

  2. RGPD : 72h à la CNIL, et notification aux personnes concernées

    Les articles 33 et 34 du RGPD imposent deux niveaux d’obligation en cas de violation de données personnelles :

    • Notification à la CNIL dans les 72 heures suivant la constatation de la violation, si celle-ci est susceptible d’engendrer un risque pour les droits et libertés des personnes concernées
    • Notification aux personnes concernées dans les meilleurs délais, lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés

    La notification peut se faire en deux temps : une notification initiale dans les 72 heures, complétée par une notification complémentaire lorsque des informations supplémentaires sont disponibles.

  3. DORA : 4h de classification, rapport final sous 1 mois

    Pour les entités du secteur financier, le règlement DORA (articles 17 à 23) impose un processus de notification encore plus exigeant :

    • Notification initiale dans les 4 heures suivant la classification d’un incident comme majeur
    • Rapport intermédiaire fournissant une évaluation détaillée de l’incident et de son impact
    • Rapport final dans un délai d’un mois après la notification initiale

    Les critères de classification des incidents majeurs incluent l’impact sur des services critiques, le nombre de clients affectés, la durée de l’incident et ses conséquences économiques.

  4. LPM / OIV : déclaration à l’ANSSI

    Les Opérateurs d’Importance Vitale sont soumis à une obligation de déclaration des incidents affectant leurs Systèmes d’Information d’Importance Vitale (SIIV) directement auprès de l’ANSSI. Les formulaires de déclaration doivent être transmis par voie postale ou via des moyens de communication électronique sécurisés. Les informations collectées par l’ANSSI dans ce cadre sont strictement confidentielles.

Cartographie croisée

Ce qu’en disent les référentiels

La gestion des incidents est l’une des familles d’exigences les plus transversales de l’ensemble des référentiels de cybersécurité. En structurant une seule fois ce processus, notamment via ISO 27001, vous progressez simultanément sur l’ensemble de vos obligations réglementaires.

Obligation explicite Exigence partielle Recommandation / implicite
Questions fréquentes

Gestion des incidents en 4 questions

Quel est le processus de gestion des incidents cyber ?

Un processus complet de gestion des incidents cyber comprend six phases : la détection de l’événement de sécurité, sa qualification et sa classification, l’endiguement pour limiter sa propagation, l’éradication des emprises de l’attaquant, la remédiation et la restauration d’un état sain, puis le retour d’expérience. Chaque phase doit être documentée et des responsables clairement désignés pour chacune d’entre elles.

Quelles sont les 4 phases d’une gestion de crise cyber selon l’ANSSI ?

L’ANSSI structure la gestion de crise cyber autour de quatre dimensions : l’anticipation (préparation des plans et des équipes avant l’incident), la réponse technique (détection, endiguement, éradication), la gestion stratégique et la communication (coordination des décideurs et information des parties prenantes), et la remédiation (restauration durable du système d’information et retour d’expérience).

Que risque-t-on en cas de non-notification d’un incident dans les délais ?

Les sanctions varient selon le référentiel. Sous NIS 2, elles peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles. Sous RGPD, la CNIL peut prononcer des sanctions administratives et des astreintes. Sous DORA, les autorités compétentes (ACPR, AMF) peuvent imposer des mesures correctives et des sanctions financières.

Faut-il tester sa procédure de gestion des incidents ?

Oui, et c’est une exigence de plusieurs référentiels. L’ANSSI met à disposition des kits d’exercices de gestion de crise cyber pour différents secteurs (collectivités, enseignement supérieur…). PCI DSS v4 impose un test annuel du plan de réponse aux incidents. DORA impose des tests réguliers de résilience opérationnelle. Ces exercices permettent d’identifier les lacunes avant qu’un incident réel ne les révèle.

Pourquoi nous faire confiance ?

La valeur ajoutée de Fidens pour votre cybersécurité

Faire appel à Fidens pour votre démarche ISO/IEC 27001, c’est choisir un partenaire expert qui vous accompagne à chaque étape, de la mise en place de votre Système de Management de la Sécurité de l’Information (SMSI) à la pérennisation de votre certification. Grâce à nos consultants expérimentés, nos outils performants comme APOS, et notre approche sur-mesure, nous vous aidons à sécuriser vos informations, renforcer votre conformité, et optimiser vos processus internes.

Avec Fidens, vous ne faites pas qu’obtenir une certification, vous transformez la sécurité de l’information en un véritable levier stratégique pour protéger vos actifs, renforcer la confiance de vos parties prenantes et anticiper les menaces de demain. Contactez-nous dès aujourd’hui pour faire de votre certification un gage de succès durable.

40 Consultants experts Travaillez avec des spécialistes reconnus de la cybersécurité des SI, qui sont certifiés Lead Auditor, Lead Implementor et OSCP.
360° Offre Cyber complète Conseil en gouvernance, audits fonctionnels et techniques, solutions logicielles SMSI et formations.
+3000 Missions réalisées Bénéficiez de retours d'expérience complets et adoptez une approche pragmatique pour votre cybersécurité.

Contactez nos experts cybersécurité