\u00c0 partir du 11 septembre 2026, l’obligation de notification pr\u00e9vue \u00e0 l’art. 14 du Cyber Resilience Act s’appliquera. Les fabricants de produits comportant des \u00e9l\u00e9ments num\u00e9riques devront d\u00e8s lors notifier les vuln\u00e9rabilit\u00e9s activement exploit\u00e9es et les incidents graves, avec un avertissement pr\u00e9coce dans les vingt-quatre heures et une notification dans les septante-deux heures. Un r\u00e9gime de notification suppl\u00e9mentaire s’ajoute ainsi \u00e0 un paysage o\u00f9 une notification est d\u00e9j\u00e0 requise au titre de NIS2, du RGPD et, pour le secteur financier, de DORA. Le nombre d’obligations de notification cro\u00eet plus vite que leur articulation mutuelle, et l’entreprise qui constate un incident doit d\u00e9terminer elle-m\u00eame lesquels de ces r\u00e9gimes elle d\u00e9clenche simultan\u00e9ment.<\/p>\n\n\n\n
Trois r\u00e9gimes, trois qualifications distinctes<\/strong><\/p>\n\n\n\n Supposons que le syst\u00e8me de planification des ressources de l’entreprise (ERP) d’une soci\u00e9t\u00e9 belge tombe enti\u00e8rement en panne, alors qu’il h\u00e9berge sa facturation, sa comptabilit\u00e9, sa gestion des stocks ainsi que les applications de planification de la production et de gestion des entrep\u00f4ts. La gestion de cet environnement est confi\u00e9e \u00e0 un prestataire ICT externe, qui signale une activit\u00e9 suspecte et ouvre une enqu\u00eate. \u00c0 ce stade, il n’est pas encore \u00e9tabli qu’il y ait un incident, ni donc que des d\u00e9lais aient commenc\u00e9 \u00e0 courir. L’horloge ne d\u00e9marre que lorsque l’entreprise sait, avec une certitude raisonnable, qu’un incident s’est produit, et ce s\u00e9par\u00e9ment sous chaque cadre applicable. Sous la loi NIS2, un avertissement pr\u00e9coce doit \u00eatre adress\u00e9 au CCB dans les vingt-quatre heures, suivi de la notification de l’incident dans les septante-deux heures et du rapport final dans le mois. Sous le RGPD, un d\u00e9lai de septante-deux heures s’applique pour la notification \u00e0 l’Autorit\u00e9 de protection des donn\u00e9es, \u00e0 compter de la prise de connaissance de la violation de donn\u00e9es \u00e0 caract\u00e8re personnel. Pour une entit\u00e9 financi\u00e8re soumise \u00e0 DORA, ce d\u00e9lai est de quatre heures apr\u00e8s la classification de l’incident comme grave, et en tout \u00e9tat de cause de vingt-quatre heures apr\u00e8s la prise de connaissance.<\/p>\n\n\n\n Un seul et m\u00eame ensemble de faits peut ainsi d\u00e9clencher plusieurs obligations de notification, chacune assortie de sa propre d\u00e9finition, de son propre seuil, de son propre d\u00e9lai et de sa propre autorit\u00e9 comp\u00e9tente. Un incident est important lorsqu’il satisfait aux crit\u00e8res de l’art. 23, \u00a7 3, de la directive NIS2, transpos\u00e9 \u00e0 l’art. 34 de la loi belge du 26 avril 2024 \u00e9tablissant un cadre pour la cybers\u00e9curit\u00e9 des r\u00e9seaux et des syst\u00e8mes d’information d’int\u00e9r\u00eat g\u00e9n\u00e9ral pour la s\u00e9curit\u00e9 publique. Une violation de donn\u00e9es \u00e0 caract\u00e8re personnel s’appr\u00e9cie au regard de l’art. 4, 12), RGPD et des art. 33 et 34 RGPD. Pour le secteur financier, l’obligation de notification est d\u00e9clench\u00e9e lorsqu’un incident grave li\u00e9 aux TIC survient au sens de l’art. 3, 10), j\u00b0 art. 19 DORA.<\/p>\n\n\n\n Ces qualifications se recoupent sur le fond mais ne sont pas identiques, et ne peuvent donc pas \u00eatre assimil\u00e9es l’une \u00e0 l’autre. Une attaque par ransomware qui perturbe gravement la prestation de services peut constituer un incident important au sens de NIS2 sans pour autant entra\u00eener une obligation de notification au titre du RGPD. Il est ainsi possible qu’aucune donn\u00e9e \u00e0 caract\u00e8re personnel n’ait \u00e9t\u00e9 touch\u00e9e – hypoth\u00e8se rare en pratique, d\u00e8s lors que le simple chiffrement de donn\u00e9es \u00e0 caract\u00e8re personnel peut d\u00e9j\u00e0 constituer une violation – mais que cette violation ne pr\u00e9sente vraisemblablement pas de risque pour les droits et libert\u00e9s des personnes concern\u00e9es, par exemple lorsqu’une sauvegarde ad\u00e9quate existait, que l’interruption de service est rest\u00e9e limit\u00e9e et qu’aucune exfiltration n’a eu lieu. Inversement, un acc\u00e8s non autoris\u00e9 \u00e0 des donn\u00e9es \u00e0 caract\u00e8re personnel peut constituer une violation au sens du RGPD sans que l’impact op\u00e9rationnel n’atteigne le seuil de NIS2. Chaque r\u00e9gime applicable requiert une appr\u00e9ciation distincte des m\u00eames faits.<\/p>\n\n\n\n Pour les entit\u00e9s financi\u00e8res, DORA s’applique comme lex specialis par rapport \u00e0 NIS2, de sorte que l’obligation de notification NIS2 ne s’applique pas \u00e0 ces entit\u00e9s et qu’une notification DORA suffit (art. 1er, \u00a7 2, DORA, j\u00b0 art. 4 de la directive NIS2). Cet avantage cumulatif ne vaut pas \u00e0 l’\u00e9gard du RGPD, ni \u00e0 l’\u00e9gard d’autres r\u00e9gimes. Si, par exemple, cet \u00e9tablissement financier utilise un syst\u00e8me d’IA \u00e0 haut risque pour son \u00e9valuation de la solvabilit\u00e9, un incident grave au sens du r\u00e8glement IA entra\u00eenera \u00e9galement une notification \u00e0 l’autorit\u00e9 de surveillance du march\u00e9. \u00c0 partir du 11 septembre 2026, s’y ajoutera, pour les fabricants de produits comportant des \u00e9l\u00e9ments num\u00e9riques, la cascade de notification de l’art. 14 du Cyber Resilience Act.<\/p>\n\n\n\n Le point de d\u00e9part du d\u00e9lai est, en pratique, l’aspect le plus sensible. Ce qui est d\u00e9terminant n’est pas le moment o\u00f9 l’attaquant a p\u00e9n\u00e9tr\u00e9 dans l’infrastructure ICT de l’entreprise, mais le moment o\u00f9 l’entreprise a su, avec une certitude raisonnable, qu’un incident s’\u00e9tait produit. Le CCB retient cette lecture dans son NIS2 Notification Guide v1.3 (titre A4), et le Comit\u00e9 europ\u00e9en de la protection des donn\u00e9es (\u00ab CEPD \u00bb) applique une logique similaire sous le RGPD dans ses lignes directrices 9\/2022 (\u00a7 31).<\/p>\n\n\n\n D\u00e8s que des \u00e9tablissements situ\u00e9s dans plusieurs \u00c9tats membres sont touch\u00e9s, se pose la question de savoir quelle autorit\u00e9 doit \u00eatre inform\u00e9e. La r\u00e9ponse varie selon le r\u00e9gime juridique concern\u00e9 (RGPD\/NIS2\/DORA, etc.).<\/p>\n\n\n\n Sous le RGPD, un m\u00e9canisme de guichet unique existe bel et bien. Le crit\u00e8re d\u00e9terminant est de savoir si le traitement sous-jacent (et donc pas n\u00e9cessairement l’incident lui-m\u00eame) rev\u00eat un caract\u00e8re transfrontalier au sens de l’art. 4, 23), RGPD, l’autorit\u00e9 de contr\u00f4le chef de file \u00e9tant ensuite d\u00e9termin\u00e9e sur la base de l’\u00e9tablissement principal au sens de l’art. 4, 16), RGPD. Dans les structures de groupe complexes, cette appr\u00e9ciation repose sur le pouvoir de d\u00e9cision effectif quant aux finalit\u00e9s et aux moyens du traitement, et l’entreprise doit \u00eatre en mesure d’\u00e9tayer sa qualification.<\/p>\n\n\n\n NIS2 part d’une logique de comp\u00e9tence diff\u00e9rente. En vertu de l’art. 26, \u00a7 1er, de la directive, une entit\u00e9 rel\u00e8ve en principe de la juridiction de l’\u00c9tat membre dans lequel elle est \u00e9tablie, avec des crit\u00e8res de rattachement particuliers notamment pour les fournisseurs de services d’informatique en nuage et de services g\u00e9r\u00e9s. Un impact transfrontalier n’implique pas que la m\u00eame notification doive \u00eatre introduite aupr\u00e8s de chaque autorit\u00e9 concern\u00e9e. La directive appr\u00e9hende cette dimension au moyen d’un \u00e9change d’informations entre les autorit\u00e9s nationales et les CSIRT.<\/p>\n\n\n\n La proposition d’omnibus num\u00e9rique du 19 novembre 2025 (COM(2025) 837 final) entend instaurer un point d’entr\u00e9e unique europ\u00e9en pour certaines notifications d’incidents, ce qui signifierait qu’une entit\u00e9 n’introduirait un incident qu’une seule fois au niveau de l’UE, celui-ci \u00e9tant ensuite transmis aux autorit\u00e9s nationales comp\u00e9tentes. Tant que ce texte n’est toutefois pas adopt\u00e9, la proc\u00e9dure de r\u00e9ponse aux incidents ne peut s’appuyer dessus.<\/p>\n\n\n\n Tout ce qui pr\u00e9c\u00e8de suppose que l’entreprise connaisse les faits. Dans un environnement externalis\u00e9 faisant appel \u00e0 plusieurs prestataires IT, c’est rarement le cas. L’obligation l\u00e9gale repose sur l’entit\u00e9 elle-m\u00eame et ne peut \u00eatre externalis\u00e9e, pas m\u00eame \u00e0 un conseiller externe ou \u00e0 un prestataire IT. Il est d\u00e8s lors important que l’entreprise fasse r\u00e9percuter ses propres obligations l\u00e9gales et contractuelles dans la cha\u00eene de prestataires IT dont elle d\u00e9pend.<\/p>\n\n\n\n Concr\u00e8tement, cela implique, premi\u00e8rement, un d\u00e9lai de notification contractuel aupr\u00e8s du prestataire qui soit sensiblement plus court que le d\u00e9lai l\u00e9gal propre de l’entreprise. Selon le CCB, les proc\u00e9dures internes ne peuvent engendrer de retard injustifi\u00e9 dans les notifications d’incidents NIS2. L’art. 33, \u00a7 2, RGPD ne fixe aucun d\u00e9lai concret pour le sous-traitant, de sorte que c’est en r\u00e9alit\u00e9 la clause contractuelle qui d\u00e9termine si le responsable du traitement respecte ses propres septante-deux heures.<\/p>\n\n\n\n Deuxi\u00e8mement, la conservation des journaux, la pr\u00e9servation des preuves et une obligation de collaboration ex\u00e9cutoire \u00e0 l’enqu\u00eate forensique, de pr\u00e9f\u00e9rence sous la forme d’une clause distincte, \u00e0 c\u00f4t\u00e9 de la clause d’audit ordinaire. Une crise exige des d\u00e9lais de r\u00e9action et des droits d’acc\u00e8s diff\u00e9rents de ceux d’un audit de routine. Les clauses qui limitent les moyens de preuve de l’autre partie figurent d’ailleurs sur la liste grise de l’art. VI.91\/5, 7\u00b0, CDE.<\/p>\n\n\n\n Troisi\u00e8mement, la localisation des donn\u00e9es et l’acc\u00e8s des autorit\u00e9s publiques, avec une obligation d’information pr\u00e9alable \u00e0 toute modification et une r\u00e9ponse encadr\u00e9e aux injonctions \u00e9manant d’autorit\u00e9s (de pays tiers).<\/p>\n\n\n\n Quatri\u00e8mement, le r\u00e9gime de sortie, dont le fondement l\u00e9gal s’est entre-temps consid\u00e9rablement renforc\u00e9. Le chapitre VI du r\u00e8glement sur les donn\u00e9es (art. 23 \u00e0 31 du r\u00e8glement (UE) 2023\/2854) conf\u00e8re aux clients de services de traitement de donn\u00e9es des droits de changement de prestataire opposables et affecte \u00e9galement les contrats cloud existants. Les frais de changement de prestataire seront interdits \u00e0 partir du 12 janvier 2027.<\/p>\n\n\n\n D\u00e9terminez et documentez les r\u00e9gimes dont rel\u00e8vent vos entit\u00e9s, qui est responsable du traitement pour quel traitement, et quelle autorit\u00e9 est comp\u00e9tente dans quel \u00c9tat membre. R\u00e9visez les clauses de notification, de conservation des journaux, de collaboration forensique et de sortie dans vos contrats avec les prestataires de services g\u00e9r\u00e9s (managed service providers), et alignez-les sur les d\u00e9lais de notification pr\u00e9vus dans vos contrats clients.<\/p>\n\n\n\n Auteurs<\/strong><\/p>\n\n\n\n Edwin Jacobs<\/a>, Lotte De Graeve<\/a><\/p>\n","protected":false},"excerpt":{"rendered":" \u00c0 partir du 11 septembre 2026, l’obligation de notification pr\u00e9vue \u00e0 l’art. 14 du Cyber Resilience Act s’appliquera. Les fabricants de produits comportant des \u00e9l\u00e9ments num\u00e9riques devront d\u00e8s lors notifier les vuln\u00e9rabilit\u00e9s activement exploit\u00e9es et les incidents graves, avec un avertissement pr\u00e9coce dans les vingt-quatre heures et une notification dans les septante-deux heures. Un r\u00e9gime […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[62],"tags":[],"class_list":["post-11480","post","type-post","status-publish","format-standard","hentry","category-partnerblog-fr"],"blocksy_meta":{"styles_descriptor":{"styles":{"desktop":"","tablet":"","mobile":""},"google_fonts":[],"version":8}},"acf":[],"yoast_head":"\nL’horloge d\u00e9marre \u00e0 la certitude raisonnable, pas \u00e0 la certitude forensique<\/h2>\n\n\n\n
Cyberincident transfrontalier<\/h2>\n\n\n\n
Contrat avec le prestataire IT<\/h2>\n\n\n\n
Ce que cela signifie pour votre pratique<\/h2>\n\n\n\n