Plan de réponse aux incidents pour la conformité au RGPD et à la directive NIS 2

Un plan de réponse aux incidents est le processus documenté qu'une organisation utilise pour détecter, évaluer, contenir, signaler et se remettre d'un incident de cybersécurité.

C'est ce qui transforme une alerte de sécurité incertaine en action coordonnée. C'est ce qui permet au responsable de traitement d'évaluer une violation de données personnelles avant l'expiration du délai de notification à la CNIL. C'est ainsi qu'une entité essentielle ou importante se prépare aux obligations de signalement échelonnées prévues par la directive NIS 2. C'est ce qui permet d'aligner le confinement technique, les décisions juridiques, la continuité d'activité et la communication publique lorsque les informations fiables restent limitées.

À 8h15, une entreprise française découvre qu'un rançongiciel a verrouillé son portail client, ses serveurs de fichiers internes et les dossiers de ses salariés. Les attaquants affirment avoir copié des données personnelles avant le chiffrement. Les équipes techniques tentent de contenir l'intrusion pendant que le DPO calcule le délai RGPD, que la direction évalue la perturbation du service, et que les conseillers juridiques déterminent si l'événement pourrait également relever de la directive NIS 2.

Dans cet article, vous apprendrez comment construire un plan de réponse aux incidents en France que les organisations peuvent utiliser pour la conformité au RGPD et à NIS 2, y compris le déroulement de la réponse, les délais de signalement, les rôles, les niveaux de gravité, les règles de communication, les exigences de documentation, les méthodes de test et un modèle de plan reproductible.

Qu'est-ce qu'un plan de réponse aux incidents ?

Un plan de réponse aux incidents définit la manière dont une organisation se prépare et gère les événements qui menacent la confidentialité, l'intégrité, la disponibilité ou l'authenticité de ses systèmes, services et informations. Il explique comment les salariés signalent une activité suspecte, qui confirme l'existence d'un incident, comment l'événement est classé, quelles actions de confinement sont autorisées et qui décide si les régulateurs, les clients ou les personnes concernées doivent être informés.

Le plan va au-delà d'un simple manuel technique. Un manuel de réponse au rançongiciel peut indiquer aux analystes comment isoler les appareils infectés, bloquer l'infrastructure malveillante et restaurer des sauvegardes saines. Le plan de réponse aux incidents coordonne ce travail avec l'évaluation de la protection des données, la revue juridique, la gestion des fournisseurs, la continuité d'activité, les décisions de la direction et la communication.

Un plan solide doit répondre à six questions sans obliger l'équipe de réponse à fouiller dans une politique interminable : Que s'est-il passé ? Qu'est-ce qui est affecté ? Qui est aux commandes ? Que doit-il se passer ensuite ? Quels délais réglementaires ont commencé à courir ? Quelles preuves soutiennent chaque décision ?

Le besoin de cette rigueur ne cesse de croître. La CNIL a reçu 6 167 notifications de violations de données personnelles en 2025, et une notification sur deux concernait un piratage. L'autorité a également indiqué que l'implication de prestataires était une caractéristique récurrente des violations majeures.

Pourquoi le RGPD et NIS 2 imposent une planification de la réponse aux incidents

Le RGPD et NIS 2 n'imposent pas à chaque organisation d'utiliser un document portant exactement ce titre, mais leurs obligations rendent nécessaire un processus de réponse organisé.

En vertu de l'article 32 du RGPD, les responsables de traitement et les sous-traitants doivent appliquer des mesures de sécurité adaptées au risque, y compris une capacité de restauration et des tests réguliers. Les articles 33 et 34 exigent l'évaluation de la violation, sa documentation, la notification à l'autorité de contrôle et, en cas de risque élevé, la communication aux personnes concernées. Ces obligations dépendent de rôles définis à l'avance et d'un accès rapide à des informations fiables. Le texte juridique est disponible dans le Règlement général sur la protection des données.

NIS 2 a une portée opérationnelle plus large. L'article 21 couvre la gestion des incidents, la continuité, la gestion de crise, la sauvegarde, la reprise, la sécurité de la chaîne d'approvisionnement et les tests. L'article 23 établit un signalement échelonné pour les incidents importants, tandis que les organes de direction doivent approuver et superviser les mesures de gestion des risques de cybersécurité. L'ensemble des exigences figure dans la Directive NIS 2.

Pour la France, le calendrier est important. Au 3 août 2026, l'ANSSI décrivait toujours la transposition nationale de NIS 2 comme étant en cours, et le ReCyF restait un document de travail. Les organisations doivent se préparer en s'appuyant sur la directive tout en vérifiant la législation française définitive, les seuils, les procédures des autorités et les outils de signalement au fur et à mesure de leur adoption.

RGPD et NIS 2 : quelle différence entre les exigences ?

Une même attaque peut déclencher une obligation de notification au titre du RGPD, de NIS 2, des deux régimes ou d'aucun. L'équipe de réponse doit appliquer chaque test juridique séparément.

Une violation de données personnelles au sens du RGPD est une violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à celles-ci. La question centrale est le risque créé pour les droits et libertés des personnes. Une violation peut concerner la confidentialité, l'intégrité ou la disponibilité. Un rançongiciel peut donc devenir une violation au sens du RGPD même en l'absence d'extraction confirmée, dès lors que les données personnelles deviennent indisponibles et que cette perte de disponibilité crée un risque.

Un incident important au sens de NIS 2 est évalué en fonction de son effet sur les services d'une entité essentielle ou importante. Il est important s'il a causé ou peut causer une perturbation opérationnelle grave ou une perte financière pour l'entité, ou s'il a affecté ou peut affecter d'autres personnes ou organisations par un préjudice matériel ou immatériel considérable. Les données personnelles n'ont pas besoin d'être impliquées.

La distinction est importante pendant un cyberincident. Un e-mail mal adressé contenant des données salariales de salariés peut nécessiter une évaluation RGPD mais est peu susceptible de devenir un incident important au sens de NIS 2. Une attaque par déni de service qui interrompt un service numérique critique peut déclencher un signalement NIS 2 même lorsque les données personnelles restent protégées. Un rançongiciel qui expose des données clients et perturbe des opérations essentielles peut déclencher les deux.

Le déroulement de la réponse aux incidents

Le déroulement doit être suffisamment simple pour être suivi sous pression et suffisamment détaillé pour préserver la responsabilisation.

La préparation établit les rôles, les contacts, les outils et l'autorité de décision. La détection identifie les comportements suspects grâce à la surveillance, aux signalements des salariés, aux notifications des fournisseurs ou aux réclamations des clients. L'escalade interne porte l'événement à la connaissance du responsable de l'incident et des spécialistes concernés. Le tri établit ce qui est connu, ce qui est affecté et si l'événement est toujours en cours.

La classification de gravité détermine le niveau de réponse. Le confinement limite les dommages supplémentaires tout en préservant les preuves. L'évaluation réglementaire se déroule en parallèle du travail technique, et non après celui-ci. La notification est effectuée dès que le seuil légal pertinent est atteint. L'éradication supprime l'accès malveillant et les failles sous-jacentes. La reprise restaure les systèmes dans un ordre maîtrisé. La revue identifie les causes profondes et attribue les actions correctives.

Une erreur fréquente consiste à traiter la notification comme la dernière étape, après le travail d'investigation. Les délais RGPD et NIS 2 peuvent expirer alors que l'investigation est encore en cours. Le plan doit permettre un rapport initial fondé sur les faits confirmés et identifiant clairement les lacunes.

Que doit contenir un plan de réponse aux incidents ?

Le plan doit commencer par son objectif, son périmètre, son propriétaire, son autorité d'approbation et sa date de révision. Le périmètre doit identifier les entités couvertes, les systèmes, les services, les traitements de données personnelles et les fournisseurs critiques. Les définitions doivent distinguer un événement de sécurité, un cyberincident, une violation de données personnelles, un incident important au sens de NIS 2 et une crise d'entreprise.

Les critères d'activation doivent préciser qui peut déclarer un incident, quand les spécialistes rejoignent l'équipe et quand une gestion de crise au niveau de la direction est nécessaire. Un annuaire de contacts protégé doit inclure les titulaires principaux et suppléants de chaque rôle, car un rançongiciel ou une compromission d'identité peut rendre les systèmes habituels indisponibles.

Le reste du contenu doit couvrir la gravité, l'escalade, l'autorité de confinement, les parcours de décision RGPD et NIS 2, les preuves, la coordination avec les fournisseurs, la communication, l'approbation de la reprise et la revue post-incident. Des manuels détaillés peuvent accompagner des scénarios courants tels que le rançongiciel, la compromission de compte, la fuite de données, les attaques par déni de service et les violations chez un fournisseur.

Comment construire un plan de réponse aux incidents pour le RGPD et NIS 2

1. Établir le périmètre et l'applicabilité juridique

Commencez par identifier les entités juridiques, les services, les systèmes et les activités de traitement couverts par le plan. Consignez où les données personnelles sont stockées, quels services sont critiques, quels pays sont concernés et quels tiers exploitent les technologies clés.

Déterminez quelle entité agit en tant que responsable de traitement ou sous-traitant, si NIS 2 peut s'appliquer et si des règles sectorielles ou des contrats ajoutent des obligations de signalement supplémentaires. Produisez une matrice d'applicabilité reliant chaque service à son autorité et à son responsable de décision interne.

2. Cartographier les systèmes critiques, les données et les dépendances

L'équipe de réponse ne peut pas évaluer rapidement l'impact sans savoir ce que l'actif affecté soutient. Constituez un inventaire actualisé reliant les systèmes aux services métier, aux responsables de l'information, aux catégories de données personnelles, aux priorités de reprise et aux fournisseurs.

Reliez les applications importantes aux services métier, aux responsables des données, aux priorités de reprise et aux fournisseurs. Incluez les dépendances partagées liées à l'identité, à l'accès distant, au cloud et aux services gérés, qui pourraient propager l'impact à plusieurs services.

3. Désigner l'équipe de réponse et les responsables de décision

Désignez le responsable de l'incident avant qu'un incident ne survienne. Ce rôle coordonne les priorités, les réunions, les décisions et les transmissions, mais n'a pas besoin d'exécuter chaque tâche technique.

Attribuez les responsabilités techniques, en matière de protection des données, juridiques, opérationnelles, métier, de communication et de direction, avec un suppléant pour chaque rôle. Précisez qui peut isoler les systèmes, désactiver les comptes, activer la continuité d'activité et soumettre les notifications.

4. Créer des règles de gravité et d'escalade

La gravité doit refléter l'impact technique, opérationnel, sur la protection des données et sur le public. Un modèle à quatre niveaux est généralement suffisant.

Autorisez la reclassification dès que de nouveaux éléments modifient l'impact.

5. Concevoir la détection et le signalement interne

Les salariés, prestataires et fournisseurs ont besoin d'un canal clair pour signaler une activité suspecte. Ce canal doit continuer à fonctionner même lorsque la messagerie ou les outils de collaboration de l'entreprise sont indisponibles.

Recueillez l'identité du déclarant, l'heure, l'actif affecté, le comportement observé et les actions déjà entreprises. Indiquez aux salariés de ne pas supprimer de preuves, de ne pas enquêter seuls et de ne pas contacter l'attaquant. Combinez les alertes de surveillance avec les signalements des salariés, des fournisseurs et des clients.

6. Préparer les procédures de confinement, de preuve et de reprise

L'autorité de confinement doit être définie à l'avance. Les équipes de sécurité peuvent avoir besoin de désactiver des comptes, d'isoler des postes, de bloquer des domaines, de restreindre l'accès distant ou de segmenter un réseau avant même qu'une réunion de la direction puisse se tenir.

Conservez les journaux, les images forensiques, les messages malveillants, les journaux d'audit cloud et les journaux de décision avec une chaîne de conservation claire. Le ReCyF met l'accent sur les registres techniques, l'organisation de crise, la continuité, la reprise, la communication et les exercices. La reprise doit également vérifier que le point d'entrée, les identifiants compromis et la persistance de l'attaquant ont été traités avant la remise en production.

7. Construire les parcours de décision RGPD et NIS 2

Créez des formulaires d'évaluation distincts pour le RGPD et pour NIS 2. Le formulaire RGPD doit recueillir les données affectées, les personnes concernées, le volume d'enregistrements, la sensibilité, les mesures de protection, les conséquences probables et le niveau de risque. Le formulaire NIS 2 doit recueillir la perturbation de service, sa durée, les utilisateurs affectés, l'impact financier, la portée transfrontalière, le préjudice plus large et les indicateurs de compromission.

Consignez l'heure de prise de connaissance, les preuves, la conclusion, l'approbateur et le statut de la notification. Conservez les tests juridiques séparés même lorsque les deux décisions apparaissent sur un même tableau de bord.

8. Préparer les modèles de communication et de notification

Rédigez des modèles à l'avance pour la CNIL, l'autorité NIS 2, les personnes concernées, les salariés, les clients, les fournisseurs et les médias. Les modèles doivent inclure des espaces réservés pour les faits confirmés, les services ou données affectés, les conséquences probables, les mesures de confinement, les coordonnées de contact et les actions de protection.

Séparez les faits confirmés des éléments encore en cours d'investigation. Ne niez pas un accès aux données et ne promettez pas de dates de reprise sans preuve à l'appui.

Les professionnels chargés de construire ces procédures peuvent renforcer leurs compétences grâce à la Formation en réponse aux incidents de cybersécurité, qui couvre la détection des incidents, l'escalade, le confinement, la preuve, la communication, les obligations réglementaires et la reprise.

Processus de notification des violations RGPD et règle des 72 heures de la CNIL

Le processus RGPD commence lorsque l'organisation identifie un incident de sécurité susceptible d'avoir affecté des données personnelles. Le responsable de traitement doit établir si une violation s'est produite, quand il en a eu connaissance, quelles données et personnes sont concernées, et quels risques peuvent en découler.

Un responsable de traitement doit notifier l'autorité de contrôle compétente dans les meilleurs délais et, dans la mesure du possible, dans un délai de 72 heures après en avoir pris connaissance, lorsque la violation de données personnelles est susceptible d'engendrer un risque pour les droits et libertés des personnes. En cas de retard, le responsable de traitement doit en expliquer les raisons. Un sous-traitant doit notifier le responsable de traitement dans les meilleurs délais après en avoir pris connaissance.

La notification doit décrire la nature de la violation, y compris les catégories disponibles et le nombre approximatif de personnes et d'enregistrements concernés. Elle doit fournir les coordonnées du DPO ou d'un point de contact, les conséquences probables, ainsi que les mesures prises ou proposées pour remédier à la violation et en atténuer les effets. Lorsque toutes les informations ne sont pas disponibles en une seule fois, le RGPD permet de les fournir de manière échelonnée, sans retard indu supplémentaire.

En France, les notifications sont soumises via le service de notification des violations de données personnelles de la CNIL. La CNIL conseille aux organisations de ne pas attendre de disposer d'informations complètes lorsqu'une violation est déjà établie. Une notification initiale peut être soumise dans le délai imparti et complétée ultérieurement.

Le responsable de traitement doit également communiquer la violation aux personnes concernées dans les meilleurs délais lorsqu'elle est susceptible d'engendrer un risque élevé, sauf si une exception applicable supprime cette obligation. Le message doit utiliser un langage clair et expliquer la nature de la violation, les coordonnées de contact, les conséquences probables et les mesures prises.

Toute violation de données personnelles doit être documentée en interne, y compris celles qui ne sont pas notifiées à la CNIL. Le registre doit contenir les faits, les effets, l'analyse de risque, la décision, les mesures correctives et les preuves à l'appui. Les recommandations de la CNIL sur la gestion des incidents et des violations constituent une référence utile pour concevoir ce processus.

Calendrier de signalement des incidents NIS 2

Le signalement NIS 2 s'applique à un incident important affectant une entité essentielle ou importante. Le test de l'article 23 consiste à déterminer si l'incident a causé ou peut causer une perturbation opérationnelle grave ou une perte financière, ou s'il a causé ou peut causer un préjudice matériel ou immatériel considérable à d'autres personnes ou organisations.

La directive précise que le signalement ne doit pas détourner de ressources de la gestion urgente de l'incident. Ce principe ne supprime pas le délai. Il signifie que l'organisation doit préparer des rapports concis, désigner un responsable distinct pour la notification et éviter de contraindre les enquêteurs à interrompre le confinement pour rédiger un récit soigné.

L'ENISA résume la séquence NIS 2 comme une alerte précoce à 24 heures suivie d'une notification d'incident à 72 heures à l'autorité nationale compétente ou au CSIRT concerné.

Les entités françaises doivent suivre les dernières instructions publiées sur la page d'information NIS 2 de l'ANSSI et vérifier le processus national de signalement définitif une fois le dispositif complet de transposition entré en vigueur.

Rôles et responsabilités lors d'un cyberincident

Le responsable de l'incident pilote les priorités, les réunions, les transmissions et le journal de l'incident. Le RSSI ou le responsable sécurité dirige l'investigation, le confinement et la surveillance. Les équipes IT opérationnelles mettent en œuvre les changements de systèmes et la reprise. Le DPO évalue l'impact sur les données personnelles et conseille sur la notification à la CNIL. Le service juridique examine les obligations qui se recoupent, les contrats et le contact avec les forces de l'ordre.

Une équipe de réponse aux données, ou DRT, peut appuyer le DPO en cartographiant les jeux de données, les sous-traitants et les personnes concernées. Les propriétaires métier définissent les priorités de reprise, la communication gère les messages destinés aux parties prenantes, la gestion des fournisseurs obtient les preuves auprès des prestataires, et la direction approuve les décisions opérationnelles ou publiques majeures.

NIS 2 renforce cette dimension de gouvernance en exigeant que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques de cybersécurité et en supervisent la mise en œuvre. La préparation aux incidents est donc une responsabilité de la direction, et non uniquement une fonction technique.

Règles de communication et de documentation

Les messages internes doivent identifier les systèmes sûrs, les activités suspendues, les canaux de signalement et les porte-parole autorisés. Des canaux de secours sont nécessaires lorsque la messagerie, l'identité ou les plateformes de collaboration sont compromises.

Les messages externes doivent s'adapter à leur destinataire. Les régulateurs ont besoin des faits requis, les personnes concernées ont besoin d'une information claire sur le risque et les mesures de protection, et les clients ont besoin d'informations exactes sur le service. Les communications publiques doivent éviter les spéculations, les attributions non étayées et les affirmations prématurées selon lesquelles les données sont en sécurité.

Le journal de l'incident doit consigner la détection, l'escalade, la prise de connaissance, le confinement, les actifs affectés, les approbations, les notifications, les preuves, la reprise et les actions correctives. Les contrats fournisseurs doivent exiger un signalement rapide, des contacts nommés, une coopération et un accès aux preuves pertinentes. La notification d'un sous-traitant ne remplace pas l'évaluation RGPD du responsable de traitement, et la CNIL a indiqué que des prestataires étaient souvent impliqués dans les violations majeures de 2025.

Comment tester le plan de réponse aux incidents

Les exercices sur table permettent aux décideurs de dérouler un incident en évolution sans toucher aux systèmes en production. Les simulations techniques testent la détection, l'isolement, la preuve et la reprise, tandis que les exercices de communication testent la rédaction réglementaire et les canaux de secours.

Un exercice utile peut commencer par la compromission du compte d'un fournisseur, ajouter des transferts de données suspects et une interruption du portail, puis introduire une revendication publique de l'attaquant. Les participants doivent décider quand déclarer l'incident, si le RGPD ou NIS 2 s'applique, et ce qui doit être signalé.

Mesurez le temps nécessaire pour détecter, escalader, classer, contenir et préparer les notifications. Vérifiez les contacts, l'autorité, l'accès aux preuves, les canaux de communication de secours et les priorités de reprise. Chaque constat doit avoir un responsable, une échéance et une méthode de vérification. Le ReCyF inclut la réponse de crise et les exercices, tandis que la norme ISO/IEC 27035 couvre la préparation, la détection, le signalement, l'évaluation, la réponse et le retour d'expérience.

Erreurs courantes dans un plan de réponse aux incidents

L'erreur la plus dommageable consiste à rédiger le plan uniquement pour l'IT. Les équipes techniques ne peuvent pas décider seules de la notification à la CNIL, de la communication client, du signalement contractuel ou de la continuité d'activité.

Parmi les autres écueils figurent l'attente d'une certitude forensique complète, une autorité d'isolement et de notification mal définie, la dépendance à un seul système de communication, l'acceptation de délais de signalement flous de la part des fournisseurs, la restauration de sauvegardes sans suppression de la persistance, et la clôture de l'incident sans suivi des actions correctives. Le RGPD et NIS 2 autorisent un signalement échelonné : une investigation inachevée n'est donc pas une raison d'ignorer un délai une fois que suffisamment de faits sont connus.

Comment l'ISO 27001 soutient la gestion des incidents RGPD et NIS 2

L'ISO/IEC 27001 renforce la préparation aux incidents en exigeant qu'une organisation établisse, exploite, surveille et améliore en continu un système de management de la sécurité de l'information fondé sur le risque. Son approche de gestion plus large aide à relier les politiques, les responsabilités, la connaissance des actifs, les contrôles fournisseurs, la surveillance, la continuité et les actions correctives. La présentation officielle d'ISO/IEC 27001 explique que la norme est conçue pour préserver la confidentialité, l'intégrité et la disponibilité grâce à un processus de gestion des risques maîtrisé.

L'ISO/IEC 27035 se concentre plus directement sur la gestion des incidents. Elle couvre la préparation, la détection, le signalement, l'évaluation et la réponse aux incidents, suivis d'un retour d'expérience. Les organisations peuvent utiliser le processus de gestion des incidents ISO/IEC 27035-1 pour renforcer le détail opérationnel qui soutient un système de management de la sécurité de l'information conforme à l'ISO/IEC 27001.

La certification ISO/IEC 27001 ne prouve pas automatiquement la conformité au RGPD ou à NIS 2. La norme peut fournir des contrôles organisés et des preuves, mais l'organisation doit toujours appliquer les définitions juridiques, les seuils, les délais et les procédures nationales propres à chaque incident.

Conclusion

Un plan de réponse aux incidents efficace donne à une organisation française la maîtrise des premières heures d'un cyberincident. Il identifie qui dirige, ce qui doit être protégé, comment la gravité est déterminée, quelles preuves doivent être conservées et quand une notification RGPD, CNIL ou NIS 2 peut être requise.

Le choix de conception le plus important consiste à relier dès le départ la réponse technique aux décisions juridiques et opérationnelles. L'évaluation RGPD ne peut pas attendre que les systèmes soient restaurés. L'importance d'un incident au sens de NIS 2 ne peut pas être jugée uniquement sur la base du vol ou non de données personnelles. L'implication d'un fournisseur ne supprime pas la responsabilité propre de l'organisation.

Construisez le plan autour de parcours de décision courts, d'une autorité nommée, d'évaluations RGPD et NIS 2 distinctes, de canaux de communication de secours testés et de modèles de notification échelonnés. Testez-le ensuite dans des conditions réalistes de pression et transformez chaque faiblesse en amélioration suivie. C'est ainsi que la réponse aux incidents devient une capacité de conformité reproductible plutôt qu'un document ouvert pour la première fois en pleine crise.