• Quels sont les critères pour déterminer si mon entité est victime d'un incident important ?

  La directive demande aux entités essentielles et importantes de déclarer tout incident ayant un « impact important » sur la fourniture de leurs services et activités. Quels sont les critères pour déterminer si mon entité est victime d’un « incident important » ? Un incident est défini par la directive à l’article 6.6 comme « un événement compromettant : - la disponibilité, - l’authenticité, - l’intégrité - ou la confidentialité des données stocPeu de lectures

• Quel rôle jouera un CSIRT régional et/ou sectoriel dans le cadre d'une déclaration d'incidents importants ?

  La directive NIS 2 impose aux entités essentielles et importantes de déclarer leurs incidents importants à l’autorité nationale compétente. Dans cette situation, quel rôle jouera un CSIRT régional et/ou sectoriel ? La déclaration d’un incident important doit être faite à l’autorité nationale compétente par l’entité essentielle ou importante victime de cet incident, sans retard injustifié ou dans les 24 heures après avoir eu connaissance de l’incident important, conformément à l’article 23 dPeu de lectures

• Est-ce à l’entité victime ou au prestataire gérant le Système d’Information, de notifier l’incident important ?

  Dans le cas où mon entité a délégué la gestion d’une partie ou de l’ensemble de son Système d’Information à un prestataire qui est, lui aussi, une entité régulée par la directive NIS2, est-ce à l’entité victime ou au prestataire gérant le Système d’Information, de notifier l’incident important en cas de compromission de ce Système d’Information ? C’est au propriétaire du Système d’Information visé par l’incident important, c’est-à-dire à l'entité régulée victime, de notifier l’incident impPeu de lectures

• Les incidents notifiés à l’autorité nationale compétente par les entités pourront-ils être communiqués à ses homologues européens ?

  La directive prévoit des mécanismes de coopération à l’échelle européenne pour mieux faire face aux cyberattaques. Les incidents notifiés à l’autorité nationale compétente par les entités pourront-ils être communiqués à ses homologues européens ? Si oui, de quelles manières ? Un référentiel est actuellement en cours de rédaction par les différents Etats membres de l’Union européenne et l’ENISA afin de disposer d’une terminologie et de critères communs tant dans la notification des incidentPeu de lectures

• Y aura-t-il une harmonisation entre l’autorité nationale et les autorités sectorielles des éléments à fournir par l’entité victime ?

  Y aura-t-il une harmonisation entre l’autorité nationale compétente et les autorités sectorielles des éléments à fournir par l’entité victime pour déclarer un incident ? En matière d’incident sur un système d’information, l’autorité nationale compétente est en mesure de décider des informations à fournir lors de la déclaration d’un incident. Le formulaire de déclaration des incidents qui sera mis à disposition des entités essentielles et importantes sera basé sur le modèle prévu au niveauPeu de lectures