Notification des incidents de cybersécurité

1. Sans délai Notification de l'incident
2. 72 heures Délai maximal de notification

Notes: L'obligation figure à l'article 20-G de la loi organique sur la transformation numérique et audiovisuelle, introduit par la loi publiée au Registro Oficial le 22 mai 2026 et en vigueur depuis ce jour. Une notification faite de bonne foi et dans les délais ne peut pas être utilisée à elle seule comme preuve de négligence. Dans les six mois suivant la publication, le MINTEL doit adopter le règlement sur la gestion et la notification des incidents, avec le CSIRT national et sans doubler les canaux des secteurs dotés d'un organe de contrôle spécialisé.

1. Sans délai Déclaration de l'incident

Notes: Le projet de loi de transposition de NIS 2 (relatif à la résilience des infrastructures critiques), adopté par le Sénat en mars 2025, attend toujours son examen en séance à l'Assemblée nationale, retiré de l'ordre du jour le 6 octobre 2026 et pas encore reprogrammé ; une fois adopté, le schéma 24 heures, 72 heures et un mois s'appliquera.

1. Sans délai Notification initiale
2. 6 heures Premières informations complémentaires
3. 14 jours Informations complètes

Notes: Les délais sont fixés par le Cyber Security (Notification of Cyber Security Incident) Regulations 2024.

1. Sans délai Informer le CERT national
2. 72 heures Délai limite de signalement

Notes: L'obligation figure à la section 21 de la loi. La modification signée le 28 février 2024 a remplacé le délai de 7 jours après l'incident par 72 heures après sa détection et a prévu le signalement par l'intermédiaire des CERT ou SOC sectoriels.

1. Sans délai Notification de l'incident ou de la vulnérabilité

1. 1 heure Opérateurs d'infrastructures critiques
2. 2 heures Organes centraux et étatiques et unités qui en relèvent directement
3. 4 heures Autres opérateurs de réseau
4. 30 jours Rapport final (après la fin du traitement de l'incident)

Notes: Mesures de l'Administration du cyberespace du 11 septembre 2025, en vigueur depuis le 1er novembre 2025 (articles 4 et 8). Pour les incidents graves et particulièrement graves, l'organisme qui reçoit la déclaration doit informer l'échelon national dans un délai de 30 minutes (infrastructures critiques) ou d'1 heure. Les éléments qui ne peuvent être établis dans les délais peuvent être complétés ensuite ; les déclarations peuvent aussi passer par la ligne 12387.

1. 1 heure Notification des incidents les plus graves (catégorie 2)
2. 6 heures Notification des autres incidents (catégorie 1)

Notes: Les catégories d'incidents et les délais sont fixés par le décret du président du Conseil 81/2021. Le décret 111/2025, en vigueur depuis le 16 août 2025, a ajouté au tableau 1 une catégorie pour les incidents dus à une utilisation abusive des biens TIC, sans modifier les délais.

1. 1 heure Notification de l'incident
2. 36 heures Maîtrise des dommages ou rétablissement achevés et signalés, pour les incidents majeurs (72 heures pour les incidents de niveau 1 ou 2)
3. 1 mois Rapport d'enquête, de traitement et de mesures correctives (après la maîtrise des dommages ou le rétablissement)

Notes: La loi réformée en 2025 est en vigueur depuis le 1er décembre 2025. Les délais sont fixés par le règlement sur la notification, la réponse et les exercices relatifs aux incidents de cybersécurité, modifié le 5 janvier 2026.

1. 2 heures Notification de l'incident
2. 72 heures Informations complémentaires
3. 30 jours Rapport final (après les informations complémentaires)

Notes: Délais indiqués par la Cyber Security Agency (CSA) pour les propriétaires de CII et pour les fournisseurs désignés responsables de CII appartenant à des tiers. Depuis le 31 octobre 2025, doivent aussi être notifiés sous 2 heures les incidents soupçonnés d'être causés par des menaces persistantes avancées (APT) et ceux qui, dans les systèmes du propriétaire non reliés aux CII, interrompent le service essentiel ; pour les incidents touchant les systèmes non reliés aux CII, un rapport trimestriel consolidé est également prévu, au plus tard le troisième jour ouvrable après la fin du trimestre. Depuis la même date, la CSA peut désigner des systèmes d'intérêt temporaire pour la cybersécurité (STCC), dont les propriétaires doivent notifier les incidents pendant la période fixée.

1. 3 heures Alerte précoce
2. 72 heures Deuxième rapport (24 heures pour les OIV dont le service essentiel est touché)
3. 7 jours Plan d'action (OIV uniquement)
4. 15 jours Rapport final (après l'alerte précoce)

Notes: La procédure de signalement est régie par le décret suprême 295/2024. L'obligation de signalement (article 9) et les sanctions s'appliquent depuis le 1er mars 2025. L'UTM est une unité de compte chilienne indexée sur l'inflation.

1. 3 heures Première communication de l'incident ou de la menace importants
2. 24 heures Alerte précoce
3. 72 heures Notification de l'incident
4. 1 mois Rapport final (après la notification)

Notes: Les obligations figurent à l'article 33 de la loi (Služben vesnik n° 135 du 4 juillet 2025), qui s'aligne sur la directive NIS 2 et s'applique depuis le 1er janvier 2026. Les prestataires de services de confiance notifient dans les 24 heures ; les utilisateurs exposés à une menace grave doivent être informés au plus tard le jour ouvrable suivant. Si la communication parvient à l'autorité compétente, celle-ci la transmet au CSIRT dans les deux heures.

1. 4 heures Notification initiale (après la classification comme majeur, au plus tard 24 heures après la détection)
2. 72 heures Rapport intermédiaire (après la notification initiale)
3. 1 mois Rapport final

Notes: Les délais sont fixés par le règlement délégué (UE) 2025/301. Pour les entités financières, DORA prime sur NIS 2.

1. 6 heures Signalement de l'incident

1. 12 heures Incident critique à impact important (si oral, par écrit sous 84 heures)
2. 72 heures Autre incident à impact notable (si oral, par écrit sous 48 heures)

1. 12 heures Notification des incidents graves (qui perturbent ou risquent de perturber les fonctions essentielles)
2. 48 heures Notification des autres incidents
3. 14 jours Rapport écrit

Notes: L'ordonnance s'applique depuis le 1er janvier 2026 et sa mise en œuvre relève du bureau du commissaire créé au sein du Security Bureau. Si la première notification n'est pas faite selon le formulaire et les modalités prescrits, elle doit être complétée sous cette forme dans les 48 heures.

1. 24 heures Alerte précoce (vulnérabilité exploitée ou incident grave)
2. 72 heures Notification
3. 14 jours Rapport final sur la vulnérabilité (après le correctif)
4. 1 mois Rapport final sur l'incident (après la notification)

Notes: Les obligations de signalement s'appliquent directement depuis le 11 septembre 2026 et le BSI coordonne déjà les signalements en tant que CSIRT. La loi d'application, adoptée par le Bundestag le 15 octobre 2026, attend le Bundesrat (prochaine séance plénière le 20 novembre 2026) et la promulgation ; ses dispositions sur les signalements entreront en vigueur le lendemain de la promulgation.

1. 24 heures Alerte précoce
2. 72 heures Notification de l'incident
3. 1 mois Rapport final (après la notification)

1. 24 heures Paiement d'une rançon (après le paiement)
2. 72 heures Cyberincident visé

Notes: Les obligations ne s'appliqueront qu'avec la règle finale de la CISA, que l'agenda réglementaire fédéral de l'automne 2025 annonçait pour septembre 2026. Le 1er octobre 2026, le texte final a été transmis pour examen à l'Office of Information and Regulatory Affairs (OIRA) de la Maison-Blanche, examen toujours en cours fin octobre 2026 ; la règle n'est donc pas encore publiée au Federal Register. En 2026, la CISA a organisé des réunions publiques (town halls) pour réduire la portée et la charge de la proposition de 2024.

1. 24 heures Alerte précoce (vulnérabilité exploitée ou incident grave)
2. 72 heures Notification
3. 14 jours Rapport final sur la vulnérabilité (après le correctif)
4. 1 mois Rapport final sur l'incident (après la notification)

Notes: Les délais sont ceux du règlement ; la loi nationale désigne les autorités et fixe les sanctions.

1. 24 heures Signalement de l'incident
2. 72 heures Signalement des vulnérabilités découvertes lors d'audits et d'évaluations (après la découverte de la vulnérabilité)

Notes: L'obligation figure au paragraphe 5.3 de la directive, en vigueur depuis le 1er octobre 2021, qui met en œuvre la section 39(1) de l'Act 1038. Le propriétaire doit aussi désigner un point de contact pour les signalements et la réception des avis de sécurité.

1. 24 heures Alerte précoce (vulnérabilité exploitée ou incident grave)
2. 72 heures Notification
3. 14 jours Rapport final sur la vulnérabilité (après le correctif)
4. 1 mois Rapport final sur l'incident (après la notification)

Notes: Les obligations de signalement s'appliquent directement depuis le 11 septembre 2026. Le projet de décret (examen préliminaire en Conseil des ministres le 2 octobre 2026 ; à la Chambre des députés, les commissions réunies des Affaires constitutionnelles et des Transports doivent rendre leur avis d'ici le 18 novembre 2026) désigne l'ACN comme autorité notifiante et de surveillance du marché et permet aussi aux consommateurs de signaler vulnérabilités et incidents au CSIRT Italia.

1. 24 heures Pré-notification
2. 72 heures Notification de l'incident
3. 1 mois Rapport final (après la notification)

Notes: L'obligation de notification s'applique depuis janvier 2026 aux entités déjà inscrites ; pour celles ajoutées à la liste en 2026, à partir du 1er janvier 2027.

1. 24 heures Signalement
2. 72 heures Notification complète

Notes: Les entités relevant de NIS 2 suivent les règles du décret législatif 138/2024. Les incidents à signaler sont ceux de la taxonomie adoptée par l'ACN le 9 février 2026 (en vigueur depuis le 17 février 2026) ; une notification faite au titre de NIS 2 vaut aussi pour la loi 90/2024.

1. 24 heures Alerte précoce
2. 72 heures Notification de l'incident
3. 1 mois Rapport final (après la notification)

Notes: L'obligation figure à l'article 6 de la loi, en vigueur depuis le 1er février 2025 ; la directive NIS 2 s'y applique comme droit national jusqu'à son intégration dans l'accord EEE. Lorsqu'une loi sectorielle prévoit une notification aux critères au moins équivalents, c'est celle-ci qui s'applique et son destinataire la transmet sans délai à la Stabsstelle Cyber-Sicherheit. Les destinataires des services touchés doivent aussi être informés sans délai.

1. 24 heures Notification initiale
2. 72 heures Premier rapport sur les incidents de niveau moyen ou élevé (après la notification initiale)
3. 30 jours Rapport final (après la résolution de l'incident)

Notes: Les obligations figurent aux articles 28 à 34 de la loi (Službeni list CG 113/2024), en vigueur depuis le 5 décembre 2024 et alignée sur la directive NIS 2. Le niveau de l'incident (faible, moyen ou élevé) est fixé par l'Agence ou le CIRT après la notification initiale ; tant que l'incident dure, des rapports suivent toutes les 72 heures pour les incidents de niveau moyen et toutes les 24 heures pour ceux de niveau élevé. Les menaces et incidents sans impact sur la continuité des services sont signalés dans un rapport mensuel.

1. 24 heures Notification (varsel)
2. 72 heures Mise à jour de la notification
3. 1 mois Rapport d'incident (après la notification)

Notes: Les délais sont fixés par le § 17 du règlement sur la sécurité numérique (digitalsikkerhetsforskriften) du 20 juin 2025, en vigueur avec la loi depuis le 1er octobre 2025 ; la loi impose de notifier sans retard injustifié. La NSM est le point de contact national et le centre national de réponse aux incidents. La loi transpose, dans le cadre de l'accord EEE, la directive (UE) 2016/1148 (SRI).

1. 24 heures Notification de l'incident
2. 15 jours Rapport final (après la fin de l'incident)

Notes: Les obligations figurent aux articles 13, 14 et 24 de la loi, en vigueur depuis le 31 octobre 2025 ; pour les opérateurs désignés sous la loi de 2016, les anciennes obligations sont restées en vigueur jusqu'au 31 décembre 2025. Tant que l'incident dure, des rapports sont dus tous les trois jours pour les incidents de niveau moyen et toutes les 24 heures pour ceux de niveau élevé et très élevé ; les utilisateurs touchés doivent être informés sans délai. L'Office de la sécurité de l'information fonctionne à partir du 1er janvier 2027 ; jusque-là, ses tâches sont assurées par l'Office des technologies de l'information et de l'administration électronique et, pour le CERT national, par la RATEL.

1. 24 heures Signalement de la cyberattaque

1. 24 heures Alerte précoce
2. 72 heures Notification de l'incident
3. 1 mois Rapport final (après la notification)

Notes: C'est le schéma commun de l'UE (article 23) ; les obligations concrètes découlent des lois nationales de transposition, présentées ci-dessous pour les pays couverts.

1. 24 heures Alerte précoce sur la vulnérabilité activement exploitée
2. 72 heures Notification de la vulnérabilité
3. 14 jours Rapport final (à compter de la mise à disposition d'une mesure corrective ou d'atténuation)
4. Sans retard injustifié Informer les utilisateurs concernés

Notes: Article 14, paragraphe 2. L'alerte précoce et la notification courent à partir de la prise de connaissance de la vulnérabilité par le fabricant ; les utilisateurs doivent être informés sans retard injustifié, si possible dans un format lisible par machine. S'applique depuis le 11 septembre 2026, avant le reste du règlement (11 décembre 2027) ; depuis cette date, les notifications passent par la plateforme unique de signalement (SRP) gérée par l'ENISA, sur portal.cra-srp.enisa.europa.eu. La situation de chaque État figure sur la page consacrée à la mise en œuvre du CRA.

1. 24 heures Alerte précoce sur l'incident grave
2. 72 heures Notification de l'incident
3. 1 mois Rapport final (après la notification de l'incident)
4. Sans retard injustifié Informer les utilisateurs concernés

Notes: Article 14, paragraphe 4. Un incident est grave s'il affecte ou est susceptible d'affecter la capacité du produit à protéger les données et les fonctions, ou s'il a conduit à l'introduction de code malveillant. Les signalements au titre du CRA ne remplacent pas ceux de la directive SRI 2 lorsque le fabricant est aussi une entité SRI 2. Depuis le 11 septembre 2026, ces notifications passent elles aussi par la plateforme unique de signalement (SRP) de l'ENISA.

1. 48 heures Notification des incidents de niveau critique

Notes: Les obligations figurent aux articles 18 et 32 du règlement, publié le 4 novembre 2025 et entré en vigueur 90 jours plus tard, début février 2026. Les délais pour les autres niveaux sont fixés par la classification des incidents du Secrétariat du gouvernement et de la transformation numérique (SGTD-PCM). Les violations de données personnelles doivent aussi être notifiées à l'autorité de protection des données (ANPD).

1. 72 heures Déclaration du paiement (après le paiement ou sa connaissance)

Notes: La partie 3 de la loi, qui contient l'obligation, est entrée en vigueur le 29 mai 2025, à l'expiration des six mois suivant la sanction royale (29 novembre 2024). Le seuil de chiffre d'affaires et le contenu de la déclaration sont fixés par les Cyber Security (Ransomware Payment Reporting) Rules 2025.

1. 72 heures Signalement de l'incident au CST (délai maximal ; le délai exact sera fixé par règlement)

Notes: La partie 2 de la loi, sanctionnée le 15 juin 2026, entrera en vigueur par décret du gouverneur en conseil et les règlements fixeront le délai exact. Immédiatement après le signalement au CST, l'exploitant doit aussi aviser l'organisme réglementaire compétent.

1. 72 heures Notification de l'incident

Notes: Le Cyber Security and Resilience (Network and Information Systems) Bill, qui modifie ces règles, prévoit une première notification sous 24 heures et une notification complète sous 72 heures, également au NCSC. À la Chambre des lords, l'étape du rapport s'est achevée le 26 octobre 2026 et la troisième lecture est fixée au 2 novembre 2026 ; suivront l'éventuel examen des amendements aux Communes et la sanction royale.

1. 4 jours Publication sur le formulaire 8-K (4 jours ouvrables après la décision sur le caractère significatif)

Notes: Le caractère significatif doit être apprécié sans retard injustifié après la découverte de l'incident ; les informations non disponibles sur le moment sont ajoutées par une modification du formulaire 8-K dans les 4 jours ouvrables suivant le moment où elles le deviennent. La publication peut être différée si le procureur général des États-Unis estime qu'elle présente un risque grave pour la sécurité nationale ou publique. Obligation applicable depuis le 18 décembre 2023 et, pour les petites sociétés (smaller reporting companies), depuis le 15 juin 2024.

1. Sans retard injustifié Premier rapport avec les informations disponibles
2. 30 jours Rapport complet

Notes: L'obligation est prévue par l'article 5 de la loi et précisée par l'article 4 de l'ordonnance interministérielle n° 4 du 28 mai 2026, tous deux en vigueur depuis le 1er octobre 2026. Les événements survenus dans les six mois suivant la désignation de l'opérateur, notamment, n'ont pas à être signalés.

1. Sans retard injustifié Notification initiale, puis mises à jour et notification finale

Notes: L'avant-projet de loi de transposition de NIS 2 (Ley de Coordinación y Gobernanza de la Ciberseguridad), approuvé en première lecture par le Conseil des ministres le 14 janvier 2025, n'a jamais été transmis aux Cortes, dissoutes le 6 octobre 2026 avec des élections le 29 novembre 2026 ; la transposition revient donc à la nouvelle législature et, d'ici là, le décret-loi royal 12/2018 reste en vigueur.