14.4: Calendrier de notification des incidents et exigences en matière de rapports

Aux fins de la notification visée au paragraphe 1er, les entités concernées soumettent à l’autorité compétente:

1° sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l’incident important, une notification préliminaire qui, le cas échéant, indique si l’on suspecte l’incident important d’avoir été causé par des actes illicites ou malveillants ou s’il pourrait avoir un impact transfrontière ;

2° sans retard injustifié et en tout état de cause dans les soixante-douze heures après avoir eu connaissance de l’incident important, une notification d’incident qui, le cas échéant, met à jour les informations visées au point

3° à la demande d’un CSIRT ou, selon le cas, de l’autorité compétente, un rapport intermédiaire sur les mises à jour pertinentes de la situation;

4° un rapport final au plus tard un mois après la présentation de la notification d’incident visée au point 2°, comprenant les éléments suivants :

a) une description détaillée de l’incident, y compris de sa gravité et de son impact;

b) le type de menace ou la cause profonde qui a probablement déclenché l’incident;

c) les mesures d’atténuation appliquées et en cours;

d) le cas échéant, l’impact transfrontière de l’incident;

5° en cas d’incident en cours au moment de la présentation du rapport final visé au point 4°, les entités concernées fournissent à ce moment-là un rapport d’avancement puis un rapport final dans un délai d’un mois à compter du traitement de l’incident.

Par dérogation à l’alinéa 1er, point 2°, un prestataire de services de confiance notifie à l’autorité compétente les incidents importants qui ont un impact sur la fourniture de ses services de confiance, sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l’incident important.