Les régimes du RGPD, de NIS 2 et du Cyber Resilience Act (CRA) imposent des obligations de notification des incidents de sécurité distinctes mais qui peuvent être complémentaires. Cela dépend notamment:
- de la nature de l’événement déclencheur (violation de données personnelles, incident majeur de cybersécurité ou vulnérabilité produit)
- de la qualité de l’acteur
- du niveau de criticité.
Tableau récapitulatif des notifications des incidents de sécurité
| RGPD | NIS2 | CRA | |
| Texte | Règlement (UE) 2016/679 | Directive (UE) 2022/2555 | Règlement (UE) 2024/2847 |
| Articles clés | Art. 4(12) (définition), art. 33 (CNIL), art. 34 (personnes), art. 83(4) (sanctions) | Art. 23 (notification), art. 30 (notification volontaire), art. 34 (sanctions) | Art. 14 (notification), art. 15 (volontaire), art. 16 (plateforme), art. 64 (sanctions) |
| Qui notifie ? | Responsable de traitement (le sous-traitant alerte le responsable) | Entités essentielles (EE) et importantes (EI) | Fabricant |
| Fait générateur | En cas de violation de données à caractère personnel, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques | Tout incident ayant un impact important sur leur fourniture des services |
|
| Quand notifier? | Dans les meilleurs délais et, si possible,72 heures au plus tard après en avoir pris connaissance |
|
|
| Auprès de qui notifier? | • Autorité de contrôle nationale (CNIL en France) • Personnes physiques concernées (en cas de risque élevé) |
|
|
| Portail de notification | https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles | NIS1: formulaire OSE | Plateforme ENISA |
| Information des personnes | Personnes concernées (si risque élevé pour les droits et libertés d’une personne physique) | Destinataires des services (si incidents importants susceptibles de nuire à la fourniture de ces services) | Utilisateurs concernés |
| Sanctions max. | Jusqu’à 10 M€ ou 2 % du CA mondial (violations de sécurité/notification) et 20 M€ ou 4 % du CA mondial selon l’infraction | • EE : Jusqu’à 10 M€ ou 2 % du CA mondial. • EI : Jusqu’à 7 M€ ou 1,4 % du CA mondial. | 15 M€ ou 2,5 % CA |
