La page Incidents vous aide à déclarer à temps un incident de sécurité important au titre de NIS2. Elle compte les échéances pour vous et prépare chaque déclaration dans la langue de l’autorité. C’est toujours vous qui décidez si l’incident est important, qui relisez chaque brouillon et qui l’envoyez. Perimetry n’envoie jamais rien à une autorité.

L’aide à la déclaration d’incident est comprise à partir de l’offre Solo. C’est une aide pour préparer vos déclarations, pas un conseil juridique.

Les échéances

NIS2 (article 23 de la directive, § 32 BSIG en Allemagne) prévoit trois déclarations, comptées à partir du moment où vous avez pris connaissance de l’incident, pas de son début :

Déclaration	Quand
Alerte précoce	Sous 24 heures après en avoir pris connaissance. Incomplète, ce n’est pas grave ; en retard, si.
Notification d’incident	Sous 72 heures : une première évaluation de la gravité et de l’impact, et les indicateurs de compromission.
Rapport final	Dans le mois qui suit la notification. Si l’incident dure encore, envoyez alors un rapport d’avancement, et le rapport final dans le mois qui suit sa résolution.

L’autorité peut aussi demander un rapport intermédiaire. Si des données personnelles peuvent être concernées, une quatrième échéance apparaît : la notification RGPD à votre autorité de protection des données, sous 72 heures après en avoir pris connaissance (RGPD, article 33).

Chaque échéance s’affiche dans votre fuseau horaire, et passe à Bientôt due dans ses 6 dernières heures, puis à En retard.

Ouvrir un incident

Ouvrez Incidents dans le menu.
Donnez-lui un titre court et le moment où vous en avez pris connaissance.
Choisissez l’autorité : France (ANSSI, par le CERT-FR), Allemagne (BSI), Irlande (NCSC) ou un autre pays.
Indiquez si vous suspectez un acte malveillant, si d’autres pays peuvent être touchés et si des données personnelles peuvent être concernées.
Cochez les domaines concernés, ou aucun pour tous vos domaines prouvés, puis appuyez sur Ouvrir l’incident.

Préparer chaque déclaration

Sur la page de l’incident, Ce que vous savez garde ce que vous écrivez : l’entité déclarante, un contact, ce qui s’est passé, les services touchés, l’impact, les indicateurs de compromission, les mesures prises, la cause première. Complétez au fur et à mesure et appuyez sur Enregistrer.

Brouillons contient un brouillon par déclaration, dans la langue de l’autorité : français pour l’ANSSI, allemand pour le BSI, anglais pour l’Irlande et les autres pays. Chaque brouillon est reconstruit à partir de ce que vous avez écrit et de ce que Perimetry a vu sur les domaines concernés :

les changements externes depuis 14 jours avant la prise de connaissance (nouveaux hôtes, ports ouverts, serveurs de noms ou de messagerie modifiés, nouveaux certificats) ;
les interruptions détectées par les contrôles de disponibilité ;
les constats graves ouverts dans les derniers audits.

Ce que vous n’avez pas renseigné reste entre crochets, par exemple [à compléter] : rien n’est inventé. Relisez le brouillon, complétez-le, retirez ce que vous ne voulez pas communiquer, puis Copiez-le ou Téléchargez-le en fichier texte et envoyez-le par le canal de l’autorité. Où l’envoyer indique ce canal, et l’autorité de protection des données quand des données personnelles sont concernées.

Noter ce qui a été envoyé

Une fois une déclaration envoyée, ouvrez Marquer comme envoyée, choisissez la déclaration, l’heure et la référence donnée par l’autorité. L’échéance passe à Envoyée, et les brouillons suivants listent les déclarations déjà envoyées avec leurs références. Le rapport final est alors compté à partir de la date réelle d’envoi de la notification.

Clore un incident

Quand l’incident est terminé, appuyez sur Clore l’incident ; vous pouvez le rouvrir. Les propriétaires et les administrateurs peuvent supprimer un incident avec ses notes et son journal de déclarations.

Qui peut faire quoi

Les propriétaires, administrateurs et membres ouvrent les incidents, les mettent à jour et marquent les déclarations comme envoyées. Les lecteurs voient tout, brouillons compris, et ne modifient rien.

Ce que vous écrivez est chiffré, et seul votre espace peut le lire. Le journal d’activité note ce qui a été fait (incident ouvert, déclaration marquée comme envoyée), jamais ce qui a été écrit.