Incident notifié hors délai : anatomie d'une mise en cause à 120 000 €
Un incident majeur survient un vendredi soir. Reconstitution heure par heure d'un scénario où le calendrier 24h/72h fait basculer la responsabilité du référent.
- NIS2 impose un calendrier de notification strict : alerte précoce sous 24h, notification d'incident sous 72h, rapport final sous un mois.
- Quand la procédure rédigée par le référent ne prévoit ni astreinte ni canal de remontée le week-end, le délai dérape — et la responsabilité du conseil est mise en cause.
- Le préjudice reproché n'est pas seulement la sanction : c'est aussi la perte de marché, le surcoût de gestion de crise et l'atteinte à la réputation, tous immatériels.
- Une RC Pro et une assurance cyber bien articulées séparent ce qui relève de votre faute de conseil de ce qui relève de la défaillance technique du client.
Le scénario : un ransomware un vendredi à 21h
Prenons un cas composite, représentatif des dossiers que rencontrent les référents. Votre client, un opérateur logistique qualifié entité essentielle, subit un chiffrement de ses serveurs un vendredi soir à 21h. L'équipe IT interne, réduite le week-end, ne détecte l'ampleur de l'incident que le samedi matin. Personne ne sait précisément qui doit prévenir l'ANSSI, ni dans quel délai, ni via quel canal.
Or vous aviez livré, six mois plus tôt, une procédure de notification d'incident. Sur le papier, tout était prévu. En pratique, votre procédure renvoyait à un « responsable de la notification » sans astreinte le week-end, et ne mentionnait aucun canal de secours en cas d'indisponibilité de cette personne. Le maillon humain a cassé là où votre document le supposait solide.
C'est précisément ce type de faille — une procédure techniquement correcte mais inopérante dans les conditions réelles — qui transforme un incident du client en mise en cause du référent.
L'erreur de fond, ici, n'est pas un oubli de contenu : votre procédure citait sans doute les bons délais, les bons interlocuteurs et le bon portail de signalement. L'erreur est une hypothèse implicite non vérifiée : celle d'une organisation toujours joignable et réactive. En conformité, ce sont rarement les grandes lignes qui font défaut, mais les conditions concrètes d'exécution. Un référent expérimenté apprend à se méfier de ses propres livrables tant qu'ils n'ont pas été confrontés à un scénario hostile.
Le calendrier NIS2 : trois échéances qui ne pardonnent pas
La directive structure la notification autour d'étapes successives. Les délais ci-dessous illustrent la logique du dispositif :
| Échéance | Délai | Contenu attendu |
|---|---|---|
| Alerte précoce | 24 heures | Premier signalement : suspicion d'incident, caractère potentiellement malveillant ou transfrontalier |
| Notification d'incident | 72 heures | Évaluation initiale : gravité, impact, indicateurs de compromission |
| Rapport final | 1 mois | Description détaillée, cause, mesures correctives, impact transfrontalier |
Le point critique : le compteur démarre à la connaissance de l'incident, pas à sa découverte officielle en heures ouvrées. Un incident détecté le samedi matin n'attend pas le lundi. Une procédure qui suppose implicitement une équipe disponible en semaine est donc structurellement défaillante.
Dans notre scénario, l'alerte précoce part finalement le dimanche en fin de journée, soit bien au-delà des 24h utiles. Le retard est documenté, horodaté, et difficilement contestable.
Un second piège se loge dans la qualification de l'incident. Toutes les anomalies ne déclenchent pas l'obligation de notification : seul un incident ayant un impact « important » sur la fourniture du service est concerné. Mais cette appréciation se fait dans l'urgence, avec une information partielle. Une procédure utile doit donc fournir aux équipes des critères de décision simples (« dans le doute, on notifie l'alerte précoce ») plutôt que de les laisser arbitrer seules un point juridique complexe à 23h. Le référent qui a livré une grille de décision claire a fait son travail ; celui qui a renvoyé à une « analyse au cas par cas » a transféré le risque sur des opérationnels non formés à cette qualification.
Le chiffrage : d'où viennent les 120 000 €
La mise en cause du référent ne porte pas sur l'attaque elle-même — elle relève de la sécurité technique du client — mais sur le retard de notification imputé à une procédure inadaptée. Le préjudice reproché s'additionne :
- Surcoût de gestion de crise (~45 000 €) : mobilisation en urgence d'un prestataire de réponse à incident, communication de crise, heures supplémentaires, faute d'un protocole opérationnel le week-end.
- Perte d'un marché stratégique (~50 000 €) : un donneur d'ordre, sensibilisé au retard de notification, ne renouvelle pas un contrat-cadre, invoquant un défaut de maîtrise du risque cyber.
- Honoraires de défense et d'expertise (~25 000 €) : avocat, expert technique pour reconstituer la chronologie et établir le partage des responsabilités.
Au total, une réclamation de l'ordre de 120 000 €, sans même intégrer une éventuelle sanction administrative. Pour un référent indépendant ou une petite structure de conseil, c'est un montant qui peut menacer la pérennité de l'activité.
Le danger n'est pas tant la probabilité de l'incident que l'effet de levier : une seule procédure mal calibrée, démultipliée par la gravité d'un incident réel, suffit à générer une réclamation hors de proportion avec vos honoraires.
Qui paie quoi : démêler la faute du référent et la défaillance du client
Un bon dossier d'assurance commence par séparer proprement les responsabilités. Dans ce type de sinistre, deux couvertures interviennent sur des terrains distincts :
- La RC Pro du référent répond du préjudice causé au client par votre conseil : procédure de notification inadaptée, défaut d'anticipation des conditions réelles d'activation, absence de réserve écrite sur l'organisation d'astreinte.
- L'assurance cyber du client répond de l'incident technique lui-même : restauration des données, rançon éventuelle, pertes d'exploitation liées à l'arrêt.
L'enjeu de la défense est d'éviter que tout le préjudice soit reporté sur vous. Si l'incident résulte avant tout d'une sécurité technique défaillante côté client, votre part doit se limiter au surcoût strictement imputable au retard de notification. C'est là que la qualité de votre documentation — et celle de votre assureur — fait la différence entre une condamnation pleine et un partage équilibré.
Un point mérite une vigilance particulière : la frontière entre conseil et exécution. Si votre mission se limitait à rédiger la procédure, votre responsabilité porte sur sa qualité, pas sur son déclenchement le jour J — qui relève de l'organisation interne du client. À l'inverse, si vous étiez aussi en charge de l'astreinte ou du pilotage de la cellule de crise, votre exposition est bien plus large. Délimiter précisément le périmètre de la mission dans la lettre d'engagement n'est donc pas une formalité : c'est ce qui détermine, le jour du sinistre, jusqu'où va votre responsabilité. Une RC Pro bien souscrite suppose d'ailleurs que cette activité soit décrite fidèlement, faute de quoi la garantie peut être discutée.
Les trois réflexes qui auraient désamorcé ce sinistre
Ce scénario était évitable. Trois pratiques, à intégrer systématiquement dans vos missions, neutralisent l'essentiel du risque :
- Concevoir la procédure pour le pire moment. Une notification d'incident se teste un vendredi soir, pas un mardi à 10h. Prévoyez une astreinte, un canal de secours et une chaîne de remontée nominative avec suppléants.
- Faire un exercice de simulation. Un test à blanc (table-top) documenté prouve que la procédure est opérationnelle et déplace la charge de la preuve : vous avez fait votre travail, le client connaissait le dispositif.
- Tracer la limite de votre mission. Si le client refuse de mettre en place une astreinte malgré votre recommandation, écrivez-le. Une réserve formalisée devient une pièce maîtresse de défense.
Ces réflexes, combinés à une RC Pro qui reconnaît explicitement la mission de mise en conformité NIS2, transforment un sinistre potentiellement fatal en incident gérable. Pour situer cette protection dans l'ensemble des risques de votre activité, consultez la page référent NIS2.
Questions fréquentes
Le dispositif s'articule autour de plusieurs échéances : une alerte précoce sous 24 heures, une notification d'incident plus complète sous 72 heures, puis un rapport final sous un mois. Le compteur démarre à la connaissance de l'incident, y compris le week-end, et non à sa prise en charge en heures ouvrées.
Pas du retard en lui-même, mais de la qualité de la procédure qu'il a conçue. Si la procédure de notification est techniquement correcte mais inopérante dans les conditions réelles (pas d'astreinte, pas de canal de secours), le client peut reprocher au référent une faute de conseil ayant contribué au retard.
Pour le référent, c'est la RC Pro qui répond du préjudice immatériel causé au client par une procédure inadaptée. L'assurance cyber du client, elle, couvre l'incident technique (restauration, pertes d'exploitation). Les deux interviennent sur des terrains distincts qu'il faut bien séparer dans la gestion du sinistre.
En documentant un exercice de simulation (test à blanc), en formalisant une chaîne de remontée nominative avec suppléants et astreinte, et en conservant la trace écrite de vos recommandations. Si le client a refusé certaines mesures, une réserve écrite constitue une pièce maîtresse de défense.
Oui. Le préjudice reproché additionne souvent surcoût de gestion de crise, perte de marché et frais de défense, qui dépassent largement le montant des honoraires perçus. C'est l'effet de levier d'un incident grave sur une seule procédure défaillante qui rend la RC Pro indispensable, même pour une petite structure.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Référent NIS2 — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Référent NIS2 →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.