devons-nous signaler un incident de sécurité de l'année dernière à notre client

Un ancien incident figure dans le questionnaire, non dans un canal de signalement distinct

Oui, vous devez consigner un incident de sécurité de l'année précédente si la question porte sur les incidents ou sur leur traitement — même si l'incident lui-même est déjà clôturé. La plupart des questionnaires clients ne portent pas sur une menace actuelle, mais sur l'existence d'une procédure et son fonctionnement. Un incident clôturé de l'année précédente en est une meilleure preuve qu'un risque : il montre que la procédure de traitement des incidents de cybersécurité elle a été menée en pratique, de la détection à la clôture.

Ceci est donc différent d'une obligation légale de signalement auprès d'une autorité de contrôle — qui dispose de délais propres et de destinataires propres, et ces délais ont largement expiré si l'incident remonte à l'année précédente. Le questionnaire de votre client n'est pas un point de signalement ; c'est une question de responsabilité. Répondez-y sur la base de ce qui est actuellement établi : existe-t-il une procédure, a-t-elle été appliquée, des améliorations ont-elles été mises en œuvre suite à l'incident ? Si ce dernier point manque, « non » ou « partiellement » est une réponse tout aussi valide que « oui » — du moment qu'elle correspond à ce qui figure dans le dossier de chaîne.

D'où cela provient : article 21, paragraphe 2 et Annexe A

L'article 21, paragraphe 2, de la directive NIS2 énumère le traitement des incidents parmi les dix mesures obligatoires, aux côtés notamment de l'analyse des risques et la sécurité des systèmes d'information et la continuité d'activité. La norme ISO/IEC 27001 l'explicite à l'annexe A en prescrivant des mesures de gestion qui exigent l'enregistrement, la réaction et l'évaluation des incidents — un dossier clôturé de l'année précédente s'y inscrit précisément comme matériel exemplaire. La loi sur la cybersécurité, la transposition néerlandaise de NIS2, entre en vigueur le 15 août 2026 et réglemente l'obligation légale de signalement aux autorités ; c'est une démarche distincte de la responsabilité que demande un client dans son propre questionnaire.