le client veut savoir si je signale les incidents dans les 24 heures

24 heures est un avertissement, pas une notification complète

Non, pas au sens d'un rapport d'incident complet dans les 24 heures — mais il existe bien une obligation qui s'en rapproche. L'article 21, paragraphe 2, de la directive NIS2 oblige les entités « importantes » et « essentielles » à signaler les incidents significatifs par étapes : un avertissement précoce dans les 24 heures, suivi d'une notification complète dans les 72 heures, et un rapport final ultérieurement. Cette obligation s'applique directement à l'entité qui relève de NIS2 — il s'agit généralement du client qui envoie le questionnaire, pas automatiquement du fournisseur qui le remplit. Que cette obligation de 24 heures s'applique également à votre propre entreprise dépend de savoir si vous relevez vous-même de la directive en tant qu'entité ; cela est décrit dans la question de savoir si l'entreprise elle-même est soumise à NIS2.

Ce qu'un client veut généralement savoir avec cette question, ce n'est pas si vous respectez l'obligation légale de notification auprès d'une autorité de surveillance, mais si vous l'informez suffisamment rapidement en cas de problème chez vous qui affecte sa prestation de services. C'est un accord contractuel, pas un délai légal issu de la directive elle-même — les 24 heures de NIS2 constituent une obligation entre l'entité et l'autorité de surveillance, pas automatiquement entre le fournisseur et le client. Si vous disposez d'une procédure d'incident avec vos propres délais de notification interne, c'est le document justificatif qui convient généralement ici ; cette procédure est décrite dans la question relative à une procédure pour les incidents de sécurité. Si vous n'avez pas de délai établi, un « non » avec une courte explication est plus honnête qu'un « oui » que vous ne pouvez pas justifier.

Où cela figure dans la directive : article 21, paragraphe 2

L'obligation de notification par étapes — avertissement précoce dans les 24 heures, notification dans les 72 heures, rapport final — figure à l'article 21, paragraphe 2, de la directive (UE) 2022/2555, dans le cadre des dix mesures énumérées à cet endroit. Cette obligation concerne la relation entre l'entité et l'autorité de surveillance compétente ou l'équipe CSIRT, pas la relation entre le fournisseur et le client. La Cybersecurity Act néerlandaise transpose cette directive dans la législation nationale ; qui relève exactement de l'obligation de notification et à partir de quel moment découle de cette loi une fois qu'elle entrera en vigueur.