Exigences de réponse aux incidents comparées entre référentiels
La réponse aux incidents fait partie des cinq sujets exigés par chaque référentiel. Les plans se ressemblent ; les délais de notification, non. Voici leur comparaison.
Cet article couvre les 11 référentiels que ControlMapping avait mis en correspondance au moment de sa rédaction. Depuis, DORA, CPS 234, Cyber Essentials ont été ajoutés le 2026-10-27 ; leurs pages et la matrice de couverture les intègrent.
La réponse aux incidents fait partie du socle commun : chaque référentiel que nous mettons en correspondance l'exige. L'exigence de base est la même partout : un plan, des personnes qui connaissent leur rôle, et un moyen de détecter, contenir, rétablir et tirer les enseignements. Les différences portent sur les tests et, surtout, sur qui vous devez prévenir, et dans quel délai.
Qui exige quoi
| Référentiel | Réponse aux incidents | Lien |
|---|---|---|
| NIST CSF 2.0 | RS.MA-01RS.MA-02RS.MA-03RS.MA-04ID.IM-04 | Définition du sujet |
| ISO 27001 | A.5.24A.5.25A.5.26 | Correspondance |
| CIS v8.1 | CIS 17.1CIS 17.4CIS 17.5CIS 17.7CIS 17.9 | Correspondance |
| SOC 2 | CC7.4CC7.3 | Éditorial |
| PCI DSS | 12.10.112.10.312.10.212.10.4 | Correspondance |
| CMMC | IR.L2-3.6.1IR.L2-3.6.3 | Correspondance |
| 800-53 | IR-4IR-8IR-2IR-3 | Correspondance |
| HIPAA | §164.308(a)(6)§164.308(a)(6)(ii) | Correspondance |
| GDPR | Art.33(1)Art.33(5) | Éditorial |
| NIS2 | 3.13.5 | Correspondance |
| Essential Eight | ISM-1819 | Éditorial |
Détail complet et raison de chaque lien : Réponse aux incidents dans les référentiels →
Le plan
Chaque référentiel attend une capacité documentée de réponse aux incidents : les contrôles de planification, d'évaluation et de réponse à la gestion des incidents de l'ISO 27001 (A.5.24 à A.5.26), l'évaluation et la réponse aux incidents du SOC 2 (CC7.3, CC7.4), le plan de réponse aux incidents de la PCI DSS (12.10.1), la gestion des incidents du CMMC (IR.L2-3.6.1), les procédures de gestion des incidents de sécurité de la HIPAA (§164.308(a)(6)) et la politique de traitement et de réponse aux incidents de la NIS2 (points 3.1 et 3.5). Le contenu est cohérent : rôles, niveaux de gravité, escalade, confinement, éradication, rétablissement et retour d'expérience.
Tests
PCI DSS est le seul à imposer une fréquence fixe : revoir et tester le plan au moins une fois par an (12.10.2), et former les personnes qui le mettent en œuvre (12.10.4). CMMC et SP 800-53 exigent de tester la capacité (IR.L2-3.6.3, IR-3) à une fréquence que vous définissez. CIS demande des exercices réguliers (17.7). ISO 27001 et SOC 2 attendent la preuve que le plan fonctionne sans fixer de calendrier ; un exercice de table annuel est la réponse habituelle.
Délais de notification
C'est là que les référentiels diffèrent réellement :
| Référentiel | À qui le signaler | Délai |
|---|---|---|
| NIS2 | CSIRT ou autorité compétente | Alerte précoce sous 24 heures ; notification sous 72 heures ; rapport final sous un mois |
| RGPD (GDPR) | Autorité de contrôle (violations de données personnelles) | Dans les 72 heures après en avoir pris connaissance (Article 33) |
| RGPD | Personnes concernées, lorsque le risque pour elles est élevé | Dans les meilleurs délais (Article 34) |
| CMMC / DFARS | DoD américain | Sous 72 heures, au titre de la clause DFARS 252.204-7012 |
| HIPAA | Personnes concernées (règle de notification des violations) | Sans retard injustifié, au plus tard 60 jours |
| PCI DSS | Marques de paiement et acquéreur | Selon les procédures de chaque marque (12.10.1) |
| ISO 27001, SOC 2 | Aucune échéance réglementaire | Votre plan et vos contrats décident |
Un même incident peut déclencher plusieurs délais à la fois. Une attaque par rançongiciel contre un fournisseur cloud de l'UE qui stocke des données personnelles et traite des paiements par carte pourrait lancer les procédures NIS2, RGPD et des marques de paiement dans la même heure.
Points clés
- Chaque référentiel exige un plan de réponse aux incidents ; son contenu est cohérent.
- Les délais de notification diffèrent fortement, de 24 heures pour la NIS2 à 60 jours pour la HIPAA.
- Un incident peut déclencher plusieurs délais ; un seul coordinateur devrait les piloter tous.
Que faire
- Rédigez un seul plan qui respecte les exigences de contenu les plus strictes, et listez chaque obligation de notification applicable, avec son délai, son destinataire et son responsable.
- Décidez qui évalue la gravité. Le délai de 24 heures de la NIS2 court dès que vous prenez connaissance d'un incident important ; la décision ne peut pas attendre le lundi.
- Testez-le au moins une fois par an (la règle de la PCI est une bonne référence par défaut), y compris dans un scénario hors des heures ouvrées.
- Conservez les registres de chaque incident et violation, notifiés ou non : le RGPD l'exige (Article 33, paragraphe 5), et chaque auditeur le demandera.
La page du sujet Réponse aux incidents répertorie chaque exigence avec sa source ; le sujet Notification couvre la notification. Notre guide NIS2 détaille davantage la procédure de notification.
Questions
Quels sont les délais de notification des incidents au titre de la NIS2 ?
Une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident important, une notification d'incident dans les 72 heures et un rapport final sous un mois.
À quelle fréquence un plan de réponse aux incidents doit-il être testé ?
La PCI DSS exige une revue et un test au moins annuels (12.10.2). Le CMMC et le SP 800-53 exigent de tester la capacité de réponse aux incidents (IR.L2-3.6.3, IR-3). L'ISO 27001 et le SOC 2 attendent des tests, mais laissent la fréquence à votre appréciation.
L'ISO 27001 fixe-t-elle un délai de notification des incidents ?
Non. L'ISO 27001 exige la gestion des incidents, y compris le signalement interne des événements et la réponse, mais aucun délai de notification réglementaire. Les délais découlent de la loi (NIS2, RGPD), des contrats et des règles sectorielles.
Données au 2026-10-27 : les chiffres de cet article sont calculés à partir de la correspondance actuelle et sont mis à jour lorsqu'elle évolue. Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Pas un conseil en conformité.
Articles connexes
Analyse · 2026-10-27APRA CPS 234 et ISO 27001 : ce que couvre votre SMSI et ce qu'APRA ajouteUn SMSI ISO 27001 couvre presque chaque paragraphe de la norme CPS 234 de l'APRA, mais l'APRA ajoute des obligations pour le conseil d'administration, l'assurance des tiers et des délais de notification stricts.
Analyse · 2026-10-27Cyber Essentials face à l'Essential Eight : deux référentiels nationaux comparésLe Cyber Essentials britannique et l'Essential Eight australien visent tous deux les attaques courantes, mais ils ne couvrent pas les mêmes domaines. Ce qui se recoupe, ce qui ne se recoupe pas, et pourquoi.
Analyse · 2026-10-27DORA vs NIS2 : ce qu'un programme NIS2 couvre déjàDORA et NIS2 partagent l'essentiel de la sécurité, mais DORA ajoute registre, clauses et tests basés sur la menace. Article par article, ce qui se reporte.