Notification d'incidents sous la loi NIS1 (loi du 28 mai 2019)

Question

Volumes et traitement (1er janvier 2025 – 1er janvier 2026)

1. Combien de notifications d'incidents de sécurité ont été reçues par l'ILR au titre de la loi du 28 mai 2019 sur cette période ? Le Ministre peut-il fournir une ventilation par secteur d'activité (énergie, transports, santé, eau, infrastructures numériques, services financiers, etc.) ?
2. Parmi ces notifications, combien ont été classifiées comme incidents « significatifs » au sens de la loi ? Quels critères de seuil l'ILR applique-t-elle en pratique pour déterminer le caractère significatif d'un incident ?
3. Quel est le délai moyen constaté entre la survenance d'un incident et sa notification à l'ILR par l'opérateur de services essentiels ou le fournisseur de services numériques ?

Qualité et suivi

4. Dans combien de cas l'ILR a-t-elle jugé une notification incomplète ou tardive et quelles suites ont été données (demande de complément, avertissement, sanction) ?
5. Dans combien de cas l'ILR a-t-elle constaté qu'un incident aurait dû être notifié mais ne l'a pas été ? Quels mécanismes de détection des sous-notifications l'ILR a-t-elle mis en place ?
6. Combien de notifications ont donné lieu à une transmission au CSIRT national (CIRCL ou HCPN) pour traitement opérationnel, et dans quel délai moyen cette transmission s'est-elle effectuée ?

Sanctions et conformité

7. Combien de sanctions administratives ont été prononcées par l'ILR à l'encontre d'entités pour défaut ou retard de notification d'incident depuis l'entrée en vigueur de la loi ? Si aucune sanction n'a été prononcée, comment le Ministre explique-t-il l'absence de recours à cet outil de dissuasion ?
8. L'ILR a-t-elle procédé à des contrôles proactifs ou des exercices de simulation pour vérifier la capacité des opérateurs de services essentiels à notifier un incident dans les délais requis ?

Coordination et retour d'expérience

9. L'ILR publie-t-elle un rapport annuel ou des statistiques agrégées sur les incidents notifiés, comme le prévoit le cadre européen ? Si non, le Gouvernement envisage-t-il de rendre ces données publiques afin de renforcer la transparence et la sensibilisation ?
10. Quelles sont les principales typologies d'incidents notifiés (ransomware, DDoS, compromission de données, défaillance technique) et quelles tendances se dégagent par rapport aux années précédentes ?
11. Comment la coordination entre l'ILR, le HCPN, le CIRCL et, le cas échéant, la CSSF s'organise-t-elle concrètement lors de la réception d'une notification d'incident affectant plusieurs secteurs ou ayant un impact transfrontalier ?