Votre SOC détecte. Vigicap en tient le registre et les délais.

• Les trois échéances, calculées depuis la prise de connaissance

  À la création de l'incident, Vigicap pose les trois jalons de l'article 23 à partir de la date à laquelle vous en avez eu connaissance : pré-notification à 24 heures, notification à 72 heures, rapport final à un mois. Un traitement vérifie toutes les quinze minutes et prévient les administrateurs par e-mail avant chaque échéance. Corriger la date de prise de connaissance recalcule les trois.

• Le bon destinataire national, écrit dans le projet

  Le projet de pré-notification nomme l'autorité du pays du client : l'ANSSI en France, le BSI en Allemagne, le CSIRT Italia, le CSIRT NASK en Pologne, le CCB en Belgique, le NCSC-NL aux Pays-Bas. Sans juridiction renseignée, il le dit au lieu de supposer la France. Le texte est déterministe, sans modèle d'IA, et c'est vous qui l'envoyez : Vigicap ne dépose rien auprès d'une autorité.

• De l'alerte à l'incident, par un geste d'analyste

  Les alertes remontées arrivent dans une file par client. L'analyste en écarte une avec un motif, ou la qualifie en incident — et c'est à cet instant, jamais tout seul, que les horloges démarrent. Aujourd'hui une seule intégration alimente cette file, TheHive ; les autres connecteurs SIEM sont lus pour leur posture, et la page des connecteurs dit lequel fait quoi.

• La veille CERT-FR, rapprochée de chaque client

  Vigicap suit les alertes, avis et actualités du CERT-FR et rapproche les produits nommés dans un bulletin des connecteurs de chaque client. Ce que vous lisez est « ce client a un connecteur pour un produit nommé ici » — pas « ce client est vulnérable ». Il n'y a ni scan ni base CVE : la source est le CERT-FR.

• Un rapport de service mensuel, par client

  Chaque client a son mois de service : alertes reçues et triées, incidents ouverts et résolus, échéances NIS 2 tenues, couverture des connecteurs. Ce qui n'a pas été mesuré s'affiche comme non mesuré — jamais comme un zéro, parce qu'un zéro se lit « instantané ». Vous y inscrivez vos engagements contractuels (tri d'une alerte, résolution d'un incident) et le rapport les confronte à l'alerte la plus lente du mois, pas à la médiane : « tenu » veut dire tenu sur chacune.

• Un analyste ne voit que ses clients, si vous l'activez

  L'option se règle au niveau de l'agence. Une fois active, un consultant n'atteint que les clients qui lui sont assignés, et une tentative sur un autre répond « introuvable » plutôt que « interdit », pour ne pas confirmer son existence. Les administrateurs et les responsables ne sont jamais restreints, et l'option est désactivée par défaut.

• Qui voit quoi, et comment le portefeuille est rangé

  Un siège en lecture seule donne accès à tout le dossier sans pouvoir rien y écrire — pour un auditeur, un client, un stagiaire. Et les clients se regroupent par étiquette : « SOC managé », « sous contrat », ce que vous voulez, avec un filtre sur le portefeuille dès qu'une étiquette existe.

Vos outils, en lecture seule

SIEM et journalisation, gestion de cas, scanners de vulnérabilités, EDR, identité, sauvegarde : chaque connecteur indique ce qu'il lit chez le client et l'objectif ReCyF qu'il renseigne. Les droits demandés sont écrits sur chaque fiche.