L'article 23 prévoit une chaîne de notifications et non une échéance unique. Une alerte précoce est due dans les 24 heures suivant la prise de connaissance d'un incident important, une notification d'incident dans les 72 heures, un rapport intermédiaire à chaque demande du CSIRT ou de l'autorité compétente, un rapport d'avancement si l'incident est toujours en cours au bout d'un mois et un rapport final dans un délai d'un mois à compter de la notification. Les prestataires de services de confiance notifient dans les 24 heures au stade de la notification, en vertu de la dérogation figurant au dernier alinéa de l'article 23, paragraphe 4. L'article 23, paragraphe 1, ajoute une obligation fréquemment oubliée : informer, lorsque cela est approprié, les destinataires des services des incidents importants susceptibles de nuire à la fourniture de ces services. L'autorité destinataire en France sera désignée par la loi de transposition ; à ce jour, l'ANSSI assure un pré-enregistrement volontaire.