Comment fonctionne le signalement des incidents TIC au titre de DORA ?

L’article 3, point 10, de DORA définit l’incident majeur lié aux TIC comme un incident ayant une incidence négative élevée sur les réseaux et systèmes d’information qui soutiennent des fonctions critiques ou importantes. L’article 18, paragraphe 1, énumère les six critères de classement de tout incident : les clients, contreparties financières et transactions touchés, y compris l’atteinte à la réputation ; la durée et les interruptions de service ; la répartition géographique ; les pertes de données ; la criticité des services touchés ; les conséquences économiques.

Le règlement délégué (UE) 2024/1772 de la Commission traduit ces critères en un test. Selon son article 8, un incident est majeur lorsqu’il a touché des services critiques et que, soit il y a eu un accès réussi, malveillant et non autorisé aux réseaux et systèmes d’information susceptible d’entraîner des pertes de données, soit au moins deux des autres seuils d’importance significative sont atteints. Quelques seuils de l’article 9 :

• plus de 10 % des clients qui utilisent le service touché, ou plus de 100 000 clients, sont concernés ;
• l’incident dure plus de 24 heures, ou l’interruption dépasse 2 heures pour des services TIC soutenant des fonctions critiques ou importantes ;
• l’incident a une incidence dans au moins deux États membres ;
• les coûts et pertes dépassent, ou risquent de dépasser, 100 000 euros.

Les incidents récurrents comptent aussi. Des incidents qui ne sont pas majeurs pris isolément forment un seul incident majeur lorsqu’ils surviennent au moins deux fois en 6 mois, ont la même cause apparente et remplissent ensemble le test. Les entités financières font cette vérification chaque mois ; les microentreprises et les entités soumises au régime simplifié de l’article 16, paragraphe 1, de DORA en sont dispensées.

L’article 5 du règlement délégué (UE) 2025/301 de la Commission fixe les délais des trois déclarations prévues à l’article 19, paragraphe 4, de DORA :

• Notification initiale : le plus tôt possible, dans les 4 heures suivant le classement de l’incident comme majeur et au plus tard 24 heures après en avoir pris connaissance. Si l’incident n’est classé majeur qu’après ces 24 heures, les 4 heures courent à compter du classement.
• Rapport intermédiaire : dans les 72 heures suivant la notification initiale, même si la situation ou le traitement n’ont pas changé. Un rapport intermédiaire actualisé suit sans retard injustifié, et en tout cas lorsque les activités habituelles ont été rétablies.
• Rapport final : au plus tard un mois après le rapport intermédiaire ou le dernier rapport actualisé. Selon l’article 19, paragraphe 4, point c), de DORA, il intervient lorsque l’analyse des causes originelles est terminée, que des mesures d’atténuation soient en place ou non, et lorsque les chiffres réels remplacent les estimations.

Une entité qui ne peut pas tenir un délai en informe l’autorité compétente avant son expiration et en explique les raisons. Lorsqu’un délai tombe un week-end ou un jour férié, la déclaration peut être déposée jusqu’à midi le jour ouvrable suivant. Cette souplesse ne vaut pas pour la notification initiale et le rapport intermédiaire des établissements de crédit, des contreparties centrales, des opérateurs de plates-formes de négociation et des entités financières identifiées comme entités essentielles ou importantes au titre de NIS2, et l’autorité peut l’écarter pour d’autres entités importantes ou systémiques.

Les déclarations utilisent les formulaires et modèles standard du règlement d’exécution (UE) 2025/302 de la Commission. Si une impossibilité technique empêche d’utiliser le modèle pour la notification initiale, l’entité prévient l’autorité par d’autres moyens (article 19, paragraphe 1, de DORA).

La déclaration est adressée à l’autorité compétente pertinente visée à l’article 46. Lorsqu’une entité relève de plusieurs autorités nationales, l’État membre en désigne une seule. Les établissements de crédit classés comme importants déclarent à leur autorité nationale compétente, qui transmet immédiatement la déclaration à la BCE. Les États membres peuvent aussi exiger une copie pour les autorités ou CSIRT désignés au titre de NIS2.

Les clients sont informés directement. Selon l’article 19, paragraphe 3, lorsqu’un incident majeur a une incidence sur leurs intérêts financiers, l’entité les informe sans retard injustifié, dès qu’elle en a connaissance, de l’incident et des mesures prises pour en atténuer les effets.

• Le classement est retardé pour retarder le délai. La limite de 24 heures court à compter de la prise de connaissance : un classement tardif ne fait pas gagner de temps.
• Le rapport intermédiaire attend la cause originelle. Il est dû dans les 72 heures suivant la notification initiale, quoi qu’il arrive.
• Les incidents récurrents ne sont jamais regroupés, faute de vérification mensuelle.
• La communication aux clients manque au plan, alors que l’article 19, paragraphe 3, et les plans de communication de l’article 17, paragraphe 3, point d), l’exigent.
• Les données nécessaires au classement (clients touchés, transactions, durée d’interruption, coûts) sont dispersées dans plusieurs systèmes, et la fenêtre de 4 heures passe à les rassembler.