Commission Delegated Regulation (EU) 2025/301 of 23 October 2024 supplementing Regulation (EU) 2022/2554

Les entités financières incluent dans la notification initiale, le rapport intermédiaire et le rapport final, visés à l’article 19, paragraphe 4, du règlement (UE) 2022/2554, les informations générales suivantes:

a) le type de soumission (notification initiale, rapport intermédiaire ou rapport final);

b) le nom de l’entité financière, son code LEI et le type d’entité financière visé à l’article 2, paragraphe 1, du règlement (UE) 2022/2554;

c) le nom et le code d’identification de l’entité qui soumet la notification initiale, ou le rapport intermédiaire ou final, pour l’entité financière;

d) le cas échéant, les noms et codes LEI de toutes les entités financières couvertes par la notification initiale agrégée ou le rapport intermédiaire ou final;

e) les coordonnées des personnes chargées de communiquer avec l’autorité compétente au sujet de l’incident majeur lié aux TIC;

f) le cas échéant, l’identification de l’entreprise mère du groupe auquel l’entité financière appartient;

g) en cas d’incidence sur la situation monétaire, la monnaie dans laquelle les montants sont calculés.

Les notifications initiales visées à l’article 19, paragraphe 4, point a), du règlement (UE) 2022/2554 contiennent au moins toutes les informations spécifiques suivantes:

a) le code de référence de l’incident attribué par l’entité financière;

b) la date et l’heure de détection de l’incident et sa classification conformément à l’article 8 du règlement délégué (UE) 2024/1772 de la Commission (1);

c) une description de l’incident lié aux TIC;

d) les critères énoncés aux articles 1er à 8 du règlement délégué (UE) 2024/1772, sur la base desquels l’entité financière a classé l’incident lié aux TIC comme majeur;

e) les États membres touchés par l’incident lié aux TIC;

f) des informations sur la manière dont l’incident lié aux TIC a été détecté;

g) le cas échéant, des informations sur l’origine de l’incident lié aux TIC;

h) des informations indiquant si l’entité financière a activé un plan de continuité des activités;

i) le cas échéant, des informations sur le reclassement de l’incident lié aux TIC de majeur à non majeur;

j) le cas échéant, toute autre information pertinente.

Les rapports intermédiaires visés à l’article 19, paragraphe 4, point b), du règlement (UE) 2022/2554 contiennent au moins toutes les informations spécifiques suivantes:

a) le cas échéant, le code de référence de l’incident attribué par l’autorité compétente;

b) la date et l’heure auxquelles l’incident lié aux TIC est survenu;

c) le cas échéant, la date et l’heure auxquelles l’entité financière a repris ses activités régulières;

d) des informations sur la manière dont les critères énoncés aux articles 1er à 8 du règlement délégué (UE) 2024/1772 ont été remplis, sur la base desquels l’entité financière a classé l’incident lié aux TIC comme majeur;

e) le type d’incident lié aux TIC;

f) le cas échéant, les menaces et les techniques utilisées par l’acteur de la menace;

g) les domaines fonctionnels et les processus opérationnels concernés;

h) les composants d’infrastructure concernés soutenant les processus opérationnels;

i) l’incidence sur les intérêts financiers des clients;

j) des informations sur la notification de l’incident lié aux TIC à d’autres autorités;

k) les actions ou mesures temporaires prises ou prévues par l’entité financière pour se rétablir à la suite de l’incident lié aux TIC;

l) le cas échéant, des informations sur les ►C1 indicateurs de compromission** ◄ **.

Les rapports finaux visés à l’article 19, paragraphe 4, point c), du règlement (UE) 2022/2554 contiennent toutes les informations spécifiques suivantes:

a) des informations sur les causes originelles de l’incident lié aux TIC;

b) les dates et heures auxquelles l’incident lié aux TIC a été résolu et la ou les causes originelles ont été traitées;

c) des informations sur la résolution de l’incident lié aux TIC;

d) le cas échéant, les informations pertinentes pour les autorités de résolution;

e) des informations sur les coûts et pertes directs et indirects découlant de l’incident lié aux TIC et des informations sur les recouvrements financiers;

f) le cas échéant, des informations sur les incidents récurrents liés aux TIC.

1. Les entités financières soumettent la notification initiale et les rapports intermédiaire et final visés à l’article 19, paragraphe 4, points a), b) et c), du règlement (UE) 2022/2554 dans les délais suivants:a) pour le rapport initial: le plus tôt possible, mais en tout état de cause, dans un délai de quatre heures à compter de la classification de l’incident lié aux TIC comme majeur et au plus tard 24 heures à compter du moment où l’entité financière en a eu connaissance;b) pour le rapport intermédiaire: au plus tard dans un délai de 72 heures à compter de la soumission de la notification initiale, même si la situation ou le traitement de l’incident n’ont pas changé conformément à l’article 19, paragraphe 4, point b), du règlement (UE) 2022/2554. Les entités financières soumettent sans retard injustifié un rapport intermédiaire actualisé et, en tout état de cause, lorsque les activités régulières ont repris;c) pour le rapport final: au plus tard un mois après la soumission du rapport intermédiaire ou, le cas échéant, après la dernière mise à jour du rapport intermédiaire.

2. Lorsque l’entité financière n’a pas classé un incident lié aux TIC comme majeur dans un délai de 24 heures à compter du moment où elle en a eu connaissance, mais qu’elle classe cet incident comme majeur à un stade ultérieur, elle soumet la notification initiale dans un délai de quatre heures à compter de la classification de l’incident lié aux TIC comme majeur.

3. Les entités financières qui ne sont pas en mesure de soumettre la notification initiale, le rapport intermédiaire ou le rapport final dans les délais fixés au paragraphe 1 en informent l’autorité compétente dans les meilleurs délais, mais au plus tard dans les délais respectifs pour la soumission de la notification ou du rapport, et en expliquent les raisons.

4. Lorsque le délai de soumission d’une notification initiale, d’un rapport intermédiaire ou d’un rapport final expire un jour de week-end ou un jour férié dans l’État membre de l’entité financière déclarante, l’entité financière peut soumettre la notification initiale, le rapport intermédiaire ou le rapport final au plus tard à midi le jour ouvrable suivant.

5. Le paragraphe 4 ne s’applique pas à la soumission d’une notification initiale ou d’un rapport intermédiaire par les établissements de crédit, les contreparties centrales, les opérateurs de plates-formes de négociation et d’autres entités financières considérées comme des entités essentielles ou importantes conformément à l’article 3 de la directive (UE) 2022/2555.

6. Les autorités compétentes peuvent décider que le paragraphe 4 ne s’applique pas à la soumission d’une notification initiale ou d’un rapport intermédiaire par les entités financières, autres que celles visées au paragraphe 5, qui sont classées comme importantes ou présentent un caractère systémique pour le secteur financier au niveau national ou de l’Union. Les autorités compétentes notifient leur décision aux entités financières concernées. La décision de l’autorité compétente ne s’applique qu’en ce qui concerne les incidents déclarés après la date de la notification de la décision par l’autorité compétente aux entités financières concernées.

Le contenu de la notification volontaire en ce qui concerne les cybermenaces importantes visée à l’article 19, paragraphe 2, du règlement (UE) 2022/2554 couvre l’ensemble des éléments suivants:

a) des informations générales sur l’entité financière notifiante, conformément à l’article 1er;

b) la date et l’heure de détection de la cybermenace importante et de tout autre horodatage pertinent lié à cette dernière;

c) une description de la cybermenace importante;

d) des informations sur l’incidence potentielle de la cybermenace importante sur l’entité financière, ses clients ou ses contreparties financières;

e) les critères de classification susceptibles d’avoir été à l’origine d’un rapport d’incident majeur prévus aux articles 1er à 8 du règlement délégué (UE) 2024/1772 en cas de matérialisation de la cybermenace;

f) des informations sur la situation de la cybermenace importante et sur tout changement dans l’activité de la menace;

g) le cas échéant, une description des mesures prises par l’entité financière pour empêcher la matérialisation des cybermenaces importantes;

h) des informations sur toute notification de la cybermenace importante à d’autres entités ou autorités financières;

i) le cas échéant, des informations sur les ►C1 indicateurs de compromission** ◄ **;

j) le cas échéant, toute autre information pertinente.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.