What changed, Règlement d’exécution (UE) 2025/302 de la Commission du 23 octobre 2024 définissant des no…

+ ### Article premier — Modèle de déclaration des incidents majeurs liés aux TIC
− ### art_1
+ **1.** Les entités financières utilisent le modèle figurant à l’annexe I pour soumettre la notification initiale, le rapport intermédiaire et le rapport final visés à l’article 19, paragraphe 4, du règlement (UE) 2022/2554, selon les modalités suivantes:a) les entités financières qui soumettent une …
− Article premier
+ **2.** Les entités financières veillent à ce que les informations figurant dans la notification initiale ainsi que dans le rapport intermédiaire et le rapport final soient complètes et exactes.
− 1. Les entités financières utilisent le modèle figurant à l’annexe I pour soumettre la notification initiale, le rapport intermédiaire et le rapport final visés à l’article 19, paragraphe 4, du règlement (UE) 2022/2554, selon les modalités suivantes:
+ **3.** Lorsque des données exactes ne sont pas disponibles au moment de soumettre la notification initiale ou le rapport intermédiaire, les entités financières fournissent, dans la mesure du possible, des valeurs estimées fondées sur d’autres données et informations disponibles.
− | a) | les entités financières qui soumettent une notification initiale remplissent les champs de données du modèle qui correspondent aux informations devant être fournies conformément à l’article 2 du règlement délégué (UE) 2025/301 de la Commission (7), et peuvent, lorsqu’elles disposent déjà de c…
− | --- | --- |
+ **4.** Lorsqu’elles soumettent un rapport intermédiaire ou final, les entités financières utilisent le modèle figurant à l’annexe I pour communiquer toutes les informations requises et mettre à jour, s’il y a lieu, les informations précédemment fournies dans la notification initiale ou dans le rappo…
− | b) | les entités financières qui soumettent un rapport intermédiaire remplissent les champs de données du modèle qui correspondent aux informations devant être fournies conformément à l’article 3 du règlement délégué (UE) 2025/301, et peuvent, lorsqu’elles disposent déjà des informations pertinent…
− | --- | --- |
+ **5.** Lorsqu’elles remplissent le modèle figurant à l’annexe I, les entités financières se conforment au glossaire de données et aux instructions figurant à l’annexe II.
− | c) | les entités financières qui soumettent un rapport final remplissent les champs de données du modèle qui correspondent aux informations devant être fournies conformément à l’article 4 du règlement délégué (UE) 2025/301 |
− | --- | --- |
− 
− 2. Les entités financières veillent à ce que les informations figurant dans la notification initiale ainsi que dans le rapport intermédiaire et le rapport final soient complètes et exactes.
+ ### Article 2 — Soumission conjointe de la notification initiale ainsi que des rapports intermédiaire et final
− 3. Lorsque des données exactes ne sont pas disponibles au moment de soumettre la notification initiale ou le rapport intermédiaire, les entités financières fournissent, dans la mesure du possible, des valeurs estimées fondées sur d’autres données et informations disponibles.
− 
− 4. Lorsqu’elles soumettent un rapport intermédiaire ou final, les entités financières utilisent le modèle figurant à l’annexe I pour communiquer toutes les informations requises et mettre à jour, s’il y a lieu, les informations précédemment fournies dans la notification initiale ou dans le rapport i…
− 
− 5. Lorsqu’elles remplissent le modèle figurant à l’annexe I, les entités financières se conforment au glossaire de données et aux instructions figurant à l’annexe II.
− 
− ### art_2
− Article 2
− 
+ ### Article 3 — Incidents récurrents liés aux TIC
− ### art_3
− Article 3
− 
+ ### Article 4 — Utilisation de canaux électroniques sécurisés
− ### art_4
+ **1.** Les entités financières utilisent des canaux électroniques sécurisés mis à disposition par leur autorité compétente pour soumettre la notification initiale et les rapports intermédiaire et final.
− Article 4
− 
− 1. Les entités financières utilisent des canaux électroniques sécurisés mis à disposition par leur autorité compétente pour soumettre la notification initiale et les rapports intermédiaire et final.
+ **2.** Les entités financières qui ne sont pas en mesure d’utiliser les canaux électroniques sécurisés mis à disposition par leur autorité compétente informent cette dernière d’un incident majeur lié aux TIC par d’autres moyens de communication sécurisés, en accord avec l’autorité compétente. Si l’a…
− 2. Les entités financières qui ne sont pas en mesure d’utiliser les canaux électroniques sécurisés mis à disposition par leur autorité compétente informent cette dernière d’un incident majeur lié aux TIC par d’autres moyens de communication sécurisés, en accord avec l’autorité compétente. Si l’autor…
+ ### Article 5 — Reclassement des incidents majeurs liés aux TIC
− ### art_5
− 
− Article 5
+ ### Article 6 — Notification de l’externalisation des obligations de déclaration
− ### art_6
+ **1.** Les entités financières qui ont externalisé l’obligation de déclarer les incidents majeurs liés aux TIC en vertu de l’article 19, paragraphe 5, du règlement (UE) 2022/2554 informent leur autorité compétente de cet accord d’externalisation dès que celui-ci a été conclu et, au plus tard, avant …
− Article 6
+ **2.** Les entités financières communiquent à l’autorité compétente le nom, les coordonnées et le code d’identification du tiers qui soumettra, en leur nom, les notifications ou rapports d’incidents majeurs liés aux TIC.
− 1. Les entités financières qui ont externalisé l’obligation de déclarer les incidents majeurs liés aux TIC en vertu de l’article 19, paragraphe 5, du règlement (UE) 2022/2554 informent leur autorité compétente de cet accord d’externalisation dès que celui-ci a été conclu et, au plus tard, avant la p…
+ **3.** Les entités financières informent leur autorité compétente dès qu’elles n’externalisent plus leurs obligations de déclaration selon l’article 19, paragraphe 5, du règlement (UE) 2022/2554.
− 2. Les entités financières communiquent à l’autorité compétente le nom, les coordonnées et le code d’identification du tiers qui soumettra, en leur nom, les notifications ou rapports d’incidents majeurs liés aux TIC.
+ ### Article 7 — Déclaration agrégée
− 3. Les entités financières informent leur autorité compétente dès qu’elles n’externalisent plus leurs obligations de déclaration selon l’article 19, paragraphe 5, du règlement (UE) 2022/2554.
+ **1.** Un prestataire tiers de services auprès duquel des obligations de déclaration ont été externalisées conformément à l’article 19, paragraphe 5, du règlement (UE) 2022/2554 peut utiliser le modèle figurant à l’annexe I du présent règlement pour fournir, dans une seule et même notification ou un…
− ### art_7
+ **2.** Le paragraphe 1 ne s’applique pas aux établissements de crédit jugés d’importance significative au sens de l’article 2, point 16), du règlement (UE) no 468/2014 de la Banque centrale européenne (2), aux opérateurs de plates-formes de négociation et aux contreparties centrales, qui utilisent u…
− Article 7
+ **3.** Lorsque les autorités compétentes exigent des informations relatives à l’incidence individuelle de l’incident majeur lié aux TIC sur une seule et même entité financière, à la demande de l’autorité compétente, l’entité financière soumet une notification individuelle ou un rapport sur l’inciden…
− 1. Un prestataire tiers de services auprès duquel des obligations de déclaration ont été externalisées conformément à l’article 19, paragraphe 5, du règlement (UE) 2022/2554 peut utiliser le modèle figurant à l’annexe I du présent règlement pour fournir, dans une seule et même notification ou un seu…
+ ### Article 8 — Notification des cybermenaces importantes
− | a) | l’incident majeur lié aux TIC devant être déclaré est imputable à un prestataire tiers de services TIC ou est causé par celui-ci; |
− | --- | --- |
+ **1.** Les entités financières qui notifient des cybermenaces importantes aux autorités compétentes conformément à l’article 19, paragraphe 2, du règlement (UE) 2022/2554 utilisent le modèle figurant à l’annexe III du présent règlement et se conforment au glossaire de données et aux instructions fig…
− | b) | ce prestataire tiers de services fournit le service TIC concerné à plus d’une entité financière ou à un groupe; |
− | --- | --- |
+ **2.** Les entités financières veillent à ce que les informations figurant dans la notification des cybermenaces importantes soient complètes et exactes.
− | c) | l’incident lié aux TIC est classé comme majeur par chaque entité financière mentionnée dans la notification agrégée ou le rapport agrégé; |
− | --- | --- |
+ ### Article 9 — Entrée en vigueur
− | d) | l’incident majeur lié aux TIC touche des entités financières au sein d’un seul État membre et le rapport agrégé concerne des entités financières qui sont soumises à la surveillance de la même autorité compétente; |
− | --- | --- |
+ Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au *Journal officiel de l’Union européenne*.
− | e) | les autorités compétentes ont explicitement autorisé ce type d’entités financières à agréger leurs déclarations. |
− | --- | --- |
− 
− 2. Le paragraphe 1 ne s’applique pas aux établissements de crédit jugés d’importance significative au sens de l’article 2, point 16), du règlement (UE) no 468/2014 de la Banque centrale européenne (8), aux opérateurs de plates-formes de négociation et aux contreparties centrales, qui utilisent uniqu…
− 
− 3. Lorsque les autorités compétentes exigent des informations relatives à l’incidence individuelle de l’incident majeur lié aux TIC sur une seule et même entité financière, à la demande de l’autorité compétente, l’entité financière soumet une notification individuelle ou un rapport sur l’incident ma…
− 
− ### art_8
− 
− Article 8
− 
− 1. Les entités financières qui notifient des cybermenaces importantes aux autorités compétentes conformément à l’article 19, paragraphe 2, du règlement (UE) 2022/2554 utilisent le modèle figurant à l’annexe III du présent règlement et se conforment au glossaire de données et aux instructions figuran…
− 
− 2. Les entités financières veillent à ce que les informations figurant dans la notification des cybermenaces importantes soient complètes et exactes.
− 
− ### art_9
− 
− Article 9
− 
− Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.