Classification des incidents liés aux TIC (DORA)
Grille du règlement délégué (UE) 2024/1772 qui dit quand un incident lié aux TIC (technologies de l'information et de la communication) subi par une entité financière devient majeur au sens de DORA et déclenche les rapports obligatoires à l'autorité compétente.
La classification des incidents liés aux TIC (technologies de l'information et de la communication) est la grille qui dit quand un incident subi par une entité financière devient majeur au sens de DORA, et doit alors être déclaré à l'autorité compétente. Le règlement délégué (UE) 2024/1772, adopté le 13 mars 2024 et publié au Journal officiel le 25 juin 2024, précise l'article 18 du règlement (UE) 2022/2554 (DORA). Il fixe les critères et les seuils qui font d'un incident lié aux TIC un incident majeur, donc déclarable selon l'article 19. La porte d'entrée est l'atteinte à des services critiques. Une fois cette porte franchie, l'incident est majeur dans deux cas : un accès malveillant, non autorisé et réussi aux réseaux et systèmes d'information, susceptible d'entraîner une perte de données ; ou le dépassement des seuils de matérialité d'au moins deux autres critères. L'article 9 chiffre ces seuils. Clients, contreparties et transactions : plus de 10 % des clients du service touché, ou plus de 100 000 clients. Étendue géographique : un impact dans deux États membres ou plus. Impact économique : des coûts et pertes qui dépassent, ou dépasseront probablement, 100 000 euros. Durée et indisponibilité : un incident de plus de 24 heures, ou plus de deux heures d'arrêt d'un service qui soutient une fonction critique ou importante. Réputation, perte de données et criticité des services s'apprécient sur des faits qualitatifs. Pour le souscripteur, le seuil économique est celui qui surprend. Cent mille euros, c'est une semaine de prestataire de réponse et deux jours de pertes d'exploitation : un incident qui reste sous la franchise de la police peut déjà être majeur pour le superviseur. La classification fait aussi partir l'horloge des quatre heures, et le travail de qualification des premières heures est un coût que le poste frais de réponse couvre ou non selon que le libellé vise les obligations réglementaires hors données personnelles. Au sinistre, les montants déclarés à l'autorité et ceux réclamés à l'assureur se comparent ; un écart demande une explication. Nuance : la classification reste un jugement de l'entité, et un incident d'abord jugé majeur peut être reclassé dans un rapport ultérieur.
Cas d'école : une banque en ligne fictive compte 800 000 clients. Une panne bloque le paiement par carte pendant trois heures ; 60 000 clients sont touchés, soit 7,5 %, sous les 10 % et sous les 100 000 : pas de seuil franchi sur les clients. L'arrêt de trois heures d'un service critique dépasse les deux heures : premier seuil. Les coûts, 90 000 euros de prestataires et 50 000 euros de gestes commerciaux, font 140 000 euros, au-dessus de 100 000 : second seuil. Service critique touché et deux seuils franchis, l'incident est majeur. Sa franchise cyber étant de 150 000 euros, l'assureur ne paiera rien.
règlement délégué 2024/1772, RTS classification DORA, incident majeur DORA, seuils de matérialité DORA, critères de classification des incidents TIC, incident TIC majeur
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.