Délais de déclaration des incidents majeurs (DORA)
Horloges de l'article 19 de DORA fixées par le règlement délégué (UE) 2025/301 : notification initiale sous quatre heures après la classification et 24 heures après la connaissance, rapport intermédiaire sous 72 heures, rapport final sous un mois.
Les délais de déclaration des incidents majeurs sont les horloges que DORA impose à une entité financière pour signaler à son autorité compétente un incident majeur lié aux TIC (technologies de l'information et de la communication), de la notification initiale au rapport final. L'obligation vient de l'article 19 du règlement (UE) 2022/2554 (DORA) et s'applique depuis le 17 janvier 2025 ; les horloges sont à l'article 5 du règlement délégué (UE) 2025/301, publié au Journal officiel le 20 février 2025 avec le règlement d'exécution (UE) 2025/302, qui fixe le formulaire unique des trois étapes (annexe I) et son glossaire de données (annexe II). Notification initiale : dès que possible, au plus tard quatre heures après la classification de l'incident comme majeur, et au plus tard 24 heures après que l'entité en a eu connaissance. Rapport intermédiaire : au plus tard 72 heures après la notification initiale, même si rien n'a bougé, puis mis à jour quand l'activité normale reprend. Rapport final : au plus tard un mois après le rapport intermédiaire ou sa dernière mise à jour. Une échéance qui tombe un week-end ou un jour férié peut être tenue le jour ouvrable suivant à midi. Ce report ne vaut pas pour la notification initiale ni pour le rapport intermédiaire des établissements de crédit, contreparties centrales, plates-formes de négociation et entités essentielles ou importantes au sens de NIS2. L'entité qui ne peut tenir une échéance prévient l'autorité sans retard injustifié, au plus tard à cette échéance, et dit pourquoi. Les deux plafonds de la notification initiale se cumulent : passé la vingtième heure sans classification, la fenêtre de quatre heures n'existe plus. Pour le souscripteur, ces premières heures se paient en tarif de nuit et de week-end. Le poste frais de réponse les prend en charge si le libellé vise les obligations de déclaration imposées par la loi en général ; s'il ne vise que les violations de données personnelles, un incident DORA sans donnée touchée reste dehors. Nuance : le rapport intermédiaire court à partir de la notification initiale et non de la détection, de sorte qu'un premier envoi tardif décale toute la chaîne ; le retard lui-même peut finir en sanction.
Cas d'école : un assureur fictif détecte une anomalie le lundi à 23 h. Il classe l'incident comme majeur le mardi à 14 h : la notification initiale est due à 18 h, quatre heures plus tard, en deçà du plafond de 24 heures qui tombe le mardi à 23 h. Envoyée à 17 h 30, elle fait partir le rapport intermédiaire au vendredi 17 h 30 (72 heures). Si la classification n'était venue qu'à 21 h, quatre heures auraient mené à 1 h le mercredi ; le plafond de 24 heures ramène l'échéance au mardi 23 h, soit deux heures seulement.
délais DORA, notification initiale DORA, rapport intermédiaire DORA, rapport final DORA, règlement délégué 2025/301, règlement d'exécution 2025/302, règle des 4 heures DORA
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.