Notification d'incident majeur

Avant DORA, la déclaration des incidents informatiques dépendait du secteur, du pays et parfois de l'humeur du superviseur, ce qui rendait impossible toute vision agrégée du risque opérationnel européen. Le règlement harmonise trois choses. Les critères de classification d'abord : nombre de clients touchés, durée et indisponibilité du service, étendue géographique, pertes de données, criticité des services affectés, impact économique, et un incident est majeur lorsqu'il touche des services critiques et franchit soit le seuil d'accès malveillant avec perte de données, soit au moins deux des autres seuils de matérialité. La procédure ensuite, en trois temps, une notification initiale très rapide après classification, un rapport intermédiaire lorsque l'activité normale reprend ou lorsque la situation évolue significativement, puis un rapport final documentant les causes profondes et les mesures correctives. Le contenu enfin, par formulaires normalisés. Deux effets suivent. La chaîne interne doit être capable de classifier un incident en quelques heures, ce qui suppose des critères préétablis et non une délibération de crise. Et le régime coexiste avec la notification de violation de données du RGPD et avec les obligations de NIS2, qui n'ont ni les mêmes seuils ni les mêmes destinataires, de sorte qu'un même incident déclenche souvent plusieurs déclarations distinctes.