Notification volontaire de cybermenace importante (DORA)
Faculté ouverte par l'article 19, paragraphe 2, de DORA de signaler à l'autorité une cybermenace importante avant tout incident, assortie au paragraphe 3 d'un devoir d'informer les clients exposés des mesures de protection utiles.
La notification volontaire de cybermenace importante est le signalement qu'une entité financière peut adresser à son autorité compétente, au titre de DORA, avant même qu'un incident ne survienne. L'article 19, paragraphe 2, du règlement (UE) 2022/2554 (DORA) ouvre une case que personne n'est obligé de cocher : l'entité notifie quand elle juge la menace pertinente pour le système financier, les utilisateurs de services ou ses clients. L'article 3 définit la cybermenace importante comme une menace dont les caractéristiques techniques indiquent qu'elle pourrait provoquer un incident majeur. L'autorité peut transmettre l'information aux autres autorités visées au paragraphe 6 ; un établissement de crédit important passe par son autorité nationale, qui transmet immédiatement à la BCE (Banque centrale européenne). Chaque État membre peut aussi prévoir un envoi parallèle aux CSIRT (centres de réponse aux incidents de sécurité informatique) de NIS2. Le contenu de la notification relève du règlement délégué (UE) 2025/301, le formulaire du règlement d'exécution (UE) 2025/302. Le paragraphe 3 porte deux devoirs envers les clients. Quand un incident majeur touche leurs intérêts financiers, l'entité les informe sans retard injustifié de l'incident et des mesures prises pour en limiter les effets. Face à une cybermenace importante, elle informe le cas échéant les clients potentiellement touchés des mesures de protection qu'ils pourraient prendre eux-mêmes. Côté assurance, une menace n'est pas un sinistre. La plupart des polices cyber se déclenchent sur un événement de sécurité réel ou suspecté. Le coût d'investiguer une campagne d'hameçonnage qui imite la marque, de faire fermer des sites clones ou d'écrire à quarante mille clients sort souvent du poste frais de réponse. Le poste frais de notification, lui, est fréquemment rédigé autour des données personnelles. Le libellé qui vise toute notification imposée par la loi ou un règlement rattrape le message du paragraphe 3 quand un incident existe. Au renouvellement, la notification volontaire est une pièce datée : la menace signalée peut devenir une circonstance connue que la nouvelle police exclut. Nuance : notifier l'autorité ne vaut pas déclaration de circonstance à l'assureur, qui suit sa propre clause et son propre délai.
Cas d'école : une société de gestion fictive de 40 000 clients repère douze sites clones qui imitent son espace client. Elle notifie la menace à son autorité et écrit à tous ses clients pour leur dire de ne jamais saisir leurs codes ailleurs que sur l'application. Coûts : envoi des courriers 2 000 euros, centre d'appels pendant trois semaines 25 000 euros, fermeture des sites 8 000 euros, soit 2 000 + 25 000 + 8 000 = 35 000 euros. Aucun système n'a été compromis : si la police exige un événement de sécurité, ces 35 000 euros restent à la charge de la société.
cybermenace importante, notification volontaire DORA, article 19 paragraphe 2 DORA, information des clients DORA, article 19 paragraphe 3 DORA, signalement volontaire de menace
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.