Règlement d'exécution (UE) 2024/2690
Règlement de la Commission du 17 octobre 2024 qui précise les mesures de sécurité attendues et les seuils chiffrés d'un incident important. Il vise les fournisseurs de DNS (Domain Name System), cloud, centres de données, CDN (Content Delivery Network), services gérés, places de marché, moteurs de recherche et réseaux sociaux.
Le règlement d'exécution (UE) 2024/2690 de la Commission, du 17 octobre 2024, publié au Journal officiel le 18 octobre, vise les fournisseurs numériques que la directive (UE) 2022/2555 suit de près. Sont concernés les services DNS (Domain Name System), registres de noms de domaine de premier niveau, informatique en nuage et centres de données. S'y ajoutent les réseaux de diffusion de contenu, prestataires de services gérés et de services de sécurité gérés, places de marché, moteurs de recherche, réseaux sociaux, services de confiance. Il précise les exigences techniques des mesures de gestion des risques et, surtout pour l'assurance, quand un incident devient important. L'article 3 pose des critères généraux, dont un seul suffit. Le premier est une perte financière directe supérieure à 500 000 euros ou à 5 % du chiffre d'affaires annuel total de l'exercice précédent, le plus bas des deux montants. Suivent l'exfiltration de secrets d'affaires au sens de la directive (UE) 2016/943 et le décès d'une personne physique ; d'autres critères visent un dommage considérable à la santé d'une personne physique et un accès non autorisé réussi, soupçonné malveillant, susceptible de causer une perturbation opérationnelle grave. L'article 4 agrège les incidents récurrents : au moins deux en six mois, même cause apparente, et ensemble au-delà du seuil financier. Puis viennent les seuils par métier. Pour le cloud, l'article 7 retient un service totalement indisponible plus de 30 minutes, ou une disponibilité limitée pour plus de 5 % des utilisateurs dans l'Union ou plus d'un million d'entre eux, le plus petit nombre, pendant plus d'une heure. Pour le souscripteur, ces seuils sont bas au regard d'une police. Trente minutes d'arrêt chez un fournisseur cloud forment un incident important, alors que la garantie de carence fournisseur de ses clients ne démarre souvent qu'après plusieurs heures. Le registre réglementaire va donc documenter des pannes que le marché n'indemnise pas, et c'est une donnée de cumul que les modèles n'avaient pas. Nuance : le seuil de 500 000 euros se calcule chez le fournisseur, pas chez ses clients, dont les pertes agrégées restent hors de ce compte.
Cas d'école : un infogérant fictif réalise 6 millions d'euros de chiffre d'affaires ; 5 % font 300 000 €, plus bas que 500 000 €, donc son seuil est 300 000 €. En février, une intrusion par une faille d'accès distant lui coûte 180 000 € ; en juin, la même faille, toujours ouverte, en coûte 150 000 €. Aucun incident ne passe seul le seuil, mais 180 000 + 150 000 = 330 000 € en moins de six mois, même cause : l'article 4 en fait un incident important.
règlement d'exécution 2024/2690, règlement 2024/2690, acte d'exécution NIS2, seuils d'incident important NIS2, CIR 2024/2690, règlement d'exécution NIS2
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.