Règlement délégué (UE) 2024/1772 de la Commission du 13 mars 2024 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant les critères de classification des incidents liés aux TIC et des cybermenaces, fixant des seuils d’importance significative et précisant les détails des rapports d’incidents majeurs

1 Le nombre des clients touchés par l’incident, visé à l’article 18, paragraphe 1, point a), du règlement (UE) 2022/2554, comprend tous les clients touchés, qu’il s’agisse de personnes physiques ou morales, qui ne peuvent pas, ou n’ont pas pu, utiliser le service fourni par l’entité financière pendant la durée de l’incident, ou sur lesquels l’incident a eu une incidence préjudiciable. Ce nombre comprend également, en tant que bénéficiaires du service touché, les tiers explicitement couverts par l’accord contractuel conclu entre l’entité financière et le client.

2 Le nombre des contreparties financières touchées par l’incident, visé à l’article 18, paragraphe 1, point a), du règlement (UE) 2022/2554, comprend toutes les contreparties financières touchées qui ont conclu un accord contractuel avec l’entité financière.

3 En ce qui concerne l’importance des clients et des contreparties financières touchés par l’incident, visée à l’article 18, paragraphe 1, point a), du règlement (UE) 2022/2554, l’entité financière tient compte de la mesure dans laquelle l’incidence sur un client ou une contrepartie financière affectera la mise en œuvre de ses objectifs opérationnels, ainsi que de l’incidence potentielle de l’incident sur l’efficience du marché.

4 En ce qui concerne le volume ou le nombre des transactions touchées par l’incident, visé à l’article 18, paragraphe 1, point a), du règlement (UE) 2022/2554, l’entité financière tient compte de toutes les transactions touchées impliquant un montant monétaire qui sont au moins en partie effectuées dans l’Union.

5 Lorsque le nombre réel des clients ou des contreparties financières touchés, ou le nombre ou le volume réel des transactions touchées, ne peut pas être déterminé, l’entité financière estime ce nombre ou ce volume à partir des données disponibles portant sur des périodes de référence comparables.

1 Afin de déterminer l’incidence de l’incident sur la réputation, visée à l’article 18, paragraphe 1, point a), du règlement (UE) 2022/2554, les entités financières considèrent qu’il y a eu atteinte à la réputation lorsqu’au moins l’un des critères suivants est rempli: a) l’incident a été relayé par les médias; b) l’incident a donné lieu à des plaintes répétées de la part de différents clients ou contreparties financières concernant des services en contact direct avec la clientèle ou des relations commerciales critiques; c) l’entité financière ne pourra pas satisfaire à certaines exigences réglementaires, ou il est probable qu’elle ne le pourra pas, en raison de l’incident; d) l’entité financière perdra, ou il est probable qu’elle perdra, des clients ou des contreparties financières en raison de l’incident, au grand détriment de son activité.

2 Lorsqu’elles évaluent l’incidence de l’incident sur la réputation, les entités financières tiennent compte du niveau de visibilité que l’incident a atteint, ou est susceptible d’atteindre, en ce qui concerne chaque critère énuméré au paragraphe 1.

1 Les entités financières mesurent la durée d’un incident, visée à l’article 18, paragraphe 1, point b), du règlement (UE) 2022/2554, à partir du moment où l’incident est survenu jusqu’au moment où il est résolu. Lorsque les entités financières ne sont pas en mesure de déterminer le moment auquel l’incident est survenu, elles mesurent la durée de l’incident à partir du moment où il a été détecté. Lorsque les entités financières se rendent compte que la survenue de l’incident est antérieure à sa détection, elles mesurent la durée à partir du moment où l’incident est enregistré dans les journaux des réseaux ou des systèmes ou dans d’autres sources de données. Lorsque les entités financières ne savent pas encore quand l’incident sera résolu ou ne sont pas en mesure de vérifier les enregistrements dans les journaux ou dans d’autres sources de données, elles appliquent des estimations.

2 Les entités financières mesurent les interruptions de service, visées à l’article 18, paragraphe 1, point b), du règlement (UE) 2022/2554, à partir du moment où le service est totalement ou partiellement indisponible pour les clients, les contreparties financières ou d’autres utilisateurs internes ou externes jusqu’au moment où les activités ou opérations régulières ont repris au niveau de service qui était fourni avant l’incident. Lorsque l’interruption de service provoque un retard dans la fourniture d’un service après la reprise des activités ou opérations régulières, l’interruption est mesurée à partir du début de l’incident jusqu’au moment où le service ayant subi un retard est intégralement fourni. Lorsque les entités financières ne sont pas en mesure de déterminer le moment auquel l’interruption de service a commencé, elles mesurent l’interruption de service à partir du moment où celle-ci a été détectée.

Afin de déterminer la répartition géographique en ce qui concerne les zones touchées par l’incident, visée à l’article 18, paragraphe 1, point c), du règlement (UE) 2022/2554, les entités financières évaluent si l’incident a ou a eu une incidence dans d’autres États membres, et évaluent notamment l’importance de cette incidence en ce qui concerne: a) les clients et les contreparties financières dans d’autres États membres; b) les succursales ou les autres entités financières du groupe qui exercent des activités dans d’autres États membres; ou c) les infrastructures des marchés financiers ou les prestataires tiers susceptibles d’affecter les entités financières établies dans d’autres États membres auxquelles ils fournissent des services, si ces informations sont disponibles.

Afin de déterminer les pertes de données occasionnées par l’incident, visées à l’article 18, paragraphe 1, point d), du règlement (UE) 2022/2554, les entités financières cherchent à savoir: a) en ce qui concerne la disponibilité des données, si l’incident a rendu temporairement ou durablement inaccessibles ou inutilisables les données sollicitées par l’entité financière, ses clients ou ses contreparties; b) en ce qui concerne l’authenticité des données, si l’incident a compromis la fiabilité de la source des données; c) en ce qui concerne l’intégrité des données, si l’incident a entraîné une modification non autorisée des données qui les a rendues inexactes ou incomplètes; d) en ce qui concerne la confidentialité des données, si l’incident a eu pour conséquence qu’une partie ou un système non autorisé a eu accès à des données ou que celles-ci lui ont été divulguées.

Afin de déterminer la criticité des services touchés, visée à l’article 18, paragraphe 1, point e), du règlement (UE) 2022/2554, les entités financières évaluent si l’incident: a) touche ou a touché des services TIC ou des réseaux et des systèmes d’information qui soutiennent des fonctions critiques ou importantes de l’entité financière; b) touche ou a touché des services financiers fournis par l’entité financière qui nécessitent un agrément ou un enregistrement ou qui sont surveillés par les autorités compétentes; c) constitue ou a constitué un accès réussi, malveillant et non autorisé aux réseaux et aux systèmes d’information de l’entité financière.

1 Afin de déterminer les conséquences économiques de l’incident, visées à l’article 18, paragraphe 1, point f), du règlement (UE) 2022/2554, les entités financières, sans comptabiliser les recouvrements financiers, tiennent compte des types suivants de coûts et de pertes directs et indirects qu’elles ont supportés en raison de l’incident: a) les fonds ou les actifs financiers expropriés dont elles sont responsables, y compris les actifs perdus à la suite d’un vol; b) les coûts du remplacement ou du déplacement de logiciels, de matériel ou d’infrastructures; c) les frais de personnel, y compris les coûts liés au remplacement ou au déménagement du personnel, au recrutement de personnel supplémentaire, à la rémunération des heures supplémentaires et à la récupération des compétences perdues ou altérées; d) les frais dus au non-respect d’obligations contractuelles; e) les coûts de dédommagement et d’indemnisation des clients; f) les pertes dues aux recettes non perçues; g) les coûts liés à la communication interne et externe; h) les frais de conseil, y compris les coûts liés au conseil juridique, aux services d’analyse forensique et aux services de remédiation.

2 Les coûts et pertes visés au paragraphe 1 excluent les coûts nécessaires au fonctionnement quotidien de l’entreprise, en particulier: a) les coûts de maintenance générale des infrastructures, des équipements, du matériel et des logiciels, ainsi que les coûts d’actualisation des compétences du personnel; b) les coûts internes ou externes engagés pour renforcer l’activité après l’incident, notamment les mises à niveau, les améliorations et l’adoption de mesures d’évaluation des risques; c) les primes d’assurance.

3 Les entités financières calculent les montants des coûts et des pertes sur la base des données disponibles au moment de la déclaration. Lorsque les montants réels des coûts et des pertes ne peuvent pas être déterminés, les entités financières les estiment.

4 Lorsqu’elles évaluent les conséquences économiques de l’incident, les entités financières additionnent les coûts et les pertes visés au paragraphe 1.

1 Un incident est considéré comme un incident majeur aux fins de l’article 19, paragraphe 1, du règlement (UE) 2022/2554 lorsqu’il a touché des services critiques visés à l’article 6 et lorsque l’une des conditions suivantes est remplie: a) le seuil d’importance significative visé à l’article 9, paragraphe 5, point b), est atteint; b) au moins deux des autres seuils d’importance significative visés à l’article 9, paragraphes 1 à 6, sont atteints.

2 Les incidents récurrents qui, pris isolément, ne sont pas considérés comme un incident majeur au sens du paragraphe 1 sont considérés comme un incident majeur lorsqu’ils remplissent toutes les conditions suivantes: a) ils se sont produits au moins deux fois en six mois; b) ils ont la même cause originelle apparente, telle que visée à l’article 20, premier alinéa, point b), du règlement (UE) 2022/2554; c) ils remplissent collectivement les critères pour être considérés comme un incident majeur énoncés au paragraphe 1. Les entités financières évaluent l’existence d’incidents récurrents chaque mois. Le présent paragraphe ne s’applique pas aux microentreprises ni aux entités financières énumérées à l’article 16, paragraphe 1, du règlement (UE) 2022/2554.

1 Le seuil d’importance significative pour le critère «clients, contreparties financières et transactions» est atteint lorsque l’une des conditions suivantes est remplie: a) le nombre des clients touchés dépasse 10 % de l’ensemble des clients qui utilisent le service touché; b) le nombre des clients touchés qui utilisent le service touché dépasse 100000; c) le nombre des contreparties financières touchées dépasse 30 % de l’ensemble des contreparties financières qui exercent des activités liées à la fourniture du service touché; d) le nombre des transactions touchées dépasse 10 % du nombre moyen journalier des transactions effectuées par l’entité financière liées au service touché; e) le volume des transactions touchées dépasse 10 % de la valeur moyenne journalière des transactions effectuées par l’entité financière liées au service touché; f) des clients ou des contreparties financières considérés comme importants en vertu de l’article 1er, paragraphe 3, ont été touchés. Lorsque le nombre réel des clients ou des contreparties financières touchés, ou le nombre ou le volume réel des transactions touchées, ne peut pas être déterminé, l’entité financière estime ce nombre ou ce volume à partir des données disponibles portant sur des périodes de référence comparables.

2 Le seuil d’importance significative pour le critère «atteinte à la réputation» est atteint lorsque l’une des conditions énoncées à l’article 2, points a) à d), est remplie.

3 Le seuil d’importance significative pour le critère «durée et interruptions de service» est atteint lorsque l’une des conditions suivantes est remplie: a) la durée de l’incident dépasse 24 heures; b) l’interruption de service dépasse 2 heures pour les services TIC qui soutiennent des fonctions critiques ou importantes.

4 Le seuil d’importance significative pour le critère «répartition géographique» est atteint lorsque l’incident a une incidence dans deux États membres ou plus, conformément à l’article 4.

5 Le seuil d’importance significative pour le critère «pertes de données» est atteint lorsque l’une des conditions suivantes est remplie: a) l’incidence sur la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données, visée à l’article 5, nuit ou nuira à la mise en œuvre des objectifs opérationnels de l’entité financière ou à sa capacité de satisfaire aux exigences réglementaires; b) les réseaux et les systèmes d’information sont l’objet d’un accès réussi, malveillant et non autorisé non couvert par le point a) et susceptible d’entraîner des pertes de données.

6 Le seuil d’importance significative pour le critère «conséquences économiques» est atteint lorsque les coûts et les pertes supportés par l’entité financière en raison de l’incident ont dépassé, ou sont susceptibles de dépasser, 100000 EUR.

Aux fins de l’article 18, paragraphe 2, du règlement (UE) 2022/2554, une cybermenace est considérée comme importante lorsque toutes les conditions suivantes sont remplies: a) la cybermenace est ou était susceptible, en cas de matérialisation, de toucher des fonctions critiques ou importantes de l’entité financière, ou de toucher d’autres entités financières, prestataires tiers, clients ou contreparties financières, à en juger par les informations dont dispose l’entité financière; b) la probabilité que la cybermenace se matérialise au sein de l’entité financière ou d’autres entités financières est grande, compte tenu au moins des éléments suivants: i) les risques applicables liés à la cybermenace, visés au point a), y compris les vulnérabilités potentielles des systèmes de l’entité financière qui peuvent être exploitées; ii) les capacités et l’intention des acteurs de la menace, dans la mesure où l’entité financière en a connaissance; iii) la persistance de la menace et toute connaissance acquise sur les incidents qui ont eu une incidence sur l’entité financière ou son prestataire tiers, ses clients ou ses contreparties financières; c) si elle se matérialisait, la cybermenace pourrait remplir ou atteindre l’un des critères ou seuils suivants: i) le critère de la criticité des services énoncé à l’article 18, paragraphe 1, point e), du règlement (UE) 2022/2554, tel qu’il est précisé à l’article 6 du présent règlement; ii) le seuil d’importance significative prévu à l’article 9, paragraphe 1; iii) le seuil d’importance significative prévu à l’article 9, paragraphe 4. Lorsque, en fonction du type de cybermenace et des informations disponibles, l’entité financière conclut que les seuils d’importance significative prévus à l’article 9, paragraphes 2, 3, 5 et 6, pourraient être atteints, elle peut également prendre ces seuils en considération.

L’évaluation visant à déterminer si un incident majeur est pertinent pour les autorités compétentes d’autres États membres, prévue par l’article 19, paragraphe 7, du règlement (UE) 2022/2554, est fondée sur le point de savoir si l’incident trouve son origine dans un autre État membre ou s’il a ou a eu une incidence importante dans un autre État membre en ce qui concerne: a) des clients ou des contreparties financières; b) une succursale de l’entité financière ou une autre entité financière du groupe; c) une infrastructure des marchés financiers ou un prestataire tiers susceptible d’affecter les entités financières auxquelles ils fournissent des services.

Les détails des incidents majeurs que les autorités compétentes communiquent aux autres autorités compétentes conformément à l’article 19, paragraphe 6, du règlement (UE) 2022/2554 et les notifications que l’ABE, l’AEMF ou l’AEAPP et la BCE soumettent aux autorités compétentes concernées des autres États membres conformément à l’article 19, paragraphe 7, dudit règlement contiennent le même niveau d’information, sans anonymisation, que celui des notifications et rapports d’incidents majeurs soumis par les entités financières conformément à l’article 19, paragraphe 4, du règlement (UE) 2022/2554.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.