Règlement d’exécution (UE) 2025/302 de la Commission du 23 octobre 2024 définissant des normes techniques d’exécution pour l’application du règlement (UE) 2022/2554 du Parlement européen et du Conseil en ce qui concerne les formulaires, modèles et procédures types permettant aux entités financières de notifier un incident majeur lié aux TIC et de notifier une cybermenace importante

1 Les entités financières utilisent le modèle figurant à l’annexe I pour soumettre la notification initiale, le rapport intermédiaire et le rapport final visés à l’article 19, paragraphe 4, du règlement (UE) 2022/2554, selon les modalités suivantes: a) les entités financières qui soumettent une notification initiale remplissent les champs de données du modèle qui correspondent aux informations devant être fournies conformément à l’article 2 du règlement délégué (UE) 2025/301 de la Commission , et peuvent, lorsqu’elles disposent déjà de ces informations, compléter les champs de données qu’il n’est pas obligatoire de remplir pour les besoins d’une notification initiale mais qui doivent l’être pour la soumission d’un rapport intermédiaire ou final; b) les entités financières qui soumettent un rapport intermédiaire remplissent les champs de données du modèle qui correspondent aux informations devant être fournies conformément à l’article 3 du règlement délégué (UE) 2025/301, et peuvent, lorsqu’elles disposent déjà des informations pertinentes, compléter les champs de données qu’il n’est pas obligatoire de remplir pour les besoins du rapport intermédiaire mais qui doivent l’être pour la soumission du rapport final; c) les entités financières qui soumettent un rapport final remplissent les champs de données du modèle qui correspondent aux informations devant être fournies conformément à l’article 4 du règlement délégué (UE) 2025/301

2 Les entités financières veillent à ce que les informations figurant dans la notification initiale ainsi que dans le rapport intermédiaire et le rapport final soient complètes et exactes.

3 Lorsque des données exactes ne sont pas disponibles au moment de soumettre la notification initiale ou le rapport intermédiaire, les entités financières fournissent, dans la mesure du possible, des valeurs estimées fondées sur d’autres données et informations disponibles.

4 Lorsqu’elles soumettent un rapport intermédiaire ou final, les entités financières utilisent le modèle figurant à l’annexe I pour communiquer toutes les informations requises et mettre à jour, s’il y a lieu, les informations précédemment fournies dans la notification initiale ou dans le rapport intermédiaire.

5 Lorsqu’elles remplissent le modèle figurant à l’annexe I, les entités financières se conforment au glossaire de données et aux instructions figurant à l’annexe II.

Les entités financières peuvent soumettre conjointement la notification initiale, le rapport intermédiaire et le rapport final afin de transmettre deux ou la totalité de ces documents simultanément, lorsque les activités régulières ont repris ou que l’analyse des causes originelles est terminée, et à condition que soient respectés les délais fixés à l’article 5 du règlement délégué (UE) 2025/301

Les entités financières qui fournissent des informations sur les incidents récurrents non majeurs liés aux TIC qui remplissent cumulativement les conditions applicables à un incident majeur lié aux TIC énoncées à l’article 8, paragraphe 2, du règlement délégué (UE) 2024/1772 transmettent ces informations sous une forme agrégée.

1 Les entités financières utilisent des canaux électroniques sécurisés mis à disposition par leur autorité compétente pour soumettre la notification initiale et les rapports intermédiaire et final.

2 Les entités financières qui ne sont pas en mesure d’utiliser les canaux électroniques sécurisés mis à disposition par leur autorité compétente informent cette dernière d’un incident majeur lié aux TIC par d’autres moyens de communication sécurisés, en accord avec l’autorité compétente. Si l’autorité compétente l’exige, les entités financières soumettent à nouveau la notification initiale, ou le rapport intermédiaire ou final, par le canal électronique sécurisé mis à disposition par leur autorité compétente une fois qu’elles sont en mesure de le faire.

Si, à l’issue d’une évaluation complémentaire, l’entité financière conclut que l’incident lié aux TIC précédemment déclaré comme incident majeur ne remplissait à aucun moment les critères de classification ni n’atteignait les seuils visés à l’article 8 du règlement délégué (UE) 2024/1772, elle notifie à l’autorité compétente avoir reclassé l’incident lié aux TIC de majeur en incident non majeur en fournissant les informations relatives à ce reclassement au moyen du modèle figurant à l’annexe II du présent règlement en ce qui concerne les champs «type de soumission» et «autres informations».

1 Les entités financières qui ont externalisé l’obligation de déclarer les incidents majeurs liés aux TIC en vertu de l’article 19, paragraphe 5, du règlement (UE) 2022/2554 informent leur autorité compétente de cet accord d’externalisation dès que celui-ci a été conclu et, au plus tard, avant la première notification ou déclaration.

2 Les entités financières communiquent à l’autorité compétente le nom, les coordonnées et le code d’identification du tiers qui soumettra, en leur nom, les notifications ou rapports d’incidents majeurs liés aux TIC.

3 Les entités financières informent leur autorité compétente dès qu’elles n’externalisent plus leurs obligations de déclaration selon l’article 19, paragraphe 5, du règlement (UE) 2022/2554.

1 Un prestataire tiers de services auprès duquel des obligations de déclaration ont été externalisées conformément à l’article 19, paragraphe 5, du règlement (UE) 2022/2554 peut utiliser le modèle figurant à l’annexe I du présent règlement pour fournir, dans une seule et même notification ou un seul et même rapport, des informations agrégées sur un incident majeur lié aux TIC ayant une incidence sur plusieurs entités financières, et soumettre cette notification ou ce rapport à l’autorité compétente au nom de toutes les entités financières touchées, pour autant que toutes les conditions suivantes soient réunies: a) l’incident majeur lié aux TIC devant être déclaré est imputable à un prestataire tiers de services TIC ou est causé par celui-ci; b) ce prestataire tiers de services fournit le service TIC concerné à plus d’une entité financière ou à un groupe; c) l’incident lié aux TIC est classé comme majeur par chaque entité financière mentionnée dans la notification agrégée ou le rapport agrégé; d) l’incident majeur lié aux TIC touche des entités financières au sein d’un seul État membre et le rapport agrégé concerne des entités financières qui sont soumises à la surveillance de la même autorité compétente; e) les autorités compétentes ont explicitement autorisé ce type d’entités financières à agréger leurs déclarations.

2 Le paragraphe 1 ne s’applique pas aux établissements de crédit jugés d’importance significative au sens de l’article 2, point 16), du règlement (UE) no 468/2014 de la Banque centrale européenne , aux opérateurs de plates-formes de négociation et aux contreparties centrales, qui utilisent uniquement le modèle figurant à l’annexe I pour soumettre individuellement à leur autorité compétente des notifications ou des rapports d’incidents majeurs liés aux TIC.

3 Lorsque les autorités compétentes exigent des informations relatives à l’incidence individuelle de l’incident majeur lié aux TIC sur une seule et même entité financière, à la demande de l’autorité compétente, l’entité financière soumet une notification individuelle ou un rapport sur l’incident majeur lié aux TIC.

1 Les entités financières qui notifient des cybermenaces importantes aux autorités compétentes conformément à l’article 19, paragraphe 2, du règlement (UE) 2022/2554 utilisent le modèle figurant à l’annexe III du présent règlement et se conforment au glossaire de données et aux instructions figurant à l’annexe IV du présent règlement.

2 Les entités financières veillent à ce que les informations figurant dans la notification des cybermenaces importantes soient complètes et exactes.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.