Notification des incidents DORA

Un incident est majeur lorsqu'il touche des services critiques et atteint soit le seul seuil de pertes de données, soit au moins deux autres seuils simultanément. Le règlement délégué (UE) 2024/1772 de la Commission les fixe précisément: plus de 10 pour cent des clients du service touché ou plus de 100 000 clients; plus de 30 pour cent des contreparties financières; plus de 10 pour cent du nombre ou de la valeur quotidienne moyenne des transactions.

Les autres critères suivent le même modèle. Durée supérieure à 24 heures ou interruption supérieure à deux heures d'un service soutenant une fonction critique. Extension géographique à deux États membres ou davantage. Impact économique, soit des coûts et pertes dépassant 100 000 euros. Impact réputationnel, comprenant la couverture médiatique et les plaintes répétées de différents clients. Les pertes de données comptent en cas d'effet négatif sur la conformité ou les objectifs commerciaux, ou d'accès non autorisé réussi.

L'article 19 de DORA impose une notification initiale, un rapport intermédiaire et un rapport final. La notification initiale est due dans les quatre heures suivant la classification majeure par l'entreprise, et au plus tard 24 heures après la prise de connaissance de l'incident. Une classification lente ne donne pas plus de temps, car le délai de 24 heures court dès la prise de connaissance.

Le rapport intermédiaire suit dans les 72 heures après la notification initiale, même sans changement, puis un autre rapport intermédiaire à chaque évolution substantielle. Le rapport final est dû au plus tard un mois après le dernier rapport intermédiaire et présente la cause profonde, les mesures correctives et l'impact réel. Une entreprise dont l'incident reste ouvert après un mois dépose le rapport final à la fin de l'analyse et informe le superviseur entre-temps.

En Allemagne, les rapports vont à la BaFin, via sa plateforme MVP, selon les modèles des normes d'exécution. Les formulaires sont structurés, donc les informations disponibles dans les premières heures déterminent ce qui peut être déposé, et préparer les champs à l'avance permet de consacrer les quatre premières heures à l'incident plutôt qu'au formulaire.

La décision de classer un incident comme majeur ne peut attendre un comité, elle est donc déléguée à une fonction désignée avec des critères écrits, et le processus TIC prévoit un accès à la fonction de notification la nuit et le week-end. La cybersécurité de la finance allemande présente les menaces derrière ces rapports.

Une courte panne isolée peut rester sous tous les seuils, contrairement à la même défaillance chaque semaine. DORA impose d'évaluer ensemble les incidents récurrents individuellement mineurs lorsqu'ils ont la même cause profonde apparente, leur cumul pouvant satisfaire le test de classification sans qu'une occurrence isolée le fasse.

Les entreprises manquent ce cas car chaque occurrence est clôturée dans le système avant leur regroupement. Le contrôle consiste à réexaminer périodiquement les incidents clôturés par cause profonde, produisant aussi les preuves demandées par un superviseur cherchant pourquoi un schéma évident n'a jamais été signalé.

L'article 19(2) de DORA permet de notifier à l'autorité compétente une cybermenace importante jugée pertinente pour le système financier, les utilisateurs de services ou les clients. La notification est volontaire et n'est assortie d'aucun délai.

Une menace détectée tôt, campagne visant un produit bancaire central ou fournisseur compromis, parvient à l'autorité avant de devenir plusieurs incidents. Les entreprises utilisant ce canal reçoivent aussi souvent en retour une vue sectorielle, argument pratique pour l'utiliser.

L'article 19(3) de DORA impose d'informer les clients sans retard injustifié lorsqu'un incident TIC majeur affecte ou peut affecter leurs intérêts financiers, et d'indiquer les mesures prises pour en atténuer l'impact. Cette obligation est distincte du rapport de supervision et repose sur sa propre appréciation de l'impact client.

Le message est préparé à l'avance pour la même raison que le modèle de rapport. Rédiger la communication client pendant une panne produit soit du silence, soit une déclaration corrigée ensuite, deux formes d'impact réputationnel prises en compte dans les seuils de classification.

Les prestataires de paiement devaient déjà déclarer les incidents opérationnels avant DORA, selon les orientations de l'EBA sur les incidents majeurs sous DSP2. Le régime DORA a remplacé cette notification pour les incidents de son périmètre, donc un établissement de paiement déclare désormais l'incident TIC sous DORA sans doublon.

Le contenu propre aux paiements reste distinct: volumes de transactions touchés, instruments concernés et conséquences de compensation ou règlement. La réglementation des paiements en Allemagne explique l'articulation des obligations de supervision d'un établissement de paiement.

Une attaque par rançongiciel contre une banque allemande peut déclencher trois obligations simultanées. DORA impose le rapport d'incident TIC à la BaFin. Si des données personnelles sont touchées, l'article 33 du RGPD exige une notification à l'autorité de protection des données sous 72 heures. Une entité relevant de la transposition de NIS2 dispose aussi de sa propre voie de notification, avec une alerte précoce sous 24 heures.

Les trois ont des destinataires, délais et contenus différents, et DORA s'applique comme droit sectoriel en cas de chevauchement. Les entreprises utilisent un dossier d'incident produisant trois sorties, plutôt que trois équipes reconstituant la même chronologie.

Un incident est majeur s’il touche des services critiques et atteint soit le seuil de pertes de données, soit au moins deux autres seuils de matérialité ensemble. Fixés par le règlement délégué (UE) 2024/1772, ils couvrent les clients et transactions touchés, l'impact réputationnel, une durée supérieure à 24 heures ou une interruption critique supérieure à deux heures, l'extension à deux États membres ou plus, les pertes de données et les coûts et pertes dépassant 100 000 euros.

La notification initiale est due sous quatre heures après classification majeure, au plus tard 24 heures après prise de connaissance. Le rapport intermédiaire est dû sous 72 heures après la notification initiale, même sans changement. Le rapport final est dû sous un mois après le dernier rapport intermédiaire, avec analyse des causes profondes et impact réel.

Un incident ne touchant aucun service critique et ne franchissant aucun seuil reste dans les registres internes, et DORA exige cet enregistrement. Deux éléments changent cela: un incident évité de justesse revenant avec la même cause profonde peut former un incident majeur cumulé, et une cybermenace importante peut être notifiée volontairement selon l'article 19(2), même si rien n'est encore arrivé.