RÈGLEMENT DÉLÉGUÉ (UE) 2025/301 DE LA COMMISSION du 23 octobre 2024 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant le contenu et les délais pour la notification initiale des incidents majeurs liés aux TIC, et pour les rapports intermédiaire et final y afférents, et le contenu de la notification volontaire en ce qui concerne les cybermenaces importantes (Texte présentant de l’intérêt pour l’EEE)

le type de soumission (notification initiale, rapport intermédiaire ou rapport final);

le nom de l’entité financière, son code LEI et le type d’entité financière visé à l’article 2, paragraphe 1, du règlement (UE) 2022/2554;

le nom et le code d’identification de l’entité qui soumet la notification initiale, ou le rapport intermédiaire ou final, pour l’entité financière;

le cas échéant, les noms et codes LEI de toutes les entités financières couvertes par la notification initiale agrégée ou le rapport intermédiaire ou final;

les coordonnées des personnes chargées de communiquer avec l’autorité compétente au sujet de l’incident majeur lié aux TIC;

le cas échéant, l’identification de l’entreprise mère du groupe auquel l’entité financière appartient;

en cas d’incidence sur la situation monétaire, la monnaie dans laquelle les montants sont calculés.

le code de référence de l’incident attribué par l’entité financière;

la date et l’heure de détection de l’incident et sa classification conformément à l’article 8 du règlement délégué (UE) 2024/1772 de la Commission ( 1 );

une description de l’incident lié aux TIC;

les critères énoncés aux articles 1er à 8 du règlement délégué (UE) 2024/1772, sur la base desquels l’entité financière a classé l’incident lié aux TIC comme majeur;

les États membres touchés par l’incident lié aux TIC;

des informations sur la manière dont l’incident lié aux TIC a été détecté;

le cas échéant, des informations sur l’origine de l’incident lié aux TIC;

des informations indiquant si l’entité financière a activé un plan de continuité des activités;

le cas échéant, des informations sur le reclassement de l’incident lié aux TIC de majeur à non majeur;

le cas échéant, toute autre information pertinente.

le cas échéant, le code de référence de l’incident attribué par l’autorité compétente;

la date et l’heure auxquelles l’incident lié aux TIC est survenu;

le cas échéant, la date et l’heure auxquelles l’entité financière a repris ses activités régulières;

des informations sur la manière dont les critères énoncés aux articles 1er à 8 du règlement délégué (UE) 2024/1772 ont été remplis, sur la base desquels l’entité financière a classé l’incident lié aux TIC comme majeur;

le type d’incident lié aux TIC;

le cas échéant, les menaces et les techniques utilisées par l’acteur de la menace;

les domaines fonctionnels et les processus opérationnels concernés;

les composants d’infrastructure concernés soutenant les processus opérationnels;

l’incidence sur les intérêts financiers des clients;

des informations sur la notification de l’incident lié aux TIC à d’autres autorités;

les actions ou mesures temporaires prises ou prévues par l’entité financière pour se rétablir à la suite de l’incident lié aux TIC;

le cas échéant, des informations sur les ►C1  indicateurs de compromission ◄ .

des informations sur les causes originelles de l’incident lié aux TIC;

les dates et heures auxquelles l’incident lié aux TIC a été résolu et la ou les causes originelles ont été traitées;

des informations sur la résolution de l’incident lié aux TIC;

le cas échéant, les informations pertinentes pour les autorités de résolution;

des informations sur les coûts et pertes directs et indirects découlant de l’incident lié aux TIC et des informations sur les recouvrements financiers;

le cas échéant, des informations sur les incidents récurrents liés aux TIC.

des informations générales sur l’entité financière notifiante, conformément à l’article 1er;

la date et l’heure de détection de la cybermenace importante et de tout autre horodatage pertinent lié à cette dernière;

une description de la cybermenace importante;

des informations sur l’incidence potentielle de la cybermenace importante sur l’entité financière, ses clients ou ses contreparties financières;

les critères de classification susceptibles d’avoir été à l’origine d’un rapport d’incident majeur prévus aux articles 1er à 8 du règlement délégué (UE) 2024/1772 en cas de matérialisation de la cybermenace;

des informations sur la situation de la cybermenace importante et sur tout changement dans l’activité de la menace;

le cas échéant, une description des mesures prises par l’entité financière pour empêcher la matérialisation des cybermenaces importantes;

des informations sur toute notification de la cybermenace importante à d’autres entités ou autorités financières;

le cas échéant, des informations sur les ►C1  indicateurs de compromission ◄ ;

le cas échéant, toute autre information pertinente.