+CHAPITRE III Gestion, classification et notification des incidents liés aux TIC
---+Article 17 Processus de gestion des incidents liés aux TIC
------+Article 17 1
------+Article 17 2
------+Article 17 3
---+Article 18 Classification des incidents liés aux TIC et des cybermenaces
------+Article 18 1
------+Article 18 2
------+Article 18 3
------+Article 18 4
---+Article 19 Déclaration des incidents majeurs liés aux TIC et notification volontaire des cybermenaces importantes
------+Article 19 1
------+Article 19 2
------+Article 19 3
------+Article 19 4
------+Article 19 5
------+Article 19 6
------+Article 19 7
------+Article 19 8
---+Article 20 Harmonisation du contenu et des modèles des rapports de notification
------+Article 20 (a)
------+Article 20 (b)
------+Article 20 2
------+Article 20 3
------+Article 20 4
---+Article 21 Centralisation des notifications d’incidents majeurs liés aux TIC
------+Article 21 1
------+Article 21 2
------+Article 21 3
---+Article 22 Retour d’information en matière de surveillance
------+Article 22 1
------+Article 22 2
---+Article 23 Incidents opérationnels ou de sécurité liés au paiement concernant les établissements de crédit, les établissements de paiement, les prestataires de services d’information sur les comptes et les établissements de monnaie électronique

CHAPITRE III Gestion, classification et notification des incidents liés aux TIC

CHAPITRE III Gestion, classification et notification des incidents liés aux TIC

1. Vue d’ensemble

,
Article 17 Processus de gestion des incidents liés aux TIC -
Article 18 Classification des incidents liés aux TIC et des cybermenaces -
Article 19 Déclaration des incidents majeurs liés aux TIC et notification volontaire des cybermenaces importantes -
Article 20 Harmonisation du contenu et des modèles des rapports de notification

Article 20

Harmonisation du contenu et des modèles des rapports de notification

Les AES, agissant par l’intermédiaire du comité mixte et en concertation avec l’ENISA et la BCE, élaborent:

a) 

des projets communs de normes techniques de réglementation dans le but:

i) 

de définir le contenu des rapports relatifs aux incidents majeurs liés aux TIC afin de refléter les critères énoncés à l’article 18, paragraphe 1, et d’intégrer d’autres éléments, tels que des détails permettant de déterminer la pertinence de la notification pour les autres États membres et s’il s’agit d’un incident opérationnel ou de sécurité majeur lié au paiement;

ii) 

de fixer les délais pour la notification initiale et pour chaque rapport visé à l’article 19, paragraphe 4;

iii) 

d’établir le contenu de la notification en ce qui concerne les cybermenaces importantes.

Lorsqu’elles élaborent ces projets de normes techniques de réglementation, les AES tiennent compte de la taille et du profil de risque global de l’entité financière, ainsi que de la nature, de l’ampleur et de la complexité de ses services, activités et opérations, et en particulier en vue de garantir que, aux fins du point a) ii), du présent alinéa, différents délais puissent refléter, le cas échéant, les spécificités des secteurs financiers, sans préjudice du maintien d’une approche cohérente de la notification des incidents liés aux TIC en application du présent règlement et de la directive (UE) 2022/2555. Les AES fournissent, le cas échéant, une justification lorsqu’elles s’écartent des approches adoptées dans le cadre de ladite directive;

b) 

des projets communs de normes techniques d’exécution afin de définir les formulaires, les modèles et les procédures types permettant aux entités financières de notifier un incident majeur lié aux TIC et de notifier une cybermenace importante.

Les AES soumettent à la Commission les projets communs de normes techniques de réglementation visés au premier alinéa, point a), et les projets communs de normes techniques d’exécution visés au premier alinéa, point b), au plus tard le 17 juillet 2024.

Le pouvoir de compléter le présent règlement par l’adoption des normes techniques de réglementation communes visées au premier alinéa, point a), est délégué à la Commission conformément aux articles 10 à 14 des règlements (UE) no 1093/2010, (UE) no 1094/2010 et (UE) no 1095/2010.

Le pouvoir d’adopter les normes techniques d’exécution communes visées au premier alinéa, point b), est conféré à la Commission conformément à l’article 15 des règlements (UE) no 1093/2010, (UE) no 1094/2010 et (UE) no 1095/2010.
Article 21 Centralisation des notifications d’incidents majeurs liés aux TIC -
Article 22 Retour d’information en matière de surveillance -
Article 23 Incidents opérationnels ou de sécurité liés au paiement concernant les établissements de crédit, les établissements de paiement, les prestataires de services d’information sur les comptes et les établissements de monnaie électronique

Article 23

Incidents opérationnels ou de sécurité liés au paiement concernant les établissements de crédit, les établissements de paiement, les prestataires de services d’information sur les comptes et les établissements de monnaie électronique

Les exigences énoncées au présent chapitre s’appliquent également aux incidents opérationnels ou de sécurité liés au paiement et aux incidents opérationnels ou de sécurité majeurs liés au paiement lorsqu’ils concernent des établissements de crédit, des établissements de paiement, des prestataires de services d’information sur les comptes et des établissements de monnaie électronique.

1.1 Références

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

Exigences

3. Normes associées

Normes