Incident majeur DORA : classer et notifier les incidents liés aux TIC

Un incident lié aux TIC est, au sens de DORA, un événement imprévu ou une série d'événements liés qui compromet la sécurité des réseaux et systèmes d'information et nuit à la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données ou des services. L'article 17 demande un processus formalisé pour les détecter, les gérer et les notifier. Il doit notamment :

• enregistrer tous les incidents liés aux TIC et toutes les cybermenaces importantes, et en rechercher la cause originelle ;
• prévoir des indicateurs d'alerte précoce ;
• classer et prioriser les incidents selon leur gravité et la criticité des services touchés ;
• attribuer des rôles et responsabilités par type d'incident ;
• prévoir la communication envers le personnel, les parties externes, les médias et les clients, et l'escalade interne ;
• faire remonter au moins les incidents majeurs à la direction et informer l'organe de direction de leur impact et des mesures prises ;
• définir des procédures de réponse qui rétablissent rapidement des services sûrs.

Ce processus prolonge le cadre décrit au chapitre gestion du risque lié aux TIC : détection (article 10), réponse et rétablissement (article 11), retour d'expérience (article 13).

L'article 18 de DORA liste les critères de classification ; le règlement délégué (UE) 2024/1772 les précise et fixe des seuils d'importance significative. Les sept critères sont :

La règle de décision

Selon l'article 8 du règlement délégué, un incident est majeur lorsqu'il touche des services critiques et qu'il remplit l'une de ces deux conditions :

• il atteint le seuil de l'accès malveillant et non autorisé susceptible d'entraîner des pertes de données ;
• ou il atteint au moins deux des autres seuils.

Des incidents qui ne sont pas majeurs isolément deviennent majeurs ensemble s'ils se sont produits au moins deux fois en six mois, ont la même cause originelle apparente et remplissent ensemble les conditions. Les entités vérifient chaque mois l'existence de tels incidents récurrents (sauf microentreprises et entités du cadre simplifié).

Les incidents majeurs se notifient à l'autorité compétente (en France, l'ACPR ou l'AMF) avec les formulaires du règlement d'exécution (UE) 2025/302. L'article 19 prévoit trois envois, dont le règlement délégué (UE) 2025/301 fixe les délais :

Si une échéance tombe un week-end ou un jour férié, l'envoi peut intervenir au plus tard à midi le jour ouvrable suivant. Cette tolérance ne vaut pas pour la notification initiale et le rapport intermédiaire des établissements de crédit, des contreparties centrales, des opérateurs de plateformes de négociation et des entités essentielles ou importantes au sens de NIS 2 ; l'autorité peut aussi la retirer à des entités qu'elle juge systémiques. Une entité qui ne peut pas tenir un délai doit en informer l'autorité avant l'échéance, en expliquant pourquoi.

Lorsqu'un incident majeur a une incidence sur les intérêts financiers des clients, l'entité les informe sans retard injustifié et leur indique les mesures prises pour limiter les effets (article 19, paragraphe 3).

Une entité peut aussi notifier volontairement une cybermenace importante, c'est-à-dire une menace dont les caractéristiques techniques laissent penser qu'elle pourrait provoquer un incident majeur. Le règlement délégué 2024/1772 fixe des seuils élevés pour les identifier. Les clients potentiellement concernés peuvent alors être informés des mesures de protection à envisager.

Après chaque envoi, l'autorité compétente transmet les informations utiles aux autorités européennes de surveillance, à la Banque centrale européenne le cas échéant, et aux autorités et centres de réponse aux incidents désignés au titre de NIS 2. L'entité peut confier la rédaction des notifications à un prestataire, mais en reste pleinement responsable.

Les établissements de crédit, de paiement, de monnaie électronique et les prestataires d'information sur les comptes appliquent les mêmes règles aux incidents opérationnels ou de sécurité liés au paiement (article 23).

Cet incident a son origine chez un prestataire : c'est le cas le plus fréquent selon le bilan de l'ACPR, qui relevait un tiers impliqué dans plus de la moitié des incidents notifiés en 2025. Le chapitre prestataires tiers et registre d'information montre comment s'y préparer, et notre article sur les attaques par la chaîne d'approvisionnement en donne des exemples réels.