Notification incidents DORA : procédure et délais
Notification des incidents TIC sous DORA : procédure, délais, contenu des notifications et seuils de classification.
Un incident de paiement ou une intrusion ne se gère pas avec une échéance « au prochain jour ouvrable ». DORA impose de qualifier l’événement puis de déclencher plusieurs notifications, chacune avec son point de départ. Une procédure exploitable doit préciser qui classe, qui transmet et qui remplace le titulaire absent.
Classer l’incident avec les bons critères
L’article 17(2) de DORA impose d’enregistrer tous les incidents TIC et les cybermenaces importantes. L’obligation de déclaration à l’autorité porte sur les incidents majeurs ; la notification des cybermenaces importantes est volontaire selon l’article 19(2). Pour les acteurs visés par l’article 23, le dispositif couvre aussi les incidents opérationnels ou de sécurité liés au paiement.
Le classement ne se résume pas à compter deux critères quelconques. Selon les articles 6, 8 et 9 du règlement délégué 2024/1772, il faut un service critique au sens de ce texte, puis soit le seuil particulier d’accès réussi, malveillant et non autorisé susceptible d’entraîner des pertes de données, soit au moins deux des autres seuils.
Les seuils couvrent les clients, contreparties et transactions, la réputation, la durée, l’étendue géographique, les pertes de données et les conséquences économiques. Par exemple, une interruption de plus de deux heures d’un service TIC soutenant une fonction critique ou importante atteint le seuil de durée. Cela ne dispense pas de vérifier la combinaison requise. Plusieurs incidents récurrents peuvent également devenir majeurs collectivement dans les conditions de l’article 8(2).
Conservez la grille remplie, les éléments disponibles et l’heure du classement. Une qualification provisoire doit être réévaluée lorsque l’impact évolue. Cette grille s’appuie sur la cartographie de votre gestion des risques TIC.
Calculer chaque échéance séparément
L’article 5 du règlement délégué 2025/301 fixe les délais suivants :
| Transmission | Échéance applicable |
|---|---|
| Notification initiale | Le plus tôt possible, dans les quatre heures du classement comme majeur et au plus tard 24 heures après prise de connaissance de l’incident |
| Classement comme majeur après les premières 24 heures | Notification initiale dans les quatre heures de ce classement |
| Rapport intermédiaire | Au plus tard 72 heures après la notification initiale, même sans changement de situation |
| Rapport intermédiaire actualisé | Sans retard injustifié et, en tout état de cause, lorsque les activités régulières ont repris |
| Rapport final | Au plus tard un mois après le rapport intermédiaire ou sa dernière actualisation |
Le rapport intermédiaire est aussi actualisé lorsque la situation change sensiblement, conformément à l’article 19(4)(b) de DORA. La prise de connaissance et le classement sont donc deux horodatages distincts. Le délai de 72 heures commence avec l’envoi initial, et non avec la panne.
L’article 5(4) prévoit sous conditions un report à midi du jour ouvrable suivant lorsque l’échéance tombe un week-end ou un jour férié. Mais l’article 5(5) exclut cet aménagement, pour les transmissions initiales et intermédiaires, notamment pour les établissements de crédit, contreparties centrales, opérateurs de plateformes de négociation et autres entités financières essentielles ou importantes au sens de NIS2. Ne programmez pas un report automatique pour toutes les entités.
Si une transmission dans les délais est impossible, prévenez l’autorité au plus tard à l’échéance et expliquez les raisons : l’article 5(3) n’accorde pas un délai supplémentaire tacite.
Préparer une transmission utilisable par l’autorité
Le règlement d’exécution 2025/302 fournit les modèles et leurs instructions. Son article 1(3) permet de renseigner, dans la mesure du possible, des estimations fondées sur les informations disponibles lorsqu’une donnée exacte manque au stade initial ou intermédiaire. Distinguez faits établis, estimations et recherches en cours.
Préparez hors crise l’identification de l’entité, les contacts habilités, l’accès au portail et les champs descriptifs des services. Pendant l’incident, ajoutez les heures clés, critères de classement, impacts et mesures prises. Le rapport final complète notamment les causes et les conséquences réelles.
Pour les entités relevant de l’ACPR, la FAQ opérationnelle de l’ACPR, rubrique B précise le dépôt individuel sur OneGate et le format JSON. Elle décrit également le circuit de secours lors des indisponibilités du portail : message d’alerte limité, puis régularisation sur le portail. Conservez cette procédure et ses coordonnées à jour dans votre fiche de crise.
Identifiez le destinataire compétent à partir du statut de l’entité. Un groupe comportant plusieurs activités ne peut pas déduire son circuit de déclaration du seul nom de sa marque.
Organiser la décision et le suivi
Une fiche opérationnelle peut tenir sur une page : responsable du classement, suppléant, valideur de la transmission, canal principal, secours, échéances et emplacement des preuves. Les informations du prestataire alimentent ce dispositif, mais l’externalisation de la déclaration ne transfère pas la responsabilité de l’entité, selon l’article 19(5) de DORA. Vérifiez l’assistance prévue dans vos contrats de services TIC.
Examinez séparément les données personnelles avec le DPO : une notification financière ne remplace pas la gestion de l’incident au titre du RGPD. Enfin, l’article 19(3) impose d’informer sans retard injustifié les clients lorsqu’un incident majeur affecte leurs intérêts financiers. Le dossier ne s’arrête donc pas au dépôt réglementaire.
Ce qu’il faut retenir
- Enregistrez les incidents ; appliquez la combinaison exacte des critères pour reconnaître un incident majeur.
- Horodatez prise de connaissance, classement et chaque transmission.
- Utilisez les délais quatre heures, 24 heures et 72 heures avec leurs points de départ et exceptions.
- Préparez les accès, le suppléant et le canal de secours avant la crise.
FAQ
Peut-on attendre les résultats complets de l’enquête ?
Non. Les transmissions successives permettent de compléter l’information. Les premières estimations doivent être fondées et leur caractère provisoire explicite.
Peut-on regrouper les trois transmissions ?
L’article 2 du règlement 2025/302 l’autorise lorsque les activités régulières ont repris ou que l’analyse des causes est terminée, à condition de respecter les délais. Il ne permet pas d’attendre la résolution pour retarder la notification initiale.
Une panne chez un fournisseur doit-elle être déclarée ?
Oui si ses effets sur l’entité remplissent les conditions d’un incident majeur. Le fournisseur peut assister l’entité ; celle-ci conserve sa responsabilité réglementaire.
Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.
Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.