Access to European Union law
<a href="https://eur-lex.europa.eu/content/help/eurlex-content/experimental-features.html" target="_blank">More about the experimental features corner</a>
Choose the experimental features you want to try
EUR-Lex
Access to European Union law

This document is an excerpt from the EUR-Lex website

You are here
Use quotation marks to search for an "exact phrase". Append an asterisk (*) to a search term to find variations of it (transp*, 32019R*). Use a question mark (?) instead of a single character in your search term to find variations of it (ca?e finds case, cane, care).
Search tips
Need more search options? Use the Advanced search

Document 02025R0301-20250220

Consolidated text: Règlement délégué (UE) 2025/301 de la Commission du 23 octobre 2024 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant le contenu et les délais pour la notification initiale des incidents majeurs liés aux TIC, et pour les rapports intermédiaire et final y afférents, et le contenu de la notification volontaire en ce qui concerne les cybermenaces importantes (Texte présentant de l’intérêt pour l’EEE)

Access initial legal act
(

Legal status of the document In force

)

ELI: http://data.europa.eu/eli/reg_del/2025/301/2025-02-20

02025R0301 — FR — 20.02.2025 — 000.001

Ce texte constitue seulement un outil de documentation et n’a aucun effet juridique. Les institutions de l'Union déclinent toute responsabilité quant à son contenu. Les versions faisant foi des actes concernés, y compris leurs préambules, sont celles qui ont été publiées au Journal officiel de l’Union européenne et sont disponibles sur EUR-Lex. Ces textes officiels peuvent être consultés directement en cliquant sur les liens qui figurent dans ce document

►B

RÈGLEMENT DÉLÉGUÉ (UE) 2025/301 DE LA COMMISSION

du 23 octobre 2024

complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant le contenu et les délais pour la notification initiale des incidents majeurs liés aux TIC, et pour les rapports intermédiaire et final y afférents, et le contenu de la notification volontaire en ce qui concerne les cybermenaces importantes

(Texte présentant de l’intérêt pour l’EEE)

(JO L 301 du 20.2.2025, p. 1)


Rectifié par:

►C1

Rectificatif, JO L 90712 du 12.9.2025, p.  1 (2025/3012025/301)



▼B

RÈGLEMENT DÉLÉGUÉ (UE) 2025/301 DE LA COMMISSION

du 23 octobre 2024

complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant le contenu et les délais pour la notification initiale des incidents majeurs liés aux TIC, et pour les rapports intermédiaire et final y afférents, et le contenu de la notification volontaire en ce qui concerne les cybermenaces importantes

(Texte présentant de l’intérêt pour l’EEE)



Article premier

Informations générales à fournir dans les notifications initiales et les rapports intermédiaire et final sur les incidents majeurs liés aux TIC

Les entités financières incluent dans la notification initiale, le rapport intermédiaire et le rapport final, visés à l’article 19, paragraphe 4, du règlement (UE) 2022/2554, les informations générales suivantes:

a) 

le type de soumission (notification initiale, rapport intermédiaire ou rapport final);

b) 

le nom de l’entité financière, son code LEI et le type d’entité financière visé à l’article 2, paragraphe 1, du règlement (UE) 2022/2554;

c) 

le nom et le code d’identification de l’entité qui soumet la notification initiale, ou le rapport intermédiaire ou final, pour l’entité financière;

d) 

le cas échéant, les noms et codes LEI de toutes les entités financières couvertes par la notification initiale agrégée ou le rapport intermédiaire ou final;

e) 

les coordonnées des personnes chargées de communiquer avec l’autorité compétente au sujet de l’incident majeur lié aux TIC;

f) 

le cas échéant, l’identification de l’entreprise mère du groupe auquel l’entité financière appartient;

g) 

en cas d’incidence sur la situation monétaire, la monnaie dans laquelle les montants sont calculés.

Article 2

Informations spécifiques à fournir dans les notifications initiales

Les notifications initiales visées à l’article 19, paragraphe 4, point a), du règlement (UE) 2022/2554 contiennent au moins toutes les informations spécifiques suivantes:

a) 

le code de référence de l’incident attribué par l’entité financière;

b) 

la date et l’heure de détection de l’incident et sa classification conformément à l’article 8 du règlement délégué (UE) 2024/1772 de la Commission ( 1 );

c) 

une description de l’incident lié aux TIC;

d) 

les critères énoncés aux articles 1er à 8 du règlement délégué (UE) 2024/1772, sur la base desquels l’entité financière a classé l’incident lié aux TIC comme majeur;

e) 

les États membres touchés par l’incident lié aux TIC;

f) 

des informations sur la manière dont l’incident lié aux TIC a été détecté;

g) 

le cas échéant, des informations sur l’origine de l’incident lié aux TIC;

h) 

des informations indiquant si l’entité financière a activé un plan de continuité des activités;

i) 

le cas échéant, des informations sur le reclassement de l’incident lié aux TIC de majeur à non majeur;

j) 

le cas échéant, toute autre information pertinente.

Article 3

Informations spécifiques à fournir dans les rapports intermédiaires

Les rapports intermédiaires visés à l’article 19, paragraphe 4, point b), du règlement (UE) 2022/2554 contiennent au moins toutes les informations spécifiques suivantes:

a) 

le cas échéant, le code de référence de l’incident attribué par l’autorité compétente;

b) 

la date et l’heure auxquelles l’incident lié aux TIC est survenu;

c) 

le cas échéant, la date et l’heure auxquelles l’entité financière a repris ses activités régulières;

d) 

des informations sur la manière dont les critères énoncés aux articles 1er à 8 du règlement délégué (UE) 2024/1772 ont été remplis, sur la base desquels l’entité financière a classé l’incident lié aux TIC comme majeur;

e) 

le type d’incident lié aux TIC;

f) 

le cas échéant, les menaces et les techniques utilisées par l’acteur de la menace;

g) 

les domaines fonctionnels et les processus opérationnels concernés;

h) 

les composants d’infrastructure concernés soutenant les processus opérationnels;

i) 

l’incidence sur les intérêts financiers des clients;

j) 

des informations sur la notification de l’incident lié aux TIC à d’autres autorités;

k) 

les actions ou mesures temporaires prises ou prévues par l’entité financière pour se rétablir à la suite de l’incident lié aux TIC;

l) 

le cas échéant, des informations sur les ►C1  indicateurs de compromission ◄ .

Article 4

Informations spécifiques à fournir dans les rapports finaux

Les rapports finaux visés à l’article 19, paragraphe 4, point c), du règlement (UE) 2022/2554 contiennent toutes les informations spécifiques suivantes:

a) 

des informations sur les causes originelles de l’incident lié aux TIC;

b) 

les dates et heures auxquelles l’incident lié aux TIC a été résolu et la ou les causes originelles ont été traitées;

c) 

des informations sur la résolution de l’incident lié aux TIC;

d) 

le cas échéant, les informations pertinentes pour les autorités de résolution;

e) 

des informations sur les coûts et pertes directs et indirects découlant de l’incident lié aux TIC et des informations sur les recouvrements financiers;

f) 

le cas échéant, des informations sur les incidents récurrents liés aux TIC.

Article 5

Délais pour la notification initiale et pour les rapports intermédiaire et final

1.  

Les entités financières soumettent la notification initiale et les rapports intermédiaire et final visés à l’article 19, paragraphe 4, points a), b) et c), du règlement (UE) 2022/2554 dans les délais suivants:

a) 

pour le rapport initial: le plus tôt possible, mais en tout état de cause, dans un délai de quatre heures à compter de la classification de l’incident lié aux TIC comme majeur et au plus tard 24 heures à compter du moment où l’entité financière en a eu connaissance;

b) 

pour le rapport intermédiaire: au plus tard dans un délai de 72 heures à compter de la soumission de la notification initiale, même si la situation ou le traitement de l’incident n’ont pas changé conformément à l’article 19, paragraphe 4, point b), du règlement (UE) 2022/2554. Les entités financières soumettent sans retard injustifié un rapport intermédiaire actualisé et, en tout état de cause, lorsque les activités régulières ont repris;

c) 

pour le rapport final: au plus tard un mois après la soumission du rapport intermédiaire ou, le cas échéant, après la dernière mise à jour du rapport intermédiaire.

2.  
Lorsque l’entité financière n’a pas classé un incident lié aux TIC comme majeur dans un délai de 24 heures à compter du moment où elle en a eu connaissance, mais qu’elle classe cet incident comme majeur à un stade ultérieur, elle soumet la notification initiale dans un délai de quatre heures à compter de la classification de l’incident lié aux TIC comme majeur.
3.  
Les entités financières qui ne sont pas en mesure de soumettre la notification initiale, le rapport intermédiaire ou le rapport final dans les délais fixés au paragraphe 1 en informent l’autorité compétente dans les meilleurs délais, mais au plus tard dans les délais respectifs pour la soumission de la notification ou du rapport, et en expliquent les raisons.
4.  
Lorsque le délai de soumission d’une notification initiale, d’un rapport intermédiaire ou d’un rapport final expire un jour de week-end ou un jour férié dans l’État membre de l’entité financière déclarante, l’entité financière peut soumettre la notification initiale, le rapport intermédiaire ou le rapport final au plus tard à midi le jour ouvrable suivant.
5.  
Le paragraphe 4 ne s’applique pas à la soumission d’une notification initiale ou d’un rapport intermédiaire par les établissements de crédit, les contreparties centrales, les opérateurs de plates-formes de négociation et d’autres entités financières considérées comme des entités essentielles ou importantes conformément à l’article 3 de la directive (UE) 2022/2555.
6.  
Les autorités compétentes peuvent décider que le paragraphe 4 ne s’applique pas à la soumission d’une notification initiale ou d’un rapport intermédiaire par les entités financières, autres que celles visées au paragraphe 5, qui sont classées comme importantes ou présentent un caractère systémique pour le secteur financier au niveau national ou de l’Union. Les autorités compétentes notifient leur décision aux entités financières concernées. La décision de l’autorité compétente ne s’applique qu’en ce qui concerne les incidents déclarés après la date de la notification de la décision par l’autorité compétente aux entités financières concernées.

Article 6

Contenu de la notification volontaire des cybermenaces importantes

Le contenu de la notification volontaire en ce qui concerne les cybermenaces importantes visée à l’article 19, paragraphe 2, du règlement (UE) 2022/2554 couvre l’ensemble des éléments suivants:

a) 

des informations générales sur l’entité financière notifiante, conformément à l’article 1er;

b) 

la date et l’heure de détection de la cybermenace importante et de tout autre horodatage pertinent lié à cette dernière;

c) 

une description de la cybermenace importante;

d) 

des informations sur l’incidence potentielle de la cybermenace importante sur l’entité financière, ses clients ou ses contreparties financières;

e) 

les critères de classification susceptibles d’avoir été à l’origine d’un rapport d’incident majeur prévus aux articles 1er à 8 du règlement délégué (UE) 2024/1772 en cas de matérialisation de la cybermenace;

f) 

des informations sur la situation de la cybermenace importante et sur tout changement dans l’activité de la menace;

g) 

le cas échéant, une description des mesures prises par l’entité financière pour empêcher la matérialisation des cybermenaces importantes;

h) 

des informations sur toute notification de la cybermenace importante à d’autres entités ou autorités financières;

i) 

le cas échéant, des informations sur les ►C1  indicateurs de compromission ◄ ;

j) 

le cas échéant, toute autre information pertinente.

Article 7

Entrée en vigueur

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.


( 1 ) Règlement délégué (UE) 2024/1772 de la Commission du 13 mars 2024 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant les critères de classification des incidents liés aux TIC et des cybermenaces, fixant des seuils d’importance significative et précisant les détails des rapports d’incidents majeurs (JO L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Top