7. Notification et gestion des incidents
7.1. Obligation de surveillance
Info
Les entités financières doivent mettre en place une capacité de détection, de gestion et de déclaration des incidents TIC.
Cela inclut :
- outils de détection en temps réel,
- procédures internes de gestion d’incident,
- journalisation et traçabilité des événements.
7.2. Classification des incidents
Les incidents doivent être classés selon leur :
- gravité (critique, majeur, mineur),
- impact (sur les données, les opérations, les clients…),
- effet systémique possible.
Example
Une indisponibilité du système de paiement central pendant 2 heures = incident critique.
7.3. Notification réglementaire obligatoire
Les incidents majeurs ou graves doivent être déclarés :
- à l’autorité nationale compétente (ACPR, AMF…),
- dans un délai très court (en général 4h à 24h),
- avec des informations précises (impact, mesures, remédiation, etc.).
7.4. Suivi post-incident
Chaque incident déclaré doit faire l’objet :
- d’un rapport interne détaillé,
- d’une analyse des causes profondes (RCA),
- d’un plan d’action correctif.
Warning
Le défaut de notification ou un manque de traçabilité peut entraîner des sanctions.