Article considérant 36

(36) Le présent règlement définit une approche de la notification des incidents importants en plusieurs étapes, afin de trouver le juste équilibre entre, d’une part, la notification rapide qui aide à atténuer la propagation potentielle des incidents importants et permet aux entités de l’Union de demander une assistance et, d’autre part, la notification approfondie qui permet de tirer des leçons précieuses des incidents individuels et d’améliorer au fil du temps la cyberrésilience des diverses entités de l’Union ainsi que de contribuer à améliorer de manière générale leur posture de cybersécurité. À cet égard, le présent règlement devrait inclure le signalement des incidents qui, sur la base d’une évaluation initiale effectuée par l’entité de l’Union concernée, pourraient entraîner des perturbations opérationnelles graves du fonctionnement de l’entité de l’Union concernée ou des pertes financières pour celle-ci, ou nuire à d’autres personnes physiques ou morales en causant des préjudices considérables, matériels ou non. Cette évaluation initiale devrait tenir compte, entre autres, des réseaux et des systèmes d’information touchés, notamment de leur importance pour le fonctionnement de l’entité de l’Union, de la gravité et des caractéristiques techniques de la cybermenace et de toutes les vulnérabilités sous-jacentes qui sont exploitées ainsi que de l’expérience de l’entité de l’Union en matière d’incidents similaires. Des indicateurs tels que la mesure dans laquelle le fonctionnement de l’entité de l’Union est affecté, la durée d’un incident ou le nombre de personnes physiques ou morales touchées pourraient jouer un rôle important pour déterminer si la perturbation opérationnelle doit être qualifiée de grave.