Aux fins de l’article 18, paragraphe 2, du règlement (UE) 2022/2554, une cybermenace est considérée comme importante lorsque toutes les conditions suivantes sont remplies:
a) la cybermenace est ou était susceptible, en cas de matérialisation, de toucher des fonctions critiques ou importantes de l’entité financière, ou de toucher d’autres entités financières, prestataires tiers, clients ou contreparties financières, à en juger par les informations dont dispose l’entité financière;
b) la probabilité que la cybermenace se matérialise au sein de l’entité financière ou d’autres entités financières est grande, compte tenu au moins des éléments suivants:
i) les risques applicables liés à la cybermenace, visés au point a), y compris les vulnérabilités potentielles des systèmes de l’entité financière qui peuvent être exploitées;
ii) les capacités et l’intention des acteurs de la menace, dans la mesure où l’entité financière en a connaissance;
iii) la persistance de la menace et toute connaissance acquise sur les incidents qui ont eu une incidence sur l’entité financière ou son prestataire tiers, ses clients ou ses contreparties financières;
c) si elle se matérialisait, la cybermenace pourrait remplir ou atteindre l’un des critères ou seuils suivants:
i) le critère de la criticité des services énoncé à l’article 18, paragraphe 1, point e), du règlement (UE) 2022/2554, tel qu’il est précisé à l’article 6 du présent règlement;
ii) le seuil d’importance significative prévu à l’article 9, paragraphe 1;
iii) le seuil d’importance significative prévu à l’article 9, paragraphe 4.
Lorsque, en fonction du type de cybermenace et des informations disponibles, l’entité financière conclut que les seuils d’importance significative prévus à l’article 9, paragraphes 2, 3, 5 et 6, pourraient être atteints, elle peut également prendre ces seuils en considération.