Article considérant 40

(40) Les incidents récurrents qui sont liés par une cause originelle apparente similaire et qui, pris isolément, ne répondent pas aux critères nécessaires pour être considérés comme importants, devraient être considérés collectivement comme constituant un incident important, à condition qu’ils remplissent collectivement le critère de la perte financière et qu’ils se soient produits au moins deux fois en l’espace de six mois. Ces incidents récurrents peuvent être le signe de défaillances et de faiblesses importantes dans les procédures de gestion des risques de cybersécurité de l’entité concernée et dans leur niveau de maturité en matière de cybersécurité. En outre, de tels incidents récurrents sont susceptibles de causer des pertes financières importantes à l’entité concernée.