Critères applicables à l’évaluation d’une atteinte à la sécurité ou d’une compromission
1. Les États membres fondent leur évaluation d’une atteinte à la sécurité ou d’une compromission sur les critères suivants:
a) l’atteinte à la sécurité ou la compromission a causé ou est susceptible de causer la mort d’une personne physique ou des dommages considérables à la santé d’une personne physique;
b) un accès effectif non autorisé, ou suspecté d’être malveillant, au réseau et aux systèmes d’information d’un fournisseur de portefeuille, du fournisseur des mécanismes de validation mentionnés à l’article 5 bis, paragraphe 8, du règlement (UE) no 910/2014, ou du fournisseur du schéma d’identification électronique dans le cadre duquel une solution de portefeuille est fournie (entité concernée), s’est produit ou peut se produire et pourrait entraîner une perturbation opérationnelle grave, et ces systèmes sont des éléments essentiels de la solution de portefeuille affectée, des mécanismes de validation affectés mentionnés à l’article 5 bis, paragraphe 8, du règlement (UE) no 910/2014 ou du schéma d’identification électronique affecté dans le cadre duquel une solution de portefeuille est fournie;
c) une solution de portefeuille, un mécanisme de validation mentionné à l’article 5 bis, paragraphe 8, du règlement (UE) no 910/2014, ou un schéma d’identification électronique dans le cadre duquel une solution de portefeuille est fournie, ou une partie de ceux-ci:
— est entièrement indisponible, ou il est prévisible qu’il ou elle le soit, pour les utilisateurs de portefeuille ou les parties utilisatrices de portefeuille pendant plus de 12 heures consécutives,
— est indisponible, ou il est prévisible qu’il ou elle le soit, pour les utilisateurs de portefeuille ou les parties utilisatrices de portefeuille pendant plus de 16 heures, le calcul étant effectué sur la base d’une semaine civile;
d) on estime que plus de 1 % des utilisateurs de portefeuille ou des parties utilisatrices de portefeuille sont touchés, ou devraient l’être, par la disponibilité limitée de la solution de portefeuille ou des services fournis par les entités concernées en ce qui concerne la solution de portefeuille;
e) il existe une possibilité de compromission, ou il y a eu une compromission de l’accès physique limité au personnel de confiance des entités concernées, ou de la protection de cet accès, sur un ou plusieurs des sites de réseaux et de systèmes d’information sur lesquels reposent la solution de portefeuille, la fourniture des mécanismes de validation mentionnés à l’article 5 bis, paragraphe 8, du règlement (UE) no 910/2014 associés à une solution de portefeuille ou le schéma d’identification électronique dans le cadre duquel une solution de portefeuille est fournie;
f) les aspects relatifs à la vie privée, l’intégrité, la confidentialité ou l’authenticité des données stockées, transmises ou traitées dans la solution de portefeuille sont compromis, ou peuvent l’être, d’une ou de plusieurs des manières suivantes:
— la compromission a un impact sur plus de 1 % des utilisateurs de portefeuille de la solution de portefeuille affectée ou sur plus de 100 000 de ces utilisateurs, le nombre le plus petit étant retenu,
— elle résulte d’une activité suspectée d’être malveillante qui a atteint son but,
— elle résulte ou est susceptible de résulter d’une ou de plusieurs vulnérabilités connues, y compris celles qui sont gérées conformément au règlement d’exécution (UE) 2024/2981 de la Commission,
— elle est susceptible d’affecter les données à caractère personnel de telle sorte que les droits et les libertés des personnes physiques concernées pourraient être menacés et, en particulier, en cas de violation de données à caractère au sens de l’article 9, paragraphe 1, et de l’article 10 du règlement (UE) 2016/679,
— elle est susceptible d’affecter les communications électroniques personnelles,
— elle est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques,
— elle est susceptible d’affecter les personnes vulnérables;
g) la certification de la solution de portefeuille a été annulée ou il est prévu qu’elle le soit;
h) l’atteinte à la sécurité ou la compromission a causé ou peut causer à une entité concernée une perte financière directe, et cette perte est supérieure à 500 000 EUR ou, le cas échéant, à 5 % du chiffre d’affaires annuel total de l’entité concernée au cours de l’exercice précédent, le montant le plus faible étant retenu.
2. Les États membres ne tiennent pas compte des conséquences prévues d’une opération de maintenance effectuée par les entités concernées ou en leur nom, à condition que cette opération de maintenance:
a) ait fait l’objet d’une notification préalable aux utilisateurs de portefeuille, aux parties utilisatrices de portefeuille et aux organes de contrôle compétents potentiellement affectés;
b) ne remplisse aucun des critères énoncés au paragraphe 1 de la présente annexe.
3. En ce qui concerne le paragraphe 1, point c), la durée d’un incident affectant la disponibilité est mesurée à partir du moment où la fourniture normale du service concerné est interrompue et jusqu’au moment où le service est rétabli et opérationnel. Lorsqu’une entité concernée n’est pas en mesure de déterminer le moment à partir duquel l’interruption a commencé, la durée de l’incident est mesurée à partir du moment où l’incident a été détecté, ou de celui où l’incident a été enregistré dans les journaux du réseau, du système ou dans d’autres sources de données, selon l’éventualité qui intervient en premier. L’indisponibilité totale d’un service est mesurée à partir du moment où le service est totalement indisponible pour les utilisateurs, jusqu’au moment où les activités ou opérations régulières ont retrouvé le niveau de service fourni avant l’incident. Lorsqu’une entité concernée n’est pas en mesure de déterminer quand l’indisponibilité totale d’un service a commencé, cette indisponibilité est mesurée à partir du moment où elle a été détectée par cette entité.
4. En ce qui concerne le paragraphe 1, point d), il est considéré que la disponibilité d’un service est limitée en particulier lorsque son délai de réponse est considérablement plus long que la moyenne, ou lorsque toutes les fonctionnalités d’un service ne sont pas disponibles. Dans la mesure du possible, des critères objectifs fondés sur les délais moyens de réponse des services sont utilisés pour évaluer les retards dans le délai de réponse.
5. Afin de déterminer les pertes financières directes résultant d’une atteinte ou d’une compromission visée au paragraphe 1, point h), les entités concernées tiennent compte de toutes les pertes financières qu’elles ont subies à la suite de l’incident, telles que les coûts du remplacement ou du déplacement de logiciels, de matériel ou d’infrastructures, les frais de personnel, y compris les coûts liés au remplacement ou au déménagement du personnel, au recrutement de personnel supplémentaire, à la rémunération des heures supplémentaires et à la récupération des compétences perdues ou altérées, les frais dus au non-respect d’obligations contractuelles, les coûts de dédommagement et d’indemnisation des clients, les pertes dues aux recettes non perçues, les coûts liés à la communication interne et externe et les frais de conseil, notamment les coûts liés au conseil juridique, aux services d’investigation numérique et aux services de remédiation. Les coûts nécessaires au fonctionnement quotidien de l’activité, tels que les coûts de maintenance générale des infrastructures, des équipements, du matériel et des logiciels, les améliorations et les initiatives d’évaluation des risques, ainsi que les primes d’assurance, ne sont pas considérés comme des pertes financières résultant d’un incident. Les entités concernées calculent le montant des pertes financières sur la base des données disponibles et ont recours à une estimation lorsqu’il est impossible de déterminer le montant réel de ces pertes.