Le piège classique
Le considérant 53 éclaire un point critique des articles 17 à 19 du DORA : toutes les entités financières doivent notifier, mais pas avec les mêmes seuils ni les mêmes délais. En pratique, beaucoup d'entités luxembourgeoises (petits PSF de support, gestionnaires AIFM sous seuil, intermédiaires d'assurance) sous-estiment leur obligation en pensant que les seuils RTS ne les concernent pas. La CSSF sanctionné au contraire l'absence de processus de qualification d'incident, indépendamment de la taille : ne pas savoir si un incident est majeur est en soi un manquement à l'article 17.
Ce que ce considérant impose concrètement
Le considérant 53 oriente la lecture des RTS adoptés par les AES (notamment le règlement délégué 2024/1772 sur la classification et les seuils). Il en découle trois obligations opérationnelles :
- Calibrer vos propres seuils internes de qualification en miroir des critères RTS : clients affectés, durée d'indisponibilité, perte de données, impact économique, réputation, criticité du service.
- Adapter vos délais internes de remontée pour respecter les fenêtrès réglementaires : notification initiale sous 4 heures après classification majeure (et au plus tard 24h après détection), rapport intermédiaire sous 72h, rapport final sous 1 mois.
- Documenter la spécificité de votre entité (taille, modèle, services TIC critiques) pour justifier votre calibrage devant la CSSF en cas de contrôle.
Le piège majeur : appliquer mécaniquement les seuils RTS sans les contextualiser à votre profil. Le considérant 53 invite au contraire à une proportionnalité raisonnée et documentée.
Comment Luxgap automatise ce risque
Notre Luxgap Incident Severity Engine transforme la qualification d'incident TIC, exercice subjectif et tardif, en décision automatique horodatée alignée sur les RTS DORA. L'outil branche un agent IA sur vos sources de télémétrie (Microsoft Defender, Sentinel, CrowdStrike, Wazuh, Splunk, ServiceNow ITSM) et vos systèmes métier (core banking, plateforme AIFM, CRM assurance) pour calculer en temps réel le score de matérialité selon les sept critères du règlement délégué 2024/1772, sans intervention humaine au moment critique.
- Détecte automatiquement chaque incident TIC remonté par vos EDR, SIEM et outils ITSM et le qualifié sur les sept critères RTS en moins de 60 secondes.
- Calcule la fenêtre réglementaire applicable à votre entité (4h, 24h, 72h, 1 mois) et déclenche des alertes Teams ou Slack horodatées vers le RSSI, le DPO et la direction.
- Pré-remplit le formulaire eDesk CSSF avec les champs obligatoires extraits de vos systèmes (clients impactés, services affectés, durée d'indisponibilité mesurée).
- Documente votre calibrage de seuils spécifique à votre profil d'entité avec justification écrite opposable à la CSSF.
- Produit un dossier d'incident scellé cryptographiquement (timestamp eIDAS) regroupant la chaîne complète détection-qualification-notification, opposable lors d'une inspection sur place.
- Simule rétroactivement vos 24 derniers mois d'incidents pour identifier ceux qui auraient dû être notifiés mais ne l'ont pas été.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur vos incidents réels, avec un audit blanc gratuit sous 48h pour mesurer votre exposition de notification avant tout engagement.
