Art. 23 Incidents opérationnels ou de sécurité liés au paiement concernant les établissements de crédit, les établissements de paiement, les prestataires de services d’information sur les comptes et les établissements de monnaie électronique | DORA regulation | DORA

This brief but important article extends the scope of the Chapter's requirements — which primarily concern ICT-related incidents — to also cover operational or security payment-related incidents.

It acts as a bridging provision, ensuring that the incident management and reporting rules established in this Chapter are not limited to purely technology-driven events, but also capture broader payment-related disruptions, whether or not they are ICT-related in origin.

Crucially, this extension does not apply to all financial entities, but only to a defined subset of payment-focused entities.

Important points:

The incident management and reporting requirements of this Chapter apply to both operational or security payment-related incidents and major operational or security payment-related incidents — not just ICT-related ones.
This extension applies only to credit institutions, payment institutions, account information service providers, and electronic money institutions.
Note that the scope here covers incidents whether or not they are ICT-related in origin, broadening the reach of the Chapter's obligations for these specific entity types.

Pour réduire la charge administrative et les obligations de notification susceptibles d’être redondantes pour certaines entités financières, l’obligation de notification des incidents au titre de la directive (UE) 2015/2366 du Parlement européen et du Conseil(¹²) devrait cesser de s’appliquer aux prestataires de services de paiement qui relèvent du champ d’application du présent règlement. Par conséquent, les établissements de crédit, les établissements de monnaie électronique, les établissements de paiement et les prestataires de services d’information sur les comptes, visés à l’article 33, paragraphe 1, de ladite directive, devraient, à compter de la date d’application du présent règlement, signaler, conformément au présent règlement, tous les incidents opérationnels ou de sécurité liés au paiement qui ont été précédemment signalés au titre de ladite directive, que ces incidents soient liés ou non aux TIC.

Article 23 Incidents opérationnels ou de sécurité liés au paiement concernant les établissements de crédit, les établissements de paiement, les prestataires de services d’information sur les comptes et les établissements de monnaie électronique

Relevant recitals