Annexe IV GLOSSAIRE DE DONNÉES ET INSTRUCTIONS POUR LA NOTIFICATION DES CYBERMENACES IMPORTANTES

Code d’identification de l’entité soumettant la notification.

Lorsque les entités financières soumettent la notification/le rapport, le code d’identification est l’identifiant d’entité juridique (LEI), code unique à 20 caractères alphanumériques conforme à la norme ISO 17442-1:2020.

Lorsqu’un prestataire tiers soumet un rapport au nom d’une entité financière, il peut utiliser un code d’identification tel que spécifié dans les normes techniques d’exécution adoptées en vertu de l’article 28, paragraphe 9, du règlement (UE) 2022/2554.

• les établissements de crédit,

• les établissements de paiement,

• les établissements de paiement exemptés,

• les prestataires de services d’information sur les comptes,

• les établissements de monnaie électronique,

• les établissements de monnaie électronique exemptés,

• les entreprises d’investissement,

• les prestataires de services sur crypto-actifs,

• les émetteurs de jetons se référant à un ou des actifs,

• les dépositaires centraux de titres,

• les contreparties centrales,

• les plates-formes de négociation,

• les référentiels centraux,

• les gestionnaires de fonds d’investissement alternatifs,

• les sociétés de gestion,

• les prestataires de services de communication de données,

• les entreprises d’assurance et de réassurance,

• les intermédiaires d’assurance, les intermédiaires de réassurance et les intermédiaires d’assurance à titre accessoire,

• les institutions de retraite professionnelle,

• les agences de notation de crédit,

• les administrateurs d’indices de référence d’importance critique,

• les prestataires de services de financement participatif,

• les référentiels des titrisations.

Numéro de téléphone de la personne de contact principale que l’autorité compétente peut utiliser pour la communication de suivi.

Le numéro de téléphone indiqué comporte tous les préfixes internationaux (par exemple +33 XXXXXXXXX).

Numéro de téléphone de la deuxième personne de contact que l’autorité compétente peut utiliser pour la communication de suivi, le cas échéant.

Le numéro de téléphone indiqué comporte tous les préfixes internationaux (par exemple +33 XXXXXXXXX).

Description des aspects les plus pertinents de la cybermenace importante.

• un aperçu schématique des aspects les plus pertinents de la cybermenace importante;

• les risques connexes qui en découlent, y compris les vulnérabilités potentielles des systèmes de l’entité financière qui peuvent être exploitées;

• des informations sur la probabilité de matérialisation de la cybermenace importante; et

• des informations concernant la source d’informations sur la cybermenace.

• clients, contreparties financières et transactions touchés,

• atteinte à la réputation,

• durée et interruptions de service,

• répartition géographique,

• pertes de données,

• services critiques touchés,

• conséquences économiques.

Informations sur la situation de la cybermenace pour l’entité financière et sur l’évolution éventuelle de l’activité de la menace.

Lorsque la cybermenace a cessé de communiquer avec les systèmes d’information de l’entité financière, elle peut être qualifiée d’inactive. Si l’entité financière dispose d’informations indiquant que la menace demeure active à l’égard d’autres parties ou du système financier dans son ensemble, la menace est qualifiée d’active.

• active,

• inactive.

Informations relatives à la menace importante qui peuvent contribuer à la détection des activités malveillantes au sein d’un réseau ou d’un système d’information (indicateurs de compromis), le cas échéant.

• les adresses IP;

• les adresses URL;

• les noms de domaine;

• les empreintes numériques;

• les données relatives aux logiciels malveillants (nom du logiciel malveillant, noms de fichiers et leur emplacement, clés de registre spécifiques associées à l’activité des logiciels malveillants);

• les données relatives à l’activité du réseau (ports, protocoles, adresses, référents, agents utilisateurs, en-têtes, journaux spécifiques ou caractéristiques distinctes du trafic réseau);

• les données du message électronique (expéditeur, destinataire, objet, en-tête, contenu);

• les requêtes DNS et les configurations du registre;

• les activités relatives aux comptes d’utilisateur (connexions, activité de compte d’utilisateur privilégié, escalade de privilèges);

• le trafic de bases de données (lecture/écriture), les demandes dans le même fichier.

Ce type d’informations peut inclure des données concernant des indicateurs décrivant les caractéristiques du trafic réseau correspondant à des attaques connues/à des communications de réseaux zombies (botnets), les adresses IP des machines infectées par des logiciels malveillants (bots), des données relatives aux serveurs de «commande et contrôle» utilisés par des logiciels malveillants (généralement des domaines ou des adresses IP) et les URL de sites d’hameçonnage ou de sites web dont on a observé qu’ils hébergent des logiciels malveillants ou des kits d’exploit.