Obligation de déclaration ACPR

Définition

L'obligation de déclaration ACPR désigne l'ensemble des exigences de notification que l'Autorité de contrôle prudentiel et de résolution impose aux établissements bancaires, aux compagnies d'assurance et aux autres entités relevant de sa supervision en France, en cas d'incident significatif affectant leurs systèmes d'information, en complément des obligations désormais harmonisées au niveau européen par le règlement DORA pour les incidents majeurs liés aux TIC. Cette obligation s'inscrit dans un cadre de supervision prudentielle plus large que la seule cybersécurité, couvrant également des incidents opérationnels de natures diverses susceptibles d'affecter la stabilité financière de l'établissement concerné ou la protection de sa clientèle, l'ACPR disposant de pouvoirs d'enquête et de sanction propres, distincts de ceux exercés par l'autorité nationale compétente au titre de NIS2 pour les mêmes entités lorsqu'elles relèvent également du champ d'application de cette directive. La coexistence de ces différents régimes déclaratifs, ACPR, DORA et le cas échéant NIS2, impose aux établissements financiers français une vigilance particulière pour identifier précisément quelle obligation s'applique à quel type d'incident et selon quel calendrier, une même situation d'incident pouvant déclencher simultanément plusieurs obligations de notification distinctes vers des destinataires différents et selon des délais qui ne sont pas nécessairement alignés entre eux. Une cartographie précise de ces obligations croisées constitue un prérequis pour une gestion de crise efficace dans le secteur financier régulé français.