Les dates et les rôles décrits
L’ANSSI a publié le 6 juillet 2026 une annonce sur l’accord signé le 3 juillet avec l’ACPR et la Banque de France. La publication décrit une coopération en matière d’informations, de contrôles et de crise. Elle distingue la réponse technique aux incidents, le respect de DORA et la résilience des infrastructures financières.
Cet accord éclaire l’organisation institutionnelle. Il ne remplace pas les procédures internes d’une entité et ne crée pas une exemption générale pour les fournisseurs de clients financiers. La lecture réglementaire doit porter sur la personne morale, ses activités et les sujets concernés. Notre guide DORA et NIS2 développe cette distinction.
La question pour une équipe de crise
Les équipes doivent savoir quelle information va à quel destinataire. Une demande d’assistance technique, une notification réglementaire et une information au client sont différentes. Leur coordination doit éviter les messages contradictoires. La procédure conserve les faits confirmés, les incertitudes et les validations.
La direction identifie les personnes qui décident et les suppléants. Les fonctions juridiques examinent les cadres pertinents. Le RSSI et l’exploitation documentent les services affectés. Les communications doivent rester factuelles tant que l’investigation n’a pas établi l’étendue de l’impact. Un circuit institutionnel ne supprime pas ce besoin de qualification interne.
Le cas d’un fournisseur TIC
Un prestataire travaillant pour une entité financière doit examiner ses propres règles et ses contrats. Il peut devoir fournir des informations utiles au client pour ses démarches. Cela ne signifie pas que le client accomplit toutes ses obligations à sa place. Les responsabilités doivent être décrites pour le service et les dépendances partagées.
La consultation doit préciser les entités et les contrats étudiés. Le rapport distingue les engagements commerciaux et les obligations propres aux acteurs. Une matrice unique peut organiser les circuits, mais les références doivent rester identifiables. Les services mutualisés demandent une attention particulière lorsqu’un incident pourrait affecter plusieurs clients.
Une action à demander au prestataire
Préparez un scénario d’incident simulé sur un service externalisé. Demandez au prestataire de vérifier les rôles, les informations et les destinataires. La réception doit se faire sans notification réelle, sauf instruction explicite et coordination adaptée. Les constats sont transformés en corrections de procédure ou de contacts.
Conservez les deux dates de l’accord, signature et annonce, dans la veille. Avant une démarche réelle, consultez les informations officielles actuelles des autorités compétentes. Le formulaire de ce site ne reçoit aucun détail d’incident et ne constitue pas un canal de notification ou d’assistance d’urgence.
Sources et portée réglementaire
Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.