10. Une institution financière ou un agent d’évaluation du crédit doit tenir à jour un registre des incidents de sécurité de l’information qui comprend, pour chaque incident:1° la date et l’heure de celui-ci;
2° sa localisation;
3° sa nature;
4° une description détaillée de celui-ci, incluant les renseignements contenus au paragraphe 2° de l’article 9;
5° les préjudices engendrés par celui-ci;
6° les tiers concernés par l’incident;
7° les actions prises;
8° l’acceptation ou non du risque résiduel et les justificatifs afférents;
9° les actions prévues;
10° la date de sa clôture.