Circulaire CSSF n° 25/882 (telle que modifiée par la circulaire CSSF n° 26/915) (mise à jour) relative aux exigences concernant l'utilisation de services tiers dans le domaine des technologies de l'information et de la communication (TIC) par les entités financières soumises à la loi sur la résilience opérationnelle numérique (DORA)
La CSSF renforce les exigences relatives aux prestataires TIC tiers dans le cadre de DORA: La circulaire CSSF 25/882 définit les modalités pratiques applicables aux entités financières soumises à DORA qui utilisent des services TIC fournis par des tiers, notamment les notifications relatives aux dispositifs soutenant des fonctions critiques ou importantes et la tenue d'un registre des informations. La circulaire a été mise à jour le 27 août 2026 afin d'inclure les succursales de pays tiers concernées dans son champ d'application.
Mises à jour liées
La CSSF clarifie le secret professionnel et ses exceptions légales
La CSSF a publié un communiqué (en français uniquement) rappelant le cadre légal applicable à son secret professionnel et à ses exceptions. Cette clarification répond aux questionnements relatifs aux limites de la communication publique de la CSSF sur l'exécution de ses missions de surveillance, notamment au regard de ses nombreuses publications de sanctions administratives. Le communiqué confirme que le secret constitue un régime institutionnel d'ordre public dont les exceptions doivent être expressément prévues par la loi.
02 Oct 2026
La CSSF publie des instructions opérationnelles supplémentaires sur la notification des incidents TIC majeurs au titre de DORA
Le 29 septembre 2026, la CSSF a attiré l'attention des entités financières sur les instructions opérationnelles publiées par les autorités européennes de surveillance (ABE, AEAPP et AEMF) concernant la notification des incidents TIC majeurs au titre de DORA (règlement (UE) 2022/2554). La CSSF a également publié ses propres instructions opérationnelles supplémentaires, visant à améliorer la qualité des informations transmises, à fluidifier le processus de notification et à réduire les échanges ultérieurs avec le superviseur. Les entités relevant du périmètre DORA de la CSSF sont invitées à en tenir dûment compte.
29 Sep 2026
Déclaration des incidents DORA de l’AEMF – instructions opérationnelles
Les AES ont publié des instructions opérationnelles relatives à la notification des incidents majeurs liés aux TIC dans le cadre de DORA. Elles visent à améliorer la qualité des données, l’harmonisation des notifications et l’efficacité de la supervision. La CSSF a également publié des instructions pratiques supplémentaires pour les entités luxembourgeoises. Les entités financières devraient revoir leurs processus de gestion et de notification des incidents afin de garantir des rapports complets et suffisamment détaillés. Ces instructions ne remplacent pas les exigences légales existantes de DORA.
29 Sep 2026