Circulaire CSSF 25/883 (zoals gewijzigd bij Circulaire CSSF 26/915) (bijgewerkt) tot wijziging van Circulaire CSSF 22/806 betreffende uitbestedingsregelingen
CSSF stemt outsourcingvereisten af op DORA: CSSF-circulaire 25/883 wijzigt het Luxemburgse outsourcingkader om overlappingen met DORA te vermijden. Voor DORA-entiteiten worden de ICT-outsourcingvereisten uit circulaire 22/806 grotendeels vervangen door DORA, terwijl BPO onder het kader blijft vallen. Niet-DORA-entiteiten blijven de relevante ICT-outsourcing- en BPO-vereisten van circulaire 22/806 toepassen. De circulaire werd op 27 augustus 2026 bijgewerkt.
Gerelateerde updates
CSSF breidt de LMT-activeringsmodule uit naar kennisgevingen van opschorting van terugbetalingen
Op 18 september 2026 kondigde de CSSF aan dat vanaf 21 september 2026 de activering en deactivering van een opschorting van terugbetalingen uitsluitend moet worden gemeld via de “LMT activation”-module van CSSF eDesk. De vereiste geldt voor de Luxemburgse UCI's, SIF's en SICAR's die onder de mededeling vallen. Hoewel een opschorting van terugbetalingen uitsluitend geen LMT vormt onder de Luxemburgse wet van 3 maart 2026, heeft de CSSF deze opgenomen in de LMT-meldingsmodule. De bestaande administratieve en documentatievereisten blijven ongewijzigd. Compliance-actie: zorg ervoor dat de relevante procedures en verantwoordelijke teams vanaf 21 september 2026 klaar zijn om de eDesk-module te gebruiken.
18 Sep 2026
CSSF waarschuwt voor actieve exploitatie van CVE-2026-76461 in Cisco Secure Email Gateway
De CSSF heeft een communiqué gepubliceerd waarin zij de onder toezicht staande entiteiten waarschuwt voor de actieve exploitatie van CVE-2026-76461, een kwetsbaarheid in de e-mailparsing van Cisco AsyncOS Software voor Cisco Secure Email Gateway die ongeauthenticeerde remote code execution met root-rechten mogelijk maakt. De toezichthouder herinnert eraan dat een dergelijke ongeoorloofde kwaadwillige toegang een ernstig ICT-gerelateerd incident vormt dat moet worden gemeld op grond van circulaire CSSF 25/893 (DORA) of CSSF 24/847, afhankelijk van het type entiteit.
15 Sep 2026
CSSF publiceert winst- en verliesrekening van kredietinstellingen per 30 juni 2026
Op 14 september 2026 publiceerde de CSSF de winst- en verliesrekening van de Luxemburgse kredietinstellingen per 30 juni 2026 (alleen in het Frans beschikbaar). Het resultaat voor voorzieningen en belastingen van de sector steeg met 5,4% op jaarbasis tot 5.330,2 miljoen EUR, terwijl het nettoresultaat ongeveer gelijk bleef aan de eerste helft van 2025 doordat hogere dotaties aan risicovoorzieningen de stijging compenseerden. De kosten-inkomstenratio verbeterde licht tot 44,8% tegenover 45,3%.
14 Sep 2026