Section 5.1.2 - : Précisions sur l’infrastructure technique, IT et la continuité opérationnelle

Section 5.1.2. : Précisions sur l’infrastructure technique, IT et la continuité opérationnelle 134. Chaque GFI doit se doter dans ses locaux d’une infrastructure technique et informatique adaptée à l’activité qu’il veut réaliser.

Circulaire 18/698 Page 26/102 135. Selon l’article 5 (2) du Règlement 10-4 et l’article 57 (2) du Règlement Délégué 231/2013, chaque GFI doit établir, mettre en œuvre et garder opérationnels des systèmes et des procédures appropriés pour préserver la sécurité, l’intégrité et la confidentialité des informations, en tenant compte de la nature des informations concernées. 136. Les exigences du paragraphe précité sont remplies au mieux lorsque le GFI dispose de sa propre infrastructure informatique, qui est prise en charge par son propre service informatique, lui-même organisé et encadré par un dispositif de contrôle interne fixé par les instances dirigeantes. En règle générale, le GFI doit donc disposer, dans ses locaux au Luxembourg, de ses propres ordinateurs et de programmes informatiques appropriés et dûment documentés. 137. Ainsi, le GFI doit mettre en place des procédures et un dispositif lui permettant d’identifier et de gérer les risques informatiques, notamment dans les domaines suivants : • le risque d’atteinte à la confidentialité, à l’intégrité et à l’accessibilité des données ; • les risques liés à la continuité des activités du GFI et à la capacité de résilience des systèmes informatiques ; • les risques liés à l’externalisation de la fonction informatique, le cas échéant ; • le risque de fraude informatique, caractérisée par l’usage de données, de logiciels et de matériel informatique du GFI à des fins malicieuses ; • les risques de cyberattaques. 138. Les dispositions susmentionnées n’empêchent toutefois pas un GFI de recourir, sous sa responsabilité, aux services d’un tiers spécialisé en matière de conseil, de programmation, de maintenance ou de gestion de systèmes informatiques. Tout recours à un tiers doit être notifié préalablement à la CSSF et être formalisé par un contrat de services. Le tiers doit en outre faire l’objet d’une due diligence initiale et d’un suivi continu, en accord avec les dispositions prévues au sous-chapitre 6.2. (« Encadrement de la délégation ») de la présente circulaire. 139. Il est également admissible qu’un GFI soit lié par voie de télécommunication au centre de traitement informatique se trouvant auprès de sa maison-mère ou d’une filiale de celle-ci. En cas de recours au service de sa maison-mère ou d’une filiale de celle-ci, le GFI doit vérifier que l’entité en question est qualifiée pour, et capable de, prester le service en question. 140. Au cas où le GFI a recours aux services d’un tiers, il doit veiller à avoir un accès rapide et non limité aux informations le concernant, stockées au centre de traitement informatique. Ces informations doivent être encryptées ou encore protégées selon d'autres moyens techniques disponibles de nature à assurer la sécurité des communications et la confidentialité des données des clients. 141. Par ailleurs, le GFI doit être en mesure de fonctionner normalement en cas d’indisponibilité de son système informatique. A cet effet, il doit mettre en place une solution de « back-up » en adéquation avec un plan de continuité de ses activités, tel que prévu par l’article 5 (3) du Règlement 10-4 et par l’article 57 (3) du Règlement Délégué 231/2013. Ce plan de continuité doit décrire les actions à mettre en œuvre par le GFI afin de poursuivre ses activités en cas d’incident ou de sinistre lié à des événements anormaux. Dans le cas où le GFI a recours aux services de sa maison-mère ou d’une filiale de celle-ci, le GFI peut se baser sur la solution de « back-up » de sa maison-mère ou de la filiale en question, à condition que la ségrégation des données du GFI soit assurée. 142. Un GFI doit disposer de systèmes informatiques adaptés permettant de respecter les dispositions en matière de bonne organisation administrative prévues à l’article 109 (1) a) de la Loi 2010 et à l’article 16 de la Loi 2013. Dans ce contexte, une distinction doit toutefois être faite entre un GFI qui exerce lui-même une ou plusieurs des fonctions incluses dans l’activité de gestion d’OPC et celui qui a délégué une ou plusieurs desdites fonctions à un ou plusieurs tiers. Suivant l’organisation retenue, le GFI doit se référer aux sections pertinentes des sous-chapitres 6.3. à 6.6. de la présente circulaire. 143. La circulaire CSSF 17/654 portant sur la sous-traitance informatique reposant sur une infrastructure informatique en nuage ou infrastructure de « Cloud Computing » s’applique au GFI dans la mesure

Circulaire 18/698 Page 27/102 où le GFI a recours à une telle infrastructure. En application du point 24 (c) de la circulaire précitée, le GFI est tenu de désigner parmi ses employés une personne, le « cloud officer », qui a pour responsabilité l’utilisation des services de Cloud Computing et est garant des compétences du personnel gérant les ressources de Cloud Computing. Ce rôle peut être assuré directement par le dirigeant ayant dans ses attributions la fonction informatique. 144. La CSSF rappelle à chaque GFI qu’il est tenu de respecter les dispositions de la circulaire CSSF 11/504 concernant les fraudes et incidents dus à des attaques informatiques externes.