Chapitre 2 - Dispositifs d’externalisation en matière de TIC
Circulaire CSSF 22/806 sur l'externalisation (modifiée par CSSF 25/883 et 26/915) · CSSF 22/806
Chapitre 2. Dispositifs d’externalisation en matière de TIC reposant sur une infrastructure de cloud computing 133. Le présent chapitre établit des exigences spécifiques supplémentaires à respecter en cas d’externalisation en matière de TIC reposant sur une infrastructure de cloud computing (ci-après également « solutions de cloud computing »). L’utilisation d’un cloud privé sans recours à une externalisation est donc exclue du champ d’application de ce chapitre.
Au Luxembourg, la CSSF est l'autorité competente directe et exige une notification préalable pour toute externalisation cloud portant sur une fonction critique ou importante. Les prestataires operant l'infrastructure au Luxembourg relevent souvent du statut de PSF de support sous les articles 29-3, 29-5 et 29-6 de la LSF (loi du 5 avril 1993 relative au secteur financier), ce qui ajoute un regime de surveillance spécifique. La circulaire CSSF 22/806, modifiée par la CSSF 25/883, articule ces obligations avec le registre d'information TIC de DORA.
Pratique Luxgap : verifiez que votre operateur cloud local (eBRC, LuxConnect, POST) dispose bien de l'agrement PSF de support requis et que votre notification CSSF est envoyée avant, et non après, la mise en production.
