Partie II - Exigences relatives aux dispositifs
Circulaire CSSF 22/806 sur l'externalisation (modifiée par CSSF 25/883 et 26/915) · CSSF 22/806
Partie II. Exigences relatives aux dispositifs d’externalisation en matière de TIC 114. L’objectif de cette partie est de définir les exigences spécifiques qui s’appliquent dans le contexte de l’externalisation de services TIC (cloud ou non-cloud), et qui doivent être remplies en sus des exigences générales établies dans la partie I de la présente circulaire. Les dispositions suivantes contribuent à la gestion saine et prudente, à la bonne organisation des Entités concernées et à la préservation de la sécurité de l’information des Entités concernées 32.
115. Les exigences définies dans la présente partie II ne s’appliquent pas à l’externalisation de nature métier ou administrative (aussi appelée business process outsourcing, c’est-à-dire aux dispositifs d’externalisation qui ne sont pas exclusivement relatifs aux TIC), même si ces dispositifs d’externalisation comportent eux-mêmes une externalisation en matière de TIC, c’est-à-dire que les systèmes de TIC sous-jacents font partie de cette externalisation de nature métier ou administrative.
116. Lorsque l’externalisation en matière de TIC, ou au moins un des sous-traitants en cas de sous- externalisation, repose sur une infrastructure de cloud computing telle que définie au point 1, les Entités concernées doivent se conformer aux exigences énoncées aux points 114 à 119, si applicable, ainsi qu’au chapitre 2 de la partie II. Dans le cas de dispositifs d’externalisation en matière de TIC autres que ceux reposant sur une infrastructure de cloud computing telle que définie au point 1, les Entités concernées doivent se conformer aux exigences énoncées aux points 114 à 119, si applicable, ainsi qu’au chapitre 1 de la partie II.
117. Dans le cas de sous-externalisation en matière de TIC, les exigences de cette partie (telles qu’applicables conformément au point 116) doivent s’appliquer à toute la chaîne d’externalisation.
32 Comme prévu, entre autres, à l’article 5, paragraphe 1bis, de la LSF, l’article 17 de la LSF, l’article 11, paragraphe 2, de la LSP, au point 135 de la circulaire CSSF 18/698, à l’article 5, paragraphe 2, du règlement CSSF N° 10-04 et à l’article 57, paragraphe 2, du règlement délégué (UE) 231/2013.
CIRCULAR CSSF 22/806 Telle que modifiée par les circulaires CSSF 25/883 et 26/915 38/50 118. Conformément au principe de proportionnalité, une Entité concernée peut, si motivé par des conclusions exhaustives et solides de l’évaluation de la criticité des fonctions et de l’analyse des risques, justifier la non-application des exigences énoncées dans les points suivants lorsque l’externalisation en matière de TIC n’est pas critique ou importante et qu’il est peu probable qu’elle le devienne :
a. point 103 : la continuité en cas de résolution ou réorganisation ou d’une autre procédure ; et
b. point 112(b) : le transfert des services lorsque la continuité de la prestation de services est menacée.
119. Il est rappelé aux Entités concernées que pour tout dispositif d’externalisation en matière de TIC, elles doivent :
a. s’assurer que l’accès aux données et systèmes respecte les principes du « besoin de savoir » et du « moindre privilège », c’est-à-dire que l’accès n’est octroyé qu’aux personnes dont la fonction le justifie, dans un but précis, et leurs privilèges sont restreints au strict minimum nécessaire pour exercer leurs fonctions ; et
b. s’assurer que l’accès aux données soumises au secret professionnel est accordé conformément à l’article 41, paragraphe 2bis, de la LSF ou à l’article 30, paragraphe 2bis, de la LSP, le cas échéant.
Au Luxembourg, la circulaire 22/806 s'appuie directement sur le secret professionnel bancaire de l'article 41 de la loi du 5 avril 1993 sur le secteur financier (LSF) et de l'article 30 de la loi sur les services de paiement (LSP). Le point 119(b) renvoie explicitement a l'article 41(2bis) LSF, qui encadre le partagé d'informations couvertes par le secret professionnel avec un prestataire d'externalisation. La circulaire a ete modifiée par la CSSF 25/883 puis la 26/915 pour s'aligner sur DORA, ce qui superpose au regime national les obligations du registre d'information TIC.
Pratique Luxgap : verifiez que chaque accès prestataire aux données clients respecte l'article 41(2bis) LSF et documentez le consentement ou la base légale du transfert; notre Classifier tag automatiquement les flux touchant au secret professionnel pour prioriser leur revue.
