Chapitre 1 - : Définitions et champ d’application
Circulaire CSSF 24/847 sur le cadre de notification des incidents liés aux TIC · CSSF 24/847
Chapitre 1 : Définitions et champ d’application ....................................................................... 5
Section 1.1 : Définitions .................................................................................................... 5 Section 1.2 : Champ d’application ...................................................................................... 7
Chapitre 2 : Exigences générales .......................................................................................... 8
Section 2.1 : Incidents à notifier ........................................................................................ 8 Section 2.2 : Classification des incidents liés aux TIC ............................................................ 9 Section 2.3 : Notification d’incidents majeurs liés aux TIC ..................................................... 9
Au Luxembourg, la circulaire CSSF 24/847 abroge et remplace la circulaire 11/504 et est en vigueur depuis le 1er avril 2024 (1er juin 2024 pour certaines entités). L'autorité competente pour les entités du secteur financier est la CSSF, qui articule la notification avec DORA (UE 2022/2554) et la Loi SRI transposant NIS pour les OSE et FSN. La qualification d'entité essentielle ou importante au titre de NIS 2 peut coexister avec le statut d'entité financiere DORA, ce qui impose de determiner le cadre prevalent.
Pratique Luxgap : verifiez d'abord si DORA prevaut (lex specialis pour le secteur financier) avant d'appliquer la Loi SRI, et alignez votre procédure interne sur la 24/847 et non sur la 11/504 abrogee.
