Chapitre 1 - Les entités relevant du champ d’application
Circulaire CSSF 25/881 modifiant la CSSF 20/750 sur la gestion des risques TIC et de sécurité · CSSF 25/881
Chapitre 1. Les entités relevant du champ d’application ...................................................... 4
Chapitre 2. Définitions.................................................................................................... 4
Chapitre 3. Orientations sur la gestion des risques liés aux TIC et à la sécurité...................... 7
3.1. Proportionnalité ........................................................................................ 7 3.2. Gouvernance et stratégie ........................................................................... 7 3.3. Cadre de gestion des risques liés aux TIC et à la sécurité .............................. 9 3.4. Sécurité de l’information .......................................................................... 12
3.5. Gestion des opérations de TIC .................................................................. 16 3.6. Gestion des projets de TIC et du changement ............................................ 19 3.7. Gestion de la continuité des activités......................................................... 21
Chapitre 4. Date d’application ....................................................................................... 24
telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 Chapitre 1. Les entités relevant du champ d’application La présente circulaire est applicable dans son entièreté aux entités suivantes :
a) tous les PSF de support au sens de la loi du 5 avril 1993 relative au secteur financier (« LSF »)
b) tous les PSF spécialisés au sens de la loi du 5 avril 1993 relative au secteur financier (« LSF »)
c) POST Luxembourg régi par la loi du 15 décembre 2000 sur les services financiers postaux2 et, en tant que prestataire de services de paiement, tel que visé à l’article 1 er, point 37) (iii) de la LSP
d) toutes les succursales au Luxembourg d’établissements de crédit ayant leur siège social dans un pays tiers
e) toutes les succursales au Luxembourg d’entreprises d’investissement ayant leur siège social dans un pays tiers
f) toutes les succursales au Luxembourg d’établissements de paiement et d’établissements de monnaie électronique ayant leur siège social dans un pays tiers
Au Luxembourg, l'article 1 de la circulaire CSSF 25/881 cible un périmètre spécifiquement luxembourgeois absent du socle EBA : les PSF de support (article 29-1 à 29-6 LSF) et les PSF spécialisés (articles 25 à 28-12 LSF) sont des statuts propres au droit luxembourgeois, sans équivalent direct dans les autres États membres. POST Luxembourg est également visé nommément en raison de la loi modifiée du 15 décembre 2000 sur les services financiers postaux et de son statut au titre de la LSP. La CSSF dispose d'un pouvoir de sanction administrative direct via l'article 63 de la LSF.
Pratique Luxgap : pour toute entité de droit luxembourgeois, la qualification doit explicitement adresser le statut PSF concerné (support vs spécialisé) car les exigences proportionnelles du chapitre 3.1 s'appliquent différemment selon la nature de l'activité externalisée.