Le piège classique
L'article 4 fixe une date d'application avec effet immediat au 9 avril 2025, sans période transitoire. C'est exactement la ou les entités surveillées se piegent : elles raisonnent comme si elles disposaient d'un délai de remédiation, alors que la CSSF considere le socle 20/750 modifie, aligne sur DORA, comme opposable des sa publication. En cas de contrôle ou de notification d'incident, l'absence de mise à jour immediate du dispositif de gestion des risques TIC est traitée comme un manquement actuel, pas comme un chantier en cours. La CSSF sanctionne la passivite réglementaire : ne pas avoir trace la transition entre l'ancien et le nouveau référentiel.
Pourquoi "effet immediat" est un piège opérationnel
Une circulaire d'application immediate impose une preuve datée que votre cadre interne a intègre les nouvelles exigences. Concrètement, vous devez démontrer a la CSSF :
- Que votre politique de gestion des risques TIC a été revisée et reapprouvée par l'organe de direction après le 9 avril 2025.
- Que la cartographie des fonctions critiques ou importantes et des prestataires TIC a été realignée sur le vocabulaire et le périmètre DORA.
- Que votre registre d'information sur les accords contractuels TIC est conforme au modèle attendu sous DORA.
- Que le délai de notification des incidents majeurs et le seuil de classification ont été recalibres.
- Que la difference entre l'ancien socle 20/750 et le socle modifie a été documentée dans un registre de conformité horodate, opposable lors d'un contrôle.
Le risque n'est pas théorique : la CSSF attend une traçabilité de la bascule, pas une simple affirmation que "tout est conforme".
Comment Luxgap automatise ce risque
Notre Luxgap Regulatory Effective-Date Tracker rend impossible l'angle mort de l'application immediate : il transforme chaque circulaire CSSF en un plan de remédiation date et opposable, des sa publication. L'outil surveille en continu le flux de publication de la CSSF, détecte les circulaires modificatives (comme la 25/881 modifiant la 20/750) et croise leur contenu avec votre dispositif interne stocke dans M365, SharePoint et votre GED, pour matérialiser instantanément les écarts a combler.
- Détecte automatiquement chaque nouvelle circulaire CSSF et sa date d'effet, puis alerte votre RSSI et votre conformité via Teams le jour même de la publication.
- Compare le texte de la circulaire modificative avec la version anterieure et génère un differentiel clause par clause des nouvelles obligations introduites par l'alignement DORA.
- Classifie chaque exigence (politique a revoir, registre a mettre à jour, seuil de notification a recalibrer) et l'affecte a un responsable avec une échéance.
- Vérifie que votre politique de gestion des risques TIC porté bien une date de reapprobation posterieure a la date d'effet et alerte si l'organe de direction n'a pas formellement visé la mise à jour.
- Produit un rapport PDF horodate, opposable a la CSSF lors d'un contrôle, qui démontre la traçabilité complète de la bascule entre l'ancien et le nouveau référentiel.
Disponible en complément d'un mandat CISO ou DPO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur votre dispositif réel, avec un audit blanc gratuit sous 48h pour mesurer votre exposition avant tout engagement.
