Chapitre 1 - Champ d’application et principes généraux
CSSF Circular 25/882 on requirements for ICT third-party services for DORA entities (as amended by Circular CSSF 26/915) · CSSF 25/882
Chapitre 1. Champ d’application et principes généraux
Sous-chapitre 1.1. Champ d’application
1. Les entités suivantes sont à considérer comme entités financières dans le cadre de la présente circulaire :
a) les établissements de crédit, les entreprises d'investissement, les opérateurs de marché exploitant une plate-forme de négociation et les dispositifs de publication agréés faisant l’objet d’une dérogation et les mécanismes de déclaration agréés faisant l’objet d’une dérogation au sens de la loi du 5 avril 1993 relative au secteur financier (LSF) ; b) les établissements de paiement, les prestataires de services d'information sur les comptes et les établissements de monnaie électronique au sens de la loi du 10 novembre 2009 relative aux services de paiement (LSP) ; c) les prestataires de services sur crypto-actifs et les émetteurs de jetons se référant à un ou des actifs au sens du règlement (UE) 2023/1114 ; d) les dépositaires centraux de titres au sens de la loi du 6 juin 2018 relative aux dépositaires centraux de titres ; e) les contreparties centrales au sens de la loi du 15 mars 2016 relative aux produits dérivés de gré à gré, aux contreparties centrales et aux référentiels centraux ; f) les sociétés de gestion de droit luxembourgeois relevant du chapitre 15 ou de l’article 125-2 du chapitre 16 et les succursales luxembourgeoises de gestionnaires de fonds d’investissement relevant du chapitre 17, et les sociétés d’investissement qui n’ont pas désigné de société de gestion au sens de l’article 27 de la loi du 17 décembre 2010 concernant les organismes de placement collectif ; g) les gestionnaires de fonds d’investissement alternatifs agréés au titre du chapitre 2 et les fonds d’investissement alternatifs gérés de manière interne au sens de l’article 4, paragraphe 1, point b), de la loi du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs ; h) les institutions de retraite professionnelle agréées conformément à l’article 2, paragraphe 2, de la loi du 13 juillet 2005 relative aux institutions de retraite professionnelle sous forme de société d'épargne-pension à capital variable (sepcav) et d'association d'épargne-pension (assep) ; i) les administrateurs d’indices de référence d’importance critique au sens de l’article 20, paragraphe 1, point b), du règlement (UE) 2016/1011 ; j) les prestataires de services de financement participatif au sens de la loi du 16 juillet 2019 relative à l’opérationnalisation de règlements européens dans le domaine des services financiers ; k) les succursales de pays tiers d’entreprises énumérées aux points 1.a) à j) ci-dessus et ayant leur siège social dans un pays tiers et qui seraient considérées éligibles en vertu de l’article 2, paragraphe 1, points a) à i), k) à m), p), r) et s) du règlement DORA.
2. Les dispositions de la présente circulaire s’appliquent à toutes les entités financières concernées, telles que définies au point 1a) à k) ci-dessus, ci-après dénommées collectivement « Entités financières » ou individuellement « Entité financière », y compris leurs succursales telles que prévues par les lois respectives.
telle que modifiée par la circulaire CSSF 26/915 3. Les succursales luxembourgeoises des Entités financières qui font partie d'une entité juridique dont le siège social est situé dans un autre État membre de l'Union européenne (succursales UE) sont exclues du champ d'application du 0 de la présente circulaire.
4. Les établissements de crédit importants dont la BCE est l’autorité compétente pour ce qui est de la surveillance prudentielle sont exclues du 0 de la présente circulaire.
Sous-chapitre 1.2. Recours à un tiers pour les services d’exploitation des TIC
5. Il est rappelé aux Entités financières qu’en ce qui concerne les accords relatifs à l’utilisation de services TIC fournis par des prestataires tiers de services TIC, elles doivent s’assurer que l’accès aux renseignements couverts par le secret professionnel est garanti conformément à l’article 41, paragraphe 2bis de la LSF ou à l’article 30, paragraphe 2bis, de la LSP, selon le cas.
6. Les accords contractuels avec un tiers situé au Luxembourg relatifs aux services TIC soumis à l’exigence d’un agrément conformément à l’article 29-3 de la LSF, à savoir les services de gestion/opération des TIC (y compris les services d’opération des ressources en cas d’utilisation de services en nuage 3) fournis à certains types d’Entités financières 4, ne peuvent être conclus que si l’une des conditions suivantes est remplie :
a. le prestataire de services est autorisé par la CSSF conformément à l’article 29-3 de la LSF de fournir de tels services ; ou
b. le prestataire de services est par ailleurs autorisé à exercer ces activités, à savoir s’il s’agit d’un établissement de crédit, ou il s’agit d’une entité qui entre dans le champ d’application de l’article 1-1, paragraphe 2, point c), de la LSF qui fait partie du groupe auquel l’Entité financière appartient et qui traite exclusivement d’opérations de groupe.
7. Les Entités financières peuvent conclure des accords contractuels sur l'utilisation de services TIC autres que ceux visés au point 6 ci-dessus, avec tout prestataire de services TIC au Luxembourg ou à l'étranger. Ces accords d'externalisation doivent être établis dans le respect des exigences du point 5 ci-dessus. En particulier, si le prestataire de services n'est pas autorisé à accéder aux renseignements couverts par le secret professionnel conformément à l'article 41, paragraphe 2bis, de la LSF ou à l'article 30, paragraphe 2bis, de la LSP, selon le cas, le prestataire de services ne peut avoir accès à ces renseignements que s'il est supervisé, tout au long de sa mission, par une personne de l'Entité financière qui a la charge des TIC.
3 Il est renvoyé au chapitre 3 de la présente circulaire pour les définitions des services en nuage et de l’opération des ressources. 4 Les différents types d’Entités financières sont énumérés à l’article 29, paragraphe 3 de la LSF.
telle que modifiée par la circulaire CSSF 26/915 Sous-chapitre 1.3. Sauvegarde des positions comptables
8. Lorsqu'elle utilise un système comptable situé en dehors du Luxembourg (services d'hébergement de systèmes comptables) de manière indépendante ou dans le cadre de l'externalisation des tâches opérationnelles de la fonction comptable, l'Entité financière dispose, à la fin de chaque journée, d'une sauvegarde sécurisée de toutes les positions comptables de fin de journée, y compris les positions des clients, dans un format lisible, afin de garantir une préparation autonome d'un bilan, d'un compte de profits et pertes et des positions des clients 5.
9. Cette sauvegarde doit être stockée dans les locaux de l'Entité financière au Luxembourg, d'une entité du groupe située dans l'EEE ou d'un autre prestataire de services (c'est-à-dire un prestataire de services différent de celui qui fournit le service d'hébergement du système comptable) situé dans l'EEE.
10. Les Entités financières agissant en qualité d'administrateur d'OPC au sens de la circulaire CSSF 22/811 doivent appliquer les exigences des points 8 et 9 ci-dessus en tenant compte du point 80 de la circulaire CSSF 22/811 qui contient des exigences similaires adaptées aux activités d'administration d'OPC.
