Comment se conformer à l'article M.2 du CSSF 25/883 ?

Question

Je dois mettre mon organisation luxembourgeoise en conformite à l'article M.2 du CSSF 25/883 (CSSF 25/883). Quelles sont les exigences concretes a respecter, les sanctions encourues, et comment Luxgap peut-il m'accompagner ?

Accepted Answer

Le piège classiqueUne modification de définitions parait anodine, mais c'est exactement la qu'on perd des dossiers. En ajoutant le règlement DORA aux définitions de la CSSF 22/806, la CSSF cree un renvoi normatif systématique : chaque fois que 22/806 mentionné desormais DORA, ce sont les obligations complètes du règlement (UE) 2022/2554 qui s'appliquent, avec leurs propres sanctions (jusqu'à 1% du chiffre d'affaires journalier moyen). Les établissements qui lisent encore 22/806 isolement, sans cartographier les renvois croises vers DORA et vers la CSSF 25/882, passent à côté de la moitie de leurs obligations TIC reelles.Les pièges en pratiqueDouble cadre applicable : 22/806 (gouvernance externalisation, regime CSSF) + DORA (résilience opérationnelle TIC, regime européen). Les deux coexistent et se completent, ils ne se substituent pas.Clauses cloud supprimees de 22/806 (loi applicable EEA, résilience EEA) basculent sous DORA art. 28 a 30. Vos contrats cloud signes avant le 17 janvier 2025 doivent être revus.Distinction TIC vs non-TIC : un service d'externalisation administrative reste sous 22/806 pur, un service TIC bascule sous DORA. La qualification correcte est decisive pour le regime applicable.Registre unique impossible : DORA impose un registre d'information TIC selon RTS spécifique, 22/806 impose un inventaire externalisation. Beaucoup d'entités tentent un seul fichier Excel, et echouent les deux contrôles.Sous-traitance en chaîne : DORA art. 29 impose la tracabilite jusqu'au sous-sous-traitant TIC critique, exigence absente de 22/806 originelle.Comment Luxgap automatise ce risqueNotre Luxgap Dual Framework Mapper elimine la zone grise entre CSSF 22/806 et DORA en projetant en temps reel chaque contrat fournisseur sur les deux cadres simultanement, et en produisant deux livrables conformes : le registre d'externalisation CSSF et le registre d'information TIC DORA, generes à partir de la même source de vérité. L'outil se connecte a votre référentiel contrats (Odoo, Ironclad, SharePoint), votre comptabilite (Sage BOB 50, SAP) et votre annuaire Active Directory pour reconstituer la cartographie reelle de vos prestataires TIC et non-TIC.Classifie automatiquement chaque prestataire en TIC critique / TIC non critique / externalisation non-TIC selon les critères DORA art. 3 et la grille CSSF 22/806, avec justification opposable.Genere le registre d'information TIC au format RTS DORA (UE 2024/1773) directement exportable vers le portail CSSF, sans ressaisie.Detecte les clauses contractuelles manquantes (DORA art. 30, sortie, audit, sous-traitance, localisation des données) et propose les avenants prets a signer.Suit la chaîne complète des sous-traitants TIC jusqu'au niveau N+3 via intégration avec les rapports SOC 2 et les registres publics des fournisseurs cloud.Alerte la CSSF par notification automatique en cas de changement matériel d'un contrat TIC critique, dans les délais imposes par DORA.Produit un rapport PDF horodate opposable lors d'u...

Modification 2, definitions de la partie I chapitre 1, ajout du reglement DORA

Ils nous font confiance

Avant de discuter