Chapitre 1 - : Champ d’application
CSSF Circular 25/892 — Estimation of aggregated annual costs and losses caused by major ICT-related incidents (Joint ESAs Guidelines, JC 2024 34) (as amended by Circular CSSF 26/915) · CSSF 25/892
Chapitre 1 : Champ d’application 1. Les entités suivantes, autres que les microentreprises définies à l’article 3, paragraphe 60, du règlement DORA 2, sont à considérer comme des entités financières dans le cadre de la présente circulaire :
a) établissements de crédit, entreprises d’investissement, opérateurs de marché exploitant une plate-forme de négociation et dispositifs de publication agréés avec une dérogation et mécanismes de notification agréés avec une dérogation au sens de la loi du 5 avril 1993 relative au secteur financier ; b) établissements de paiement, prestataires de services d’information sur les comptes et établissements de monnaie électronique au sens de la loi du 10 novembre 2009 relative aux services de paiement ; c) prestataires de services sur crypto-actifs et émetteurs de jetons se référant à un ou des actifs au sens du règlement (UE) 2023/114 ; d) dépositaires centraux de titres au sens de la loi du 6 juin 2018 relative aux dépositaires centraux de titres ; e) contreparties centrales au sens de la loi du 15 mars 2016 relative aux produits dérivés de gré à gré, aux contreparties centrales et aux référentiels centraux ; f) sociétés de gestion de droit luxembourgeois relevant du chapitre 15 ou de l’article 125- 2 du chapitre 16 et succursales luxembourgeoises de gestionnaires de fonds d’investissement relevant du chapitre 17, et sociétés d’investissement qui n’ont pas désigné de société de gestion au sens de l’article 27 de la loi du 17 décembre 2010 concernant les organismes de placement collectif ; g) gestionnaires de fonds d’investissement alternatifs agréés au titre du chapitre 2 et fonds d’investissement alternatifs gérés de manière interne au sens de l’article 4, paragraphe 1, point b), de la loi du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs ; h) institutions de retraite professionnelle agréées conformément à l’article 2, paragraphe 2, de la loi du 13 juillet 2005 relative aux institutions de retraite professionnelle sous forme de sepcav et assep ; i) administrateurs d’indices de référence d’importance critique au sens de l’article 20, paragraphe 1, point b), du règlement (UE) 2016/1011 ; j) prestataires de services de financement participatif au sens de la loi du 16 juillet 2019 relative à l’opérationnalisation de règlements européens dans le domaine des services financiers ; k) les succursales de pays tiers d’entreprises énumérées aux points 1.a) à j) ci-dessus et ayant leur siège social dans un pays tiers et qui seraient considérées éligibles en vertu de l’article 2, paragraphe 1, points a) à t) du règlement DORA.
2. Les succursales au Luxembourg d’entités financières qui font partie d’une entité juridique dont le siège social est situé dans un autre État membre de l’Union européenne (succursales UE) sont tenues de soumettre leurs estimations au titre du règlement DORA à l’autorité compétente de cet État membre (État membre d’origine) à sa demande et sont donc exclus du champ d'application de la présente circulaire.
2 « microentreprise » : une entité financière, autre qu’une plate-forme de négociation, une contrepartie centrale, un référentiel central ou un dépositaire central de titres, qui emploie moins de dix personnes et dont le chiffre d’affaires annuel et/ou le total du bilan annuel n’excède pas 2 millions d’euros.
telle que modifiée par la circulaire CSSF 26/915 3/4
In Luxembourg, the competent authority is the CSSF, which applies the DORA regulation to financial entities authorised under the Luxembourg sectoral laws listed in Article 1 (law of 5 April 1993 on the financial sector, law of 10 November 2009 on payment services, law of 17 December 2010 on undertakings for collective investment, law of 12 July 2013 on alternative investment fund managers, among others). Circular CSSF 25/892, as amended by CSSF 26/915, specifies that EU branches report to their home Member State and fall outside the Luxembourg scope.
Luxgap practice: first verify your authorisation in the CSSF register and the exact location of your head office before launching any DORA framework, because a wrong qualification exposes you to reporting sent to the wrong authority.