CSSF Circular 26/906 — Central administration, internal governance and risk management.
The new governance framework for payment and electronic money institutions, applicable from 30 June 2026.
Circular contents
All 38 sections, in the order of the official text. Each one is analysed separately, with the official text and Luxgap practical guidance.
- II.1. Chapitre 1 - L’administration centrale
- II.2. Chapitre 2 - Le dispositif de gouvernance interne
- II.3. Chapitre 3 - Propriétés génériques d’un dispositif solide en
- II.4.1.1. Section 4.1.1 - Responsabilités de l’organe de surveillance
- II.4.1.2. Section 4.1.2 - Composition et qualification de l’organe de
- II.4.1.3. Section 4.1.3 - Organisation et fonctionnement de l’organe de
- II.4.1.4. Section 4.1.4 - Comités spécialisés
- II.4.2.1. Section 4.2.1 - Responsabilités de l’organe de gestion
- II.4.2.2. Section 4.2.2 - Composition et qualification de l’organe de gestion
- II.4.2.3. Section 4.2.3 - Organisation et fonctionnement de l’organe de
- II.5.1. Sous-chapitre 5.1 - L’organigramme et les ressources humaines
- II.5.2. Sous-chapitre 5.2 - Les procédures et la documentation interne
- II.5.3. Sous-chapitre 5.3 - L’infrastructure administrative et technique
- II.5.3.1. Section 5.3.1 - La fonction financière et comptable
- II.5.3.2. Section 5.3.2 - La fonction informatique
- II.5.3.3. Section 5.3.3 - Le dispositif de communication et d’alerte interne et
- II.6. Chapitre 6 - Le contrôle interne
- II.6.1.1. Section 6.1.1 - Les contrôles quotidiens réalisés par le personnel
- II.6.1.2. Section 6.1.2 - Les contrôles critiques continus
- II.6.1.3. Section 6.1.3 - Les contrôles réalisés par les membres de l’organe
- II.6.2.1. Section 6.2.1 - Responsabilités génériques des fonctions de
- II.6.2.2. Section 6.2.2 - Caractéristiques des fonctions de contrôle interne
- II.6.2.3. Section 6.2.3 - Exécution des travaux des fonctions de contrôle
- II.6.2.4. Section 6.2.4 - Organisation des fonctions de contrôle interne
- II.6.2.5. Section 6.2.5 - La fonction compliance
- II.6.2.6. Section 6.2.6 - Le contrôle des risques
- II.6.2.7. Section 6.2.7 - La fonction d’audit interne
- II.7.1. Sous-chapitre 7.1 - Structure organisationnelle et entités
- II.7.2.1. Section 7.2.1 - Exigences générales
- II.7.2.2. Section 7.2.2 - Exigences spécifiques relatives aux conflits
- II.7.3. Sous-chapitre 7.3 - Procédure d’approbation des nouveaux
- II.8.1. Sous-chapitre 8.1 - Exigences générales
- II.8.2. Sous-chapitre 8.2 - Protection des fonds par le recours à des
- II.8.3. Sous-chapitre 8.3 - Protection des fonds par le recours à une
- II.9. Chapitre 9 - Reporting légal
Who is concerned?
This circular is broken down into 38 sections analysed one by one, each with the official text and Luxgap practical guidance for compliance in Luxembourg.Key obligations
The new governance framework for payment and electronic money institutions, applicable from 30 June 2026.
Luxgap supports CSSF-supervised entities (banks, PFS, payment and e-money institutions, management companies, funds) in complying with this circular: gap analysis, policy and register updates, CSSF inspection readiness, articulation with the DORA Regulation and the NIS 2 framework where relevant.
Deadlines
See the official CSSF text for precise application dates. Most recent ICT circulars articulate with the DORA Regulation, applicable since 17 January 2025.
Sanctions for non-compliance
Non-compliance exposes entities to CSSF administrative sanctions: injunctions, pecuniary sanctions, restrictions or suspension of authorisation.
How Luxgap helps
The new governance framework for payment and electronic money institutions, applicable from 30 June 2026.
Luxgap supports CSSF-supervised entities (banks, PFS, payment and e-money institutions, management companies, funds) in complying with this circular: gap analysis, policy and register updates, CSSF inspection readiness, articulation with the DORA Regulation and the NIS 2 framework where relevant.
Let's discuss your situation.
This topic is handled case by case. Get in touch to discuss it: reply within one business day, no commitment.
Contact us →
