Le piège classique
L'article 4 est trompeusement rassurant : il laisse croire que les petites entités financières peuvent appliquer DORA a minima. C'est faux. La proportionnalité n'est pas une exemption, c'est une obligation de justification. La CSSF ne sanctionne pas le fait d'avoir un dispositif allege, elle sanctionne l'incapacite a démontrer pourquoi ce dispositif est proportionné a votre taille, votre profil de risque et la complexité de vos opérations. Une fintech régulée CSSF ou un gestionnaire AIFM qui invoque la proportionnalité sans dossier d'analyse documente se retrouve sans défense lors de l'examen de cohérence du cadre de gestion du risque TIC (art. 6(5) et 16(2)).
Le piège en pratique : la proportionnalité n'est jamais une auto-declaration
L'erreur récurrente consiste a traiter la proportionnalité comme un choix discretionnaire interne. La CSSF, qui prend explicitement en compte son application (art. 4(3)), attend une traçabilité. Voici ce qui doit être documente :
- La justification écrite du profil de risque global retenu, avec les critères quantitatifs et qualitatifs mobilises (volume d'actifs, criticité des services, dépendances TIC).
- Le périmètre exact des allegements revendiques au titre des chapitres II, III, IV et V section I, article par article.
- La distinction entre les règles qui admettent expressement la proportionnalité et celles qui s'imposent intégralement (cadre simplifié de l'art. 16 réservé aux entités eligibles).
- L'articulation avec les circulaires CSSF 20/750 (modifiée par 25/881) sur la gestion du risque TIC et 22/806 (modifiée par 25/883) sur l'externalisation, qui declinent localement le standard attendu.
- La preuve de revue périodique de cette analyse, car un profil de risque evolue avec la croissance de l'entité.
Attention : DORA etant lex specialis pour le secteur financier, il prime sur NIS 2 pour les mêmes entités (art. 1). Une entité financière ne peut pas se replier sur un cadre NIS 2 allege pour échapper a la rigueur de DORA.
Comment Luxgap automatise ce risque
Notre Luxgap Proportionality Justifier transforme la proportionnalité d'argument fragile en dossier opposable a la CSSF. L'outil calcule votre profil de risque global à partir de vos données réelles (registre des actifs TIC, cartographie des prestataires tiers, criticité des fonctions importantes) et génère automatiquement la justification article par article des allegements que vous pouvez legitimement revendiquer, sans formulaire a remplir manuellement.
- Calcule un score de profil de risque global à partir de vos systèmes connectes (Active Directory, Microsoft Defender, registre d'externalisation, inventaire CMDB) et le confronte aux seuils d'éligibilité au cadre simplifié de l'article 16.
- Classifie chaque exigence des chapitres II a V selon qu'elle admet la proportionnalité ou s'impose intégralement, en s'appuyant sur le texte DORA et les circulaires CSSF 20/750 et 25/882.
- Génère la note de justification proportionnalité par article, prête a annexer au cadre de gestion du risque TIC remis a la CSSF.
- Alerte en temps réel lorsque votre croissance (nouveaux actifs, nouveaux services, nouvelles dépendances TIC) fait basculer votre profil de risque et invalide un allegement precedemment revendique.
- Produit un rapport PDF horodate et scelle, opposable lors de l'examen de cohérence au titre des articles 6(5) et 16(2), démontrant que chaque choix de proportionnalité repose sur une analyse datée.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur votre profil de risque réel, avec un audit blanc gratuit sous 48h pour mesurer votre exposition avant tout engagement.
