Dispositifs de partage d’informations et de renseignements sur les cybermenaces
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
Dispositifs de partage d’informations et de renseignements sur les cybermenaces
1. Les entités financières peuvent échanger entre elles des informations et des renseignements sur les cybermenaces, notamment des indicateurs de compromis, des tactiques, des techniques et des procédures, des alertes de cybersécurité et des outils de configuration, dans la mesure où ce partage d’informations et de renseignements:
| a) | vise à améliorer la résilience opérationnelle numérique des entités financières, notamment en les sensibilisant aux cybermenaces, en limitant ou en bloquant la capacité de propagation des cybermenaces, et en soutenant les capacités de défense, les techniques de détection des menaces et les stratégies d’atténuation ou les phases de réponse et de rétablissement; |
| b) | se déroule au sein de communautés d’entités financières de confiance; |
| c) | repose sur des dispositifs de partage des informations qui protègent la nature potentiellement sensible des informations partagées et qui sont régis par des règles de conduite dans le plein respect de la confidentialité des affaires, de la protection des données à caractère personnel conformément au règlement (UE) 2016/679 et des lignes directrices sur la politique de concurrence. |
2. Aux fins du paragraphe 1, point c), les dispositifs de partage d’informations définissent les conditions à respecter pour y participer et, le cas échéant, précisent les modalités de participation des autorités publiques, et en quelle qualité elles peuvent être associées à ces dispositifs, les modalités de la participation des prestataires tiers de services TIC, ainsi que les aspects opérationnels de ce partage, y compris de l’utilisation de plateformes de TIC spécialisées.
3. Les entités financières notifient aux autorités compétentes leur participation aux dispositifs de partage d’informations visés au paragraphe 1 lors de la validation de leur adhésion ou, le cas échéant, la cessation de leur adhésion, lorsque celle-ci prend effet.
Au Luxembourg, la notification d'adhesion ou de cessation a un dispositif de partagé prevue au paragraphe 3 se fait aupres de la CSSF via le portail eDesk, sous le module dedie a la resilience opérationnelle numerique. Le CERT national de référence est CIRCL (Computer Incident Response Center Luxembourg), operateur historique de la plateforme MISP, ce qui fait du Luxembourg un hub naturel pour le partagé d'IoC bancaires européens. La CSSF attend en pratique que la participation a CIRCL MISP, FS-ISAC ou tout ISAC sectoriel soit cartographiee dans le cadre du rapport annuel article 6(5) DORA.
Pratique Luxgap : nous configurons le connecteur CIRCL MISP natif et alignons votre politique TLP sur celle du CIRCL pour eviter les frictions lors des contrôles CSSF, avec pre-remplissage automatique du formulaire eDesk d'adhesion.
