Coopération avec les structures et autorités établies par la directive (UE) 2022/2555
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
Coopération avec les structures et autorités établies par la directive (UE) 2022/2555
1. Afin de favoriser la coopération et de permettre des échanges en matière de surveillance entre les autorités compétentes désignées conformément au présent règlement et le groupe de coopération institué par l’article 14 de la directive (UE) 2022/2555, les AES et les autorités compétentes peuvent participer aux activités du groupe de coopération pour les questions qui concernent leurs activités de supervision liées aux entités financières. Les AES et les autorités compétentes peuvent demander à être invitées à participer aux activités du groupe de coopération pour les questions en lien avec les entités essentielles ou importantes relevant de la directive (UE) 2022/2555 qui ont également été désignées comme des prestataires tiers critiques de services TIC en vertu de l’article 31 du présent règlement.
2. Le cas échéant, les autorités compétentes peuvent consulter les points de contact uniques et les CSIRT désignés ou établis conformément à la directive (UE) 2022/2555 et partager des informations avec ceux-ci.
3. Le cas échéant, les autorités compétentes peuvent demander tout conseil et assistance technique pertinents aux autorités compétentes désignées ou établies conformément à la directive (UE) 2022/2555 et établir des accords de coopération permettant la mise en place de mécanismes de coordination efficaces et rapides.
4. Les accords visés au paragraphe 3 du présent article peuvent, entre autres, préciser les procédures relatives à la coordination des activités de surveillance et de supervision en ce qui concerne les entités essentielles ou importantes relevant de la directive (UE) 2022/2555 qui ont été désignées comme prestataires tiers critiques de services TIC en vertu de l’article 31 du présent règlement, ainsi que les procédures relatives à la réalisation, conformément au droit national, d’enquêtes et d’inspections sur place, et les procédures régissant les mécanismes d’échange d’informations entre les autorités compétentes relevant du présent règlement et les autorités compétentes désignées ou établies conformément à ladite directive, y compris l’accès aux informations demandées par ces dernières.
Au Luxembourg, la coopération article 47 met en jeu la CSSF (autorité DORA pour le secteur financier) et l'ILR (autorité nationale NIS 2 désignée par la loi du 17 juillet 2024 portant transposition de la directive (UE) 2022/2555), avec le concours du GovCERT.lu (CSIRT gouvernemental) et du CIRCL (CSIRT pour le secteur privé non gouvernemental). Pour les entités financières dont un prestataire TIC est désigné CTPP, attendez-vous à des demandes d'information coordonnées CSSF + ILR, et à des inspections sur site conjointes prévues par le paragraphe 4.
Pratique Luxgap : préparez dès maintenant une matrice RACI nominative qui désigne, pour chaque scénario d'incident TIC, le point de contact CSSF, le SPOC NIS 2 à l'ILR, et le CSIRT compétent (GovCERT.lu pour les OIV, CIRCL pour le privé), avec délais et formats de notification figés par écrit.
