Le piège classique
L'article 64 fixe une date couperet : DORA s'applique depuis le 17 janvier 2025, sans période de grace, sans transition douce. Le piège que la CSSF sanctionne n'est pas l'ignorance du texte, mais la croyance qu'une entité financière luxembourgeoise pouvait attendre une circulaire de transposition pour s'aligner. DORA etant un règlement d'application directe, aucune mesure nationale n'etait requise : au 17 janvier 2025, les banques, fintechs régulées, PSF, gestionnaires AIFM et assureurs devaient déjà disposer d'un cadre de gestion du risque TIC opérationnel, d'un registre d'information des prestataires tiers et d'un dispositif de notification d'incidents. Les contrôles CSSF de 2025 portent précisément sur l'écart entre la date légale et la maturité réelle.
Pourquoi la date du 17 janvier 2025 ne se negocie pas
Beaucoup d'entités ont confondu l'application de DORA avec le calendrier d'adoption des RTS. C'est une erreur structurante.
- Le règlement de base (obligations de gouvernance TIC, registre d'information, gestion des incidents, tests de résilience) s'applique intégralement depuis le 17 janvier 2025, independamment des normes techniques.
- Les RTS et ITS (règlement delegue 2025/532 sur la sous-traitance TIC, règlement delegue 2025/1190 sur les tests TLPT mis en œuvre via TIBER-LU) sont venus préciser, pas reporter, les obligations déjà en vigueur.
- Les circulaires CSSF 20/750 (modifiée par 25/881), 22/806 (modifiée par 25/883) et 25/882 ont été alignées sur ce calendrier : elles n'octroient aucun délai supplémentaire, elles articulent le cadre existant avec DORA.
- DORA est lex specialis et prime sur NIS 2 pour les mêmes entités financières (art. 1) : invoquer un calendrier NIS 2 plus souple est inopposable a la CSSF.
- La première remise du registre d'information des prestataires tiers TIC a la CSSF s'est faite des le premier trimestre 2025 : un registre incomplet a cette date constitue un manquement constate, pas un retard toléré.
La sanction encourue peut atteindre 1% du chiffre d'affaires journalier moyen mondial de l'entité, applique par jour jusqu'à mise en conformité, sans préjudice des mesures correctrices imposées par la CSSF.
Comment Luxgap automatise ce risque
Notre Luxgap Compliance Countdown transforme le mur réglementaire du 17 janvier 2025 en feuille de route datée et opposable, en reconstituant automatiquement votre niveau de conformité DORA article par article. L'outil interroge en continu vos systèmes (Active Directory, Microsoft Defender, Azure Sentinel, votre GRC, votre registre d'externalisation Odoo ou Sage BOB 50) pour mesurer l'écart réel entre vos obligations légales en vigueur et votre maturité constatée, sans questionnaire a remplir par le CISO.
- Calcule un score de conformité par exigence DORA en vigueur (gouvernance TIC, registre d'information, notification d'incidents, tests de résilience) et signale chaque obligation déjà applicable mais non couverte.
- Détecte les prestataires tiers TIC absents de votre registre d'information en croisant vos contrats, paiements et accès, et prépare le format de remise attendu par la CSSF.
- Cartographie l'articulation entre DORA, les circulaires CSSF 20/750, 22/806, 25/882 et les RTS 2025/532 et 2025/1190 pour eliminer les doublons et les angles morts.
- Alerte en temps réel des qu'un nouveau service TIC critique entre en production sans clause contractuelle conforme aux RTS de sous-traitance.
- Produit un rapport PDF horodate et scelle, opposable lors d'un contrôle CSSF, qui démontre la date a laquelle chaque obligation a été couverte.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur votre périmètre réel, avec un audit blanc gratuit sous 48h pour mesurer votre exposition avant tout engagement.
