Considérant 28
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
| (28) | L’utilisation étendue des services TIC est attestée par des accords contractuels complexes, dans le cadre desquels les entités financières ont souvent du mal à négocier des conditions contractuelles adaptées aux normes prudentielles ou autres exigences réglementaires auxquelles elles sont soumises, ou encore à faire respecter des droits spécifiques, tels que les droits d’accès ou d’audit, même lorsque ces derniers sont inscrits dans leurs accords contractuels. En outre, nombre de ces accords contractuels ne prévoient pas de garanties suffisantes pour permettre un véritable suivi des processus de sous-externalisation, privant ainsi l’entité financière de sa capacité à évaluer les risques associés. De plus, comme les prestataires tiers de services TIC fournissent souvent des services standardisés à différents types de clients, ces accords contractuels ne répondent pas toujours de manière appropriée aux besoins individuels ou particuliers des acteurs du secteur financier. |
Au Luxembourg, la CSSF a anticipe DORA via la circulaire CSSF 22/806 relative aux arrangements d'externalisation, qui reste applicable et se cumule avec DORA depuis le 17 janvier 2025. La CSSF exige notamment une notification préalable pour toute externalisation TIC critique et tient à jour le registre des prestataires désignés. La loi du 1er aout 2024 portant mise en œuvre de DORA désigné la CSSF et le CAA comme autorités competentes selon le secteur (banques, PSF, assurances).
Pratique Luxgap : si vous êtes une fintech ou PSF luxembourgeoise, votre registre d'information DORA article 28(3) doit être tenu en parallele du tableau de bord d'externalisation CSSF 22/806 et reconcilie trimestriellement, sous peine de double sanction.
