Considérant 29
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
| (29) | Bien que le droit de l’Union sur les services financiers contienne certaines règles générales sur l’externalisation, le suivi de la dimension contractuelle n’est pas pleinement consacré dans le droit de l’Union. En l’absence de normes de l’Union claires et adaptées applicables aux accords contractuels conclus avec des prestataires tiers de services TIC, la source extérieure du risque lié aux TIC n’est pas traitée de manière exhaustive. Par conséquent, il est nécessaire de définir certains principes clés pour encadrer la gestion, par les entités financières, du risque lié aux prestataires tiers de services TIC, qui revêtent une importance particulière lorsque les entités financières ont recours à des prestataires tiers de services TIC pour soutenir leurs fonctions critiques ou importantes. Ces principes devraient être assortis d’un ensemble de droits contractuels fondamentaux ayant trait à plusieurs éléments de l’exécution et de la résiliation des accords contractuels, en vue de consacrer certaines garanties minimales visant à renforcer la capacité des entités financières à assurer un suivi efficace de tous les risques liés aux TIC qui se posent au niveau des prestataires tiers de services. Ces principes complètent le droit sectoriel applicable à l’externalisation. |
Au Luxembourg, la CSSF cumule deux corpus distincts pour les entités financieres : la Circulaire CSSF 22/806 relative aux arrangements d'externalisation (qui transpose les Orientations EBA/GL/2019/02 et EIOPA-BoS-20/002) et le règlement DORA directement applicable depuis le 17 janvier 2025. La CSSF a précisé dans sa communication du 18 decembre 2024 que les entités doivent maintenir leur notification préalable d'externalisation cloud au titre de la Circulaire 22/806 ET tenir le registre d'information DORA article 28(3), sans substitution de l'un par l'autre.
Pratique Luxgap : pour chaque contrat cloud, produisez une fiche unique qui coche les deux grilles (Circulaire 22/806 et DORA), avec correspondance ligne a ligne des clauses ; c'est le seul moyen de répondre en une seule iteration aux contrôles thematiques CSSF.
