Considérant 30
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
| (30) | Un certain manque d’homogénéité et de convergence en ce qui concerne le suivi des risques liés aux prestataires tiers de services TIC et de la dépendance à l’égard de ceux-ci est aujourd’hui évident. Malgré certains efforts pour couvrir l’externalisation, tels que les orientations de l’ABE de 2019 relatives à l’externalisation et les orientations de l’AEMF de 2021 relatives à la sous-traitance à des prestataires de services en nuage, la question plus large de la lutte contre le risque systémique qui peut être déclenché par l’exposition du secteur financier à un nombre limité de prestataires tiers critiques de services TIC n’est pas suffisamment pris en compte dans le droit de l’Union. Le manque de règles au niveau de l’Union est aggravé par l’absence de règles nationales en matière de mandats et d’outils qui permettent aux autorités de surveillance financière d’acquérir une solide compréhension des relations de dépendance à l’égard des prestataires tiers de services TIC afin d’assurer un suivi adéquat des risques découlant de la concentration de ces relations de dépendance. |
Au Luxembourg, la CSSF est l'autorité competente désignée au titre de DORA pour l'ensemble du secteur financier (établissements de crédit, PSF, fonds, assurances en lien avec le CAA). La circulaire CSSF 22/806 sur les arrangements d'externalisation, deja en vigueur, prefigure les exigences DORA et reste applicable en complement : registre d'externalisation, notification préalable des externalisations critiques, et évaluation du risque de concentration. Depuis 2025, la CSSF attend une intégration coherente entre la circulaire 22/806 et le registre d'information DORA article 28(3).
Pratique Luxgap : nous alignons votre registre d'externalisation circulaire 22/806 et votre registre DORA dans un référentiel unique, pour eviter les divergences qui déclenchent systématiquement des findings lors des inspections CSSF.
