Considérant 38
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
| (38) | Étant donné que les grandes entités financières pourraient disposer de ressources plus importantes et être en mesure de mobiliser rapidement des fonds pour développer des structures de gouvernance et établir diverses stratégies d’entreprise, seules les entités financières qui ne sont pas des microentreprises au sens du présent règlement devraient être tenues de mettre en place des dispositifs de gouvernance plus complexes. Ces entités sont notamment mieux armées pour mettre en place des fonctions de gestion dédiées à la surveillance des accords avec les prestataires tiers de services TIC ou à la gestion des crises, pour organiser leur gestion du risque lié aux TIC selon le modèle reposant sur trois lignes de défense, ou pour établir un modèle de gestion des risques et de contrôle internes, et pour soumettre leur cadre de gestion du risque lié aux TIC aux audits internes. |
Au Luxembourg, la CSSF est l'autorité competente pour DORA sur l'ensemble des entités financieres régulées (établissements de crédit, PSF, EMI, établissements de paiement, gestionnaires AIFM, OPCVM, entreprises d'assurance via le CAA pour le secteur assurantiel). La loi du 1er juin 2023 portant mise en œuvre de DORA désigné explicitement la CSSF et le CAA comme autorités de surveillance et confirme l'application du test microentreprise au sens du règlement, sans seuil national plus favorable. La CSSF a publie sa Circulaire CSSF 24/847 sur la notification des incidents TIC qui s'articule avec les exigences de gouvernance du considérant 38.
Pratique Luxgap : pour les PSF de support et EMI luxembourgeois proches du seuil des 2 millions EUR de bilan, nous recommandons d'anticiper le basculement de regime au moins 6 mois avant le franchissement projete, car la CSSF exige un cadre de gouvernance opérationnel des le depassement, pas en differe.
