Considérant 51
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
| (51) | Les propagateurs de cyberattaques cherchent généralement des gains financiers directement à la source, exposant ainsi les entités financières à des répercussions importantes. Pour prévenir toute perte d’intégrité des systèmes de TIC ou toute indisponibilité de ceux-ci, et ainsi éviter toute violation de données et tout dommage à l’infrastructure physique de TIC, les entités financières devraient améliorer et rationaliser considérablement la notification des incidents majeurs liés aux TIC. La notification des incidents liés aux TIC devrait être harmonisée par l’introduction d’une obligation pour toutes les entités financières de soumettre une notification directement à leurs autorités compétentes concernées. Lorsqu’une entité financière est soumise à une surveillance par plus d’une autorité compétente nationale, les États membres devraient désigner une seule autorité compétente comme destinataire de cette notification. Les établissements de crédit classés comme importants conformément à l’article 6, paragraphe 4, du règlement (UE) no 1024/2013 du Conseil (19) devraient soumettre cette notification à l’autorité compétente nationale, qui devrait ensuite transmettre le rapport à la Banque centrale européenne (BCE). |
Au Luxembourg, la CSSF est l'autorité competente unique désignée pour la reception des notifications d'incidents TIC majeurs au titre de DORA pour la quasi-totalite des entités financieres régulées (établissements de crédit, PSF, établissements de paiement, EME, OPC, AIFM, entreprises d'investissement). Pour les significant institutions au sens de l'article 6(4) du règlement MSU, la CSSF assure ensuite la transmission a la BCE. La loi du 1er juin 2023 modifiant la loi du 5 avril 1993 relative au secteur financier et les circulaires CSSF d'application (notamment CSSF 24/847 sur la notification des incidents) precisent les canaux opérationnels (portail eDesk dedie) et les délais.
Pratique Luxgap : configurez votre orchestrateur d'incidents avec un canal primaire CSSF eDesk et un canal secondaire CNPD pour les incidents mixtes TIC/données personnelles, en evitant tout envoi parallele a la BCL sauf système de paiement explicitement concerne.
