Considérant 67
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
| (67) | Afin de remédier à l’effet systémique du risque de concentration des prestataires tiers de services TIC, le présent règlement privilégie une solution équilibrée au moyen d’une approche souple et progressive en ce qui concerne ce risque de concentration, car l’imposition de tout plafond rigide ou de toute limitation stricte serait susceptible d’entraver la conduite des affaires et de restreindre la liberté contractuelle. Les entités financières devraient procéder à une évaluation rigoureuse des accords contractuels qu’elles envisagent afin de déterminer la probabilité qu’un tel risque apparaisse, y compris au moyen d’analyses approfondies des accords de sous-traitance, en particulier lorsqu’ils sont conclus avec des prestataires tiers de services TIC établis dans un pays tiers. À ce stade, et en vue de trouver un juste équilibre entre la nécessité de préserver la liberté contractuelle et celle de garantir la stabilité financière, il n’est pas jugé approprié de définir des règles concernant des plafonds et des limites stricts pour les expositions aux prestataires tiers de services TIC. Dans le contexte du cadre de supervision, un superviseur principal nommé conformément au présent règlement devrait, en ce qui concerne les prestataires tiers critiques de services TIC, veiller tout particulièrement à saisir pleinement l’ampleur des interdépendances, à détecter les cas spécifiques dans lesquels un degré élevé de concentration de prestataires tiers critiques de services TIC dans l’Union est susceptible de mettre à mal la stabilité et l’intégrité du système financier de l’Union et à maintenir un dialogue avec les prestataires tiers critiques de services TIC lorsque ce risque spécifique est avéré. |
Au Luxembourg, la CSSF est l'autorité competente pour la supervision DORA des entités financieres, et la circulaire CSSF 22/806 sur l'externalisation TIC (revisee pour s'aligner sur DORA) précisé les attentes en matière d'analyse de concentration avant tout accord d'externalisation portant sur une fonction critique ou importante. La place financiere luxembourgeoise presente une concentration structurelle forte sur quelques hebergeurs locaux (eBRC, LuxConnect, POST) et deux hyperscalers (AWS, Azure), ce qui rend l'exercice d'analyse de concentration encore plus sensible.
Pratique Luxgap : preparez votre registre RT au format ESAs ITS et tenez a disposition de la CSSF un dossier spécifique sur les fonctions critiques hébergées chez un même prestataire ou dans une même region cloud, avec un plan de sortie testable sous 12 mois.