Le piège classique
Ce considérant rappelle l'origine de DORA : un avis technique conjoint des trois AES (ABE, AEAPP, AEMF) demandant une approche coherente et proportionnée du risque TIC. En pratique, la CSSF s'appuie sur cette intention pour refuser les approches a la carte : une banque privée ne peut pas inventer son propre référentiel maison en ignorant les normes techniques de réglementation (RTS) publiees par les AES. Le piège classique consiste a traiter DORA comme un projet IT isole, deconnecte des orientations EBA/EIOPA/ESMA deja en vigueur (orientations EBA sur l'externalisation, orientations EBA sur la gestion du risque TIC et de la sécurité), alors que DORA les consolide et les rend contraignantes.
La proportionnalite : une arme a double tranchant
Le considérant 7 insiste sur le caractère proportionné du renforcement. Cette proportionnalite (reprise a l'article 4 de DORA) est souvent mal interpretee :
- Elle ne dispense aucune entité financiere des obligations de base (gouvernance TIC, registre des prestataires tiers, gestion des incidents majeurs, tests de résilience).
- Elle module l'intensite des contrôles selon la taille, le profil de risque, la nature et la complexité des services, mais pas leur existence.
- Les microentreprises beneficient d'un regime allege explicite (article 16), mais une fintech de 20 personnes régulée CSSF reste pleinement soumise au socle.
- La CSSF attend une justification documentee de chaque arbitrage de proportionnalite : sans dossier ecrit, l'argument tombe en contrôle.
L'articulation avec les orientations sectorielles preexistantes
Avant de relire vos politiques DORA, cartographiez ce que vous appliquez deja : orientations EBA/GL/2019/02 sur l'externalisation, EBA/GL/2019/04 sur la gestion du risque TIC, circulaire CSSF 22/806 sur les arrangements d'externalisation, circulaire CSSF 20/750 sur le risque TIC et de sécurité. DORA absorbe et durcit ces textes : un mapping de votre conformité actuelle vers les articles de DORA evite de refaire deux fois le même travail.
Comment Luxgap automatise ce risque
Notre Luxgap DORA Proportionality Engine transforme la proportionnalite déclarative en argumentaire opposable a la CSSF. L'outil ingere votre bilan, votre RAS (risk appetite statement), votre cartographie SI et vos contrats d'externalisation depuis vos systèmes connectes (Sage BOB 50, M365, Active Directory, registres internes), puis calcule pour chaque exigence DORA le niveau d'application attendu avec son raisonnement juridique, en croisant DORA, les RTS publiees par les AES et les circulaires CSSF.
- Classe automatiquement votre entité (microentreprise, petite entité non interconnectee, entité standard, entité significative) selon les critères de l'article 16 et des RTS, avec recalcul mensuel des qu'un indicateur change.
- Mappe chaque politique TIC existante (circulaire CSSF 20/750, EBA/GL/2019/04, ISO 27001) vers l'article DORA correspondant et detecte les ecarts a combler.
- Genere une note de proportionnalite par exigence, signee electroniquement, qui justifie chaque arbitrage avec citation des considérants et articles de DORA.
- Alerte en temps reel quand un nouveau RTS ou ITS est publie au JOUE et impacte votre dossier de proportionnalite.
- Produit un dossier PDF horodate, scelle cryptographiquement, remis a la CSSF lors d'un contrôle sur place pour démontrer la coherence avec l'intention du legislateur européen.
Disponible en complement d'un mandat CISO Luxgap ou en brique SaaS dediee selon votre périmètre. Demandez un devis personnalise et nos équipes preparent une demonstration sur votre cartographie reelle, avec un audit blanc gratuit sous 48h pour mesurer votre exposition avant tout engagement.
