Considérant 77

Considérant 77

Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554

(77)

Le cadre de supervision ne devrait s’appliquer qu’aux prestataires tiers critiques de services TIC. Un mécanisme de désignation devrait donc être mis en place pour tenir compte de la dimension et de la nature de la dépendance du secteur financier à l’égard de ces prestataires tiers de services TIC. Ce mécanisme devrait consister en un ensemble de critères quantitatifs et qualitatifs définissant les paramètres de criticité servant de référence aux fins de l’inclusion dans le cadre de supervision. Afin de veiller à l’exactitude de cette évaluation, et indépendamment de la structure sociale du prestataire tiers de services TIC, ces critères devraient, dans le cas d’un prestataire tiers de services TIC faisant partie d’un groupe plus large, prendre en considération l’ensemble de la structure du groupe du prestataire tiers de services TIC. D’une part, les prestataires tiers critiques de services TIC, qui ne sont pas automatiquement désignés par suite de l’application de ces critères, devraient avoir la possibilité d’adhérer au cadre de supervision à titre volontaire; d’autre part, les prestataires tiers de services TIC, qui sont déjà soumis à des cadres de supervision à l’appui de la réalisation des missions du Système européen de banques centrales visées à l’article 127, paragraphe 2, du traité sur le fonctionnement de l’Union européenne, devraient en être exemptés.

Spécificité Luxembourg
loi luxembourgeoise du 1er juin 2023 portant mise en oeuvre du reglement (UE) 2022/2554 (DORA) et circulaire CSSF 22/806

Au Luxembourg, la CSSF est l'autorité competente pour la supervision DORA des entités financieres, et elle coopere avec l'ESAs Joint Oversight Forum pour les prestataires TIC critiques désignés. La loi du 1er juin 2023 portant mise en œuvre du règlement DORA précisé les pouvoirs de la CSSF en matière de surveillance de la chaîne d'externalisation TIC, en complement de la circulaire CSSF 22/806 sur les arrangements d'externalisation qui reste applicable pour le périmètre non couvert par DORA.

Pratique Luxgap : sur la place financiere luxembourgeoise très concentree sur quelques hyperscalers et data centers Tier IV (LuxConnect, eBRC), nous recommandons un croisement systématique entre votre registre DORA et le registre d'externalisation circulaire 22/806, pour eviter les angles morts et anticiper les designations ESAs sur les prestataires locaux.