Considérant 82
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
| (82) | L’obligation de créer une filiale dans l’Union ne devrait pas empêcher le prestataire tiers critique de services TIC de fournir des services TIC et un appui technique connexe à partir d’installations et d’infrastructures situées en dehors de l’Union. Le présent règlement n’impose pas une localisation des données étant donné qu’il n’exige pas que le stockage ou le traitement des données soit effectué dans l’Union. |
Au Luxembourg, la CSSF est l'autorité competente DORA pour le secteur financier et applique en parallele la circulaire CSSF 22/806 sur les arrangements d'externalisation, qui impose une notification préalable et une analyse de la juridiction d'hébergement pour toute externalisation cloud critique ou importante. La loi du 1er juin 2023 mettant en œuvre certaines dispositions sectorielles complète le dispositif sans contredire l'absence d'obligation de localisation DORA, mais l'article 41 de la LSF (secret professionnel bancaire) conserve sa primaute pour les données clients des établissements de crédit luxembourgeois.
Pratique Luxgap : pour toute entité supervisee CSSF, nous documentons systématiquement la double conformité DORA / circulaire 22/806 et nous traitons le secret professionnel LSF comme contrainte de localisation de facto, même la ou DORA reste silencieux.
