Considérant 83
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
| (83) | Les prestataires tiers critiques de services TIC devraient être en mesure de fournir des services TIC depuis n’importe quel endroit du monde, pas nécessairement ou pas uniquement depuis des locaux situés dans l’Union. Les activités de supervision devraient d’abord être menées dans des locaux situés dans l’Union et en interaction avec des entités situées dans l’Union, y compris les filiales établies par des prestataires tiers critiques de services TIC conformément au présent règlement. Toutefois, ces actions au sein de l’Union pourraient ne pas suffire à permettre au superviseur principal de s’acquitter pleinement et efficacement de ses missions au titre du présent règlement. Le superviseur principal devrait donc également être en mesure d’exercer ses pouvoirs de supervision dans les pays tiers. L’exercice de ces pouvoirs dans les pays tiers devrait permettre au superviseur principal d’examiner les installations à partir desquelles les services TIC ou d’appui technique sont effectivement fournis ou gérés par le prestataire tiers critique de services TIC et offrir au superviseur principal une compréhension globale et opérationnelle de la gestion du risque lié aux TIC du prestataire tiers critique de services TIC. La possibilité pour le superviseur principal, en tant qu’agence de l’Union, d’exercer ses pouvoirs en dehors du territoire de l’Union devrait être dûment encadrée par des conditions pertinentes, en particulier le consentement du prestataire tiers critique de services TIC concerné. De même, les autorités compétentes du pays tiers devraient être informées de l’exercice des activités du superviseur principal sur leur propre territoire et ne pas s’y être opposées. Toutefois, afin de veiller à une mise en œuvre efficace, et sans préjudice des compétences respectives des institutions de l’Union et des États membres, ces pouvoirs doivent également être pleinement ancrés dans les accords de coopération administrative conclus avec les autorités compétentes du pays tiers concerné. Le présent règlement devrait donc permettre aux AES de conclure des accords de coopération administrative avec les autorités compétentes de pays tiers, qui ne devraient par ailleurs pas créer d’obligations juridiques à l’égard de l’Union et de ses États membres. |
Au Luxembourg, la CSSF agit comme autorité competente nationale au sens de l'article 46 DORA et participe aux missions du superviseur principal pour les prestataires TIC critiques utilises par les entités financieres luxembourgeoises (banques, PSF, gestionnaires AIFM, EMI, fintechs CSSF). La circulaire CSSF 22/806 sur l'externalisation, lue en combinaison avec DORA, exige deja la documentation précisé des localisations effectives de traitement et l'accès des superviseurs aux installations, y compris hors UE.
Pratique Luxgap : lors de chaque revue annuelle d'externalisation CSSF, nous croisons l'inventaire 22/806 avec la liste des accords de cooperation AES publies pour identifier les prestataires TIC critiques dont la juridiction d'hébergement effective n'est pas couverte par un accord, et nous declenchons un avenant DORA avant le prochain reporting CSSF.
