Considérant 89
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
| (89) | En raison de l’incidence considérable de la désignation comme prestataire tiers critique, le présent règlement devrait veiller au respect des droits des prestataires tiers critiques de services TIC tout au long de la mise en œuvre du cadre de supervision. Avant d’être désignés comme critiques, ces prestataires devraient, par exemple, avoir le droit de présenter au superviseur principal une déclaration motivée contenant toute information pertinente aux fins de l’évaluation relative à leur désignation. Étant donné que le superviseur principal devrait être habilité à soumettre des recommandations sur le risque lié aux TIC et les mesures correctives appropriées, qui incluent le pouvoir de s’opposer à certains accords contractuels susceptibles d’affecter à terme la stabilité de l’entité financière ou du système financier, les prestataires tiers critiques de services TIC devraient également avoir la possibilité, avant la finalisation de ces recommandations, de fournir des explications en ce qui concerne l’incidence attendue des solutions, envisagées dans les recommandations, sur les clients qui sont des entités ne relevant pas du champ d’application du présent règlement et de formuler des solutions pour atténuer les risques. Les prestataires tiers critiques de services TIC qui ne sont pas d’accord avec les recommandations devraient présenter une déclaration motivée de leur intention de ne pas suivre la recommandation. Lorsque cette déclaration motivée fait défaut ou est jugée insuffisante, le superviseur principal devrait émettre une communication au public dans laquelle il décrit brièvement la non-conformité. |
Au Luxembourg, la CSSF est l'autorité compétente DORA au sens de l'article 46 pour la quasi-totalité du secteur financier (banques, PSF, EMI, OPCVM, AIFM, fintech régulées), tandis que le CAA reste compétent pour les entreprises d'assurance et de réassurance. La circulaire CSSF 22/806 relative à l'externalisation, lue conjointement avec DORA, impose une notification préalable à la CSSF pour toute externalisation critique ou importante, ce qui inclut désormais l'obligation de signaler immédiatement toute désignation CTPP ou notice publique de non-conformité touchant un prestataire déjà notifié.
Pratique Luxgap : nous configurons le Critical Provider Radar pour générer automatiquement la notification CSSF article 35 circulaire 22/806 dès qu'un de vos prestataires externalisés est désigné CTPP par les ESAs, afin de tenir le délai de communication prudentielle attendu par la CSSF.