Circular CSSF 21/769 on teleworking will apply as from 1 July 2022

Published on 30 March 2022 Email this Share this on LinkedIn Share this on Facebook Communiqué Circular CSSF 21/769 on teleworking will apply as from 1 July 2022 Circular CSSF 21/769 on teleworking was issued on 9 April 2021, with an entry into force scheduled for 30 September 2021, safe exceptional circumstances such as the COVID-19 pandemic. In view of the government’s recent announcements dropping the majority of the health restrictions taken in the context of COVID-19, the circular will apply as from 1 July 2022. Circular CSSF 21/769 on teleworking is a response to market demand, and based on reflections that started even before the pandemic. There is a keen interest coming from both the employers and the employees of the financial sector in new ways of working and one of the CSSF’s missions is to enable innovation by providing a framework. During the drawing-up of this text, the CSSF considered the needs of very diverse players (from big banks to small institutions), the specific requirements of the financial business in terms of data security and confidentiality, and the atypical situation of Luxembourg, where a large part of the workforce of the financial sector is non-resident. The circular defines the governance and security requirements for supervised entities that should be complied with when implementing and using work processes based on telework solutions. The circular will be reviewed at the latest 12 months after its entry into force, i.e. by 30 June 2023, in order to address potential abuses or any other shortcomings or deficiencies. To find out more about the challenges addressed by this circular, do not hesitate to listen or listen again to the podcast on this subject broadcast by the CSSF in May 2021. 18 May 2021 Listen to Kathrin Moules, Deputy Head of the CSSF’s Supervision of Information Systems and Support PFS department, speak about the challenges addressed by Circular CSSF 21/769 on telework Podcast Podcast 9 April 2021 - Updated on 31 March 2022 Circular CSSF 21/769 (as amended by Circular CSSF 22/804) Governance and security requirements for supervised entities to perform tasks or activities through telework CSSF circular PDF (314.75Kb) PDF (295Kb) 31 March 2022 Circular CSSF 22/804 Update of Circular CSSF 21/769 on governance and security requirements for Supervised Entities to perform tasks or activities through telework CSSF circular PDF (473.49Kb) PDF (432.22Kb) Relevant for Central Securities Depositories (CSDs) Credit institutions Data Reporting Service Providers (DRSPs) Investment firms Investment fund managers Investment funds and vehicles Mortgage credit intermediaries Payment institutions/electronic money institutions/AISPs Specialised PFS Support PFS Virtual Asset Service Providers (VASPs) Circulaire CSSF 21/769 telle que modifiée par la circulaire CSSF 22/804 Exigences en matière de gouvernance et de sécurité pour les entités surveillées en vue de l’exécution de tâches ou d’activités via le télétravail CIRCULAIRE CSSF 21/769 1/18 Circulaire CSSF 21/769 Concerne : Exigences en matière de gouvernance et de sécurité pour les entités surveillées en vue de l’exécution de tâches ou d’activités via le télétravail Luxembourg, le 31 mars 2022 Mesdames, Messieurs, La présente circulaire a pour objet de définir les exigences en matière de À toutes les entités surveillées gouvernance et de sécurité relatives à la mise en œuvre et à l’utilisation de processus de travail basés sur des solutions de télétravail par les entités soumises à la surveillance de la CSSF. Elle contribue à la gestion saine et prudente et à la bonne organisation de ces entités surveillées, ainsi qu’à la préservation de la sécurité de l’information en fournissant des orientations relatives aux exigences que les entités surveillées sont tenues de respecter. La mise en œuvre, le maintien ou l’extension des solutions de télétravail pour le personnel des entités surveillées ne requièrent pas d’autorisation de la CSSF. La portée de la présente circulaire est limitée aux exigences réglementaires relevant du secteur financier. Les relations contractuelles entre les entités surveillées et leurs employés sont exclues du champ d’application de la présente circulaire. Elle ne créé pas de précédent par rapport à des droits ou obligations relatifs à la mise en œuvre du télétravail par les entités soumises à la surveillance de la CSSF. De plus, la présente circulaire ne porte pas atteinte aux dispositions légales applicables dans le cadre des règles d’ordre public ou du Code du travail luxembourgeois. Elle a uniquement vocation à fournir des orientations supplémentaires relatives aux exigences en matière de gouvernance et de sécurité à respecter lors de la mise en œuvre de solutions de télétravail pour les employés des entités soumises à la surveillance de la CSSF. CIRCULAIRE CSSF 21/769 2/18 SOMMAIRE Champ d’application Définitions Télétravail Personnel ou membre du personnel Locaux de l’employeur ou locaux Utilisateurs privilégiés Activités critiques Direction autorisée III. Principes généraux IV. Respect d’autres dispositions légales V. Exigences de base VI. Dispositif d’organisation interne et de contrôle interne Gestion des risques Politique relative au télétravail Contrôle du recours au télétravail Contrôles du télétravail par les fonctions de contrôle interne VII. Exigences en matière de risques liés aux TIC et de risques de sécurité Politiques et procédures Sensibilisation aux risques Droits d’accès Dispositifs d’accès à distance Infrastructure de télétravail Sécurité des connexions Revue de la sécurité de la chaîne de communication Veille technologique Processus de journalisation (logging) VIII. Entrée en vigueur, révision et disposition anti-abus I. II. CIRCULAIRE CSSF 21/769 4 4 4 5 5 5 6 6 6 7 8 9 9 10 11 11 12 12 12 13 13 14 15 15 16 16 17 3/18 I. Champ d’application 1. La présente circulaire s’applique à toutes les entités surveillées, ci-après dénommées collectivement « entités surveillées » ou individuellement « entité surveillée », y compris leurs succursales au Luxembourg ou à l’étranger, dans la mesure où le télétravail est autorisé dans les pays d’établissement des succursales et que ces dernières se conforment aux réglementations nationales. Dans ce contexte, les exigences spécifiques définies dans la présente circulaire font office de normes minimales à adopter par les succursales des entités surveillées. 2. La présente circulaire luxembourgeoises d’entités s’applique également aux succursales originaires d’un hors de pays l’Espace économique européen. 3. Les succursales luxembourgeoises d’entités originaires d’un État membre de l’Espace économique européen peuvent également avoir recours au télétravail conformément aux exigences prévues dans cette circulaire, si le recours au télétravail est autorisé dans leur pays d’origine. Les succursales en question et leur siège social doivent s’assurer que le recours au télétravail par les succursales basées au Luxembourg est également conforme à toutes les règles et réglementations nationales applicables dans l’État membre d’origine. II. Définitions Télétravail 4. Le télétravail est une forme d'organisation et/ou de réalisation du travail, utilisant les technologies de l’information et de la communication (TIC) dans le cadre d’un contrat de travail autorisant que le travail qui aurait normalement été réalisé dans les locaux de l’employeur soit effectué hors des locaux de l’employeur. 5. Les critères cumulatifs suivants doivent être respectés pour qu’une relation de travail puisse être qualifiée de télétravail : a. le travail doit être exécuté au moyen de technologies de l’information et de la communication sur la base d’un accord préalable de l’employeur ; b. le travail doit être effectué sur une base régulière ou occasionnelle et volontaire, et dans le cadre d’heures de travail définies, en un lieu prédéterminé qui est différent des locaux de l’employeur. Les entités surveillées sont tenues de mettre en place des règles définissant le(

1. s)lieu(
2. x)à partir duquel(desquels) le télétravail est autorisé. Ces règles sont à consigner par écrit et à respecter. CIRCULAIRE CSSF 21/769 4/18 6. Il est à noter que d’autres formes d’accès à distance par les membres du personnel des entités surveillées (c’est-à-dire dans le cadre de voyages professionnels, par exemple par des gestionnaires de relation client lors de la participation à des conférences ou à des formations professionnelles), de même que les connexions depuis les locaux de l’employeur à des systèmes non hébergés au sein des locaux de l’employeur ne sont pas inclus dans le champ d’application de la présente circulaire. 7. Afin de lever toute ambiguïté, toute tâche effectuée par les membres du personnel des entités surveillées sur un site autre que les locaux de l’employeur dans le cadre de l’activation d’un plan de rétablissement après sinistre (Disaster Recovery Plan, DRP) ou d’un plan de continuité des activités (Business Continuity Plan, BCP) n’est pas considérée comme du télétravail et ne relève, par conséquent, pas du champ d’application de la présente circulaire. Personnel ou membre du personnel 8. Par « personnel » ou « membre du personnel » on entend l’ensemble des employés des entités surveillées, y compris les fonctions clés et la direction autorisée. Les personnes mises à la disposition d’une entité surveillée dans le cadre d’un contrat avec un employeur tiers sont également considérées comme des membres du personnel. 9. Aux fins de la présente circulaire, un membre du personnel qui accomplit ses tâches via le télétravail est un « télétravailleur ». Locaux de l’employeur ou locaux 10. La notion de « locaux de l’employeur » inclut le siège social et tous les autres locaux au Luxembourg utilisés par les entités surveillées, de même que, dans le contexte de succursales, les locaux des succursales des entités surveillées ou des succursales luxembourgeoises des entités. Utilisateurs privilégiés 11. Les utilisateurs privilégiés sont les utilisateurs disposant de droits d’accès leur permettant d’effectuer des opérations sensibles, aussi bien dans le cadre d’opérations de TIC (p. ex. les administrateurs de systèmes) que d’opérations relatives à l'activité. Ces opérations sensibles sont généralement liées à l’exécution d’activités critiques. CIRCULAIRE CSSF 21/769 5/18 Activités critiques 12. Par activités critiques on entend les activités pour lesquelles la survenue d’un problème peut avoir des répercussions significatives sur la capacité de l’entité surveillée de respecter les exigences réglementaires ou même de poursuivre ses activités (p. ex. le traitement des transactions, l’insertion ou le téléchargement des ordres, la validation selon le principe des 4 yeux, l’accès administratif à distance aux systèmes des TIC par l’équipe chargée des TIC, etc.). Direction autorisée 13. Par « direction autorisée » on entend les personnes autorisées par la CSSF chargées de la gestion journalière ou les personnes autorisées par la CSSF qui dirigent de fait les activités d’une entité surveillée. III. Principes généraux 14. Les entités surveillées doivent maintenir, à tout moment, une administration centrale robuste au Luxembourg et une substance suffisante en leurs locaux, afin de permettre une prise en charge rapide des urgences et autres problèmes dont la résolution est liée au facteur temps. Cependant, les entités surveillées peuvent autoriser leur personnel à exécuter des tâches et activités via le télétravail. En principe, tout membre du personnel, indépendamment de sa fonction, peut être autorisé à télétravailler dans les limites définies dans la présente circulaire dans le but de garantir une gouvernance adéquate de l’entité surveillée et conformément au cadre légal et réglementaire relatif au télétravail en vigueur. La présente circulaire ne créé pas de précédent par rapport à des droits ou obligations relatifs à la possibilité de mettre en œuvre des solutions de télétravail pour les entités soumises à la surveillance de la CSSF. De plus, les relations contractuelles entre les entités surveillées et leurs employés sont exclues du champ d’application de la présente circulaire. 15. Chaque entité surveillée devrait évaluer dans quelle mesure elle autorise son personnel à travailler à distance. Cette évaluation devrait tenir compte des risques liés au télétravail et définir les limites dans lesquelles le personnel pourrait être autorisé à effectuer des tâches à distance. En particulier, les entités surveillées de plus petite taille, employant un nombre restreint de personnes, pourraient se voir obligées d’adapter leur organisation interne, compte tenu des exigences liées à leur taille. CIRCULAIRE CSSF 21/769 6/18 16. Le télétravail ne doit, en aucun cas, compromettre le fonctionnement opérationnel régulier d’une entité surveillée. Il doit être suffisamment robuste pour permettre la continuité effective et sécurisée des activités de l’entité et la continuité opérationnelle de l’ensemble des éléments relevant du cadre du contrôle interne de l’entité, sans exception et de manière continue. L’entité surveillée doit protéger, à tout moment, même dans le cadre du télétravail, la confidentialité, l’intégrité et la disponibilité des données et des systèmes d’informations de l’entité. 17. Le télétravail est organisé sous la responsabilité ultime du conseil d’administration de l’entité surveillée ou de toute autre organe représentant l’entité surveillée en vertu de la loi et des documents constitutifs. 18. La mise en œuvre d’une solution de télétravail ne requiert pas d’autorisation de la CSSF. IV. Respect d’autres dispositions légales 19. Le recours au télétravail par les entités surveillées ne peut contrevenir aux dispositions légales relevant des règles d’ordre public et doit, en particulier, respecter les dispositions du Code du travail luxembourgeois. 20. De plus, les entités surveillées doivent tenir compte du fait que les exigences prudentielles relatives à la substance et à l’administration centrale peuvent diverger d’autres dispositions légales, en particulier des lois et règlements en matière fiscale (au niveau national, étranger et international), ainsi que des lois et règlements en matière de droit des sociétés ou relatifs au secret professionnel, à la protection des données et à la sécurité sociale. La CSSF s’attend à ce que les entités surveillées tiennent dûment compte de ces lois lors de la mise en œuvre du télétravail, en particulier dans le cadre de l’exécution du télétravail par les membres du personnel non-résidents. La présente circulaire ne doit pas être interprétée par les entités surveillées de manière à contourner les lois et règlements en vigueur. 21. En outre, chaque entité surveillée est tenue de respecter les règlementations européennes et nationales relatives au libre établissement et à la libre prestation de services lors du recours au télétravail. 22. La présente circulaire ne crée pas de précédent par rapport à des droits ou obligations relatifs à la mise en œuvre du télétravail par les entités soumises à la surveillance de la CSSF. Les relations contractuelles entre les entités surveillées et leurs employés sont exclues du champ d’application de la présente circulaire. CIRCULAIRE CSSF 21/769 7/18 V. Exigences de base 23. Une administration centrale robuste est constituée d’un « centre décisionnel » et d’un « centre administratif », ce qui inclut du personnel suffisant en nombre et disposant des qualifications, des connaissances et de l’expertise nécessaires, ainsi que des infrastructures techniques et administratives nécessaires à l’exercice de ses fonctions ou de ses activités. 24. Afin d’être en conformité avec cette exigence d’administration centrale, les membres du personnel doivent être en mesure de se rendre, dans de brefs délais, dans les locaux de l’entité surveillée en cas de besoin. 25. En ce qui concerne les succursales d’entités surveillées situées en dehors du Luxembourg, il y a lieu de s’assurer que le personnel est en mesure de se rendre dans de brefs délais dans les locaux de la succursale en cas de besoin. 26. Il relève de la responsabilité du conseil d’administration de l’entité surveillée ou de tout autre organe représentant l’entité surveillée en vertu de la loi et des documents constitutifs, de définir, au préalable, l’étendue du télétravail conformément aux lois et règlements applicables, sans qu’il y ait violation des exigences d’administration centrale. 27. Les critères spécifiques de base suivants sont à respecter lors de la mise en œuvre, l’utilisation ou l’extension du télétravail : a. Le nombre de personnes d’une entité surveillée autorisé à télétravailler simultanément doit être en ligne avec les exigences relatives à l’administration centrale. b. La durée du temps de travail normal autorisée dans le cadre du télétravail pour chaque membre du personnel devrait être limitée. c. En principe, au moins un directeur autorisé doit être présent au siège social de l’entité à tout moment. De plus, les fonctions clés doivent être représentées tous les jours en nombre suffisant dans les locaux de l’entité et garantir, en permanence, le fonctionnement adéquat des activités et des contrôles, ainsi qu’un processus de prise de décision approprié. Pour ce faire, les entités surveillées doivent tenir compte de la taille et de l’organisation de l’entité surveillée et de la nature, de l’échelle et de la complexité de ses activités. d. L’entité surveillée doit être en mesure de démontrer que le siège social est à tout moment le « centre décisionnel » faisant partie de l’administration centrale de l’entité surveillée. e. La CSSF rappelle en particulier aux entités surveillées que la continuité des activités critiques doit être assurée. Par conséquent, cet aspect est CIRCULAIRE CSSF 21/769 8/18 à prendre en compte de manière adéquate lors de la mise en œuvre du télétravail et de la politique y relative. i. En ce sens, les entités surveillées doivent s’assurer que les interruptions de télétravail (par exemple les perturbations de connexion) n’entraînent pas de répercussions majeures sur la capacité des entités de poursuivre leurs activités de manière adéquate, rapide et sécurisée. ii. Les entités surveillées sont tenues de prendre toutes les dispositions visant à assurer que les activités critiques puissent être couvertes par un membre du personnel disposant de qualifications et de responsabilité suffisantes en présentiel dans les locaux de l’entité en vue de garantir le fonctionnement adéquat des activités et des contrôles pendant les heures de travail. VI. Dispositif d’organisation interne et de contrôle interne Gestion des risques 28. L’entité surveillée est tenue de procéder à une analyse des risques dans le but d’identifier les risques inhérents à la mise en œuvre du télétravail, en particulier les risques opérationnels, y compris le risque juridique, les risques liés aux technologies de l’information et de la communication (TIC), de compliance et de réputation. 29. Une attention particulière devrait être portée : a. à l’évaluation des aspects liés au droit du travail et au droit fiscal (y compris les questions relatives à l’établissement permanent), ainsi qu’au droit des sociétés et aux exigences relevant du régime de la sécurité sociale ; b. au risque associé au télétravail des utilisateurs privilégiés ; c. au respect du secret professionnel et des exigences en matière de protection des données (par exemple, les circonstances dans lesquelles il est permis que les équipements ou les documents professionnels sortent de l’environnement professionnel sécurisé). 30. Les entités surveillées sont tenues d’assurer la mise en œuvre des contrôles et des mesures d’atténuation nécessaires en vue de maintenir les risques résiduels dans des limites acceptables en fonction de l’appétit au risque des entités. L’identification des risques et la mise en place des mesures d’atténuation devraient être adéquatement formalisées. CIRCULAIRE CSSF 21/769 9/18 31. Les entités surveillées devraient revoir régulièrement leur analyse des risques et l’adéquation des mesures d’atténuation mises en œuvre, tenant compte des leçons tirées, des changements éventuels dans leur organisation, ou leur environnement, de leurs processus de travail ou leur architecture technique relative au télétravail, ainsi que des nouvelles menaces, telles que la cybercriminalité ou les attaques opportunistes dans un contexte de télétravail. Politique relative au télétravail 32. Le conseil d’administration de l’entité surveillée ou tout autre organe représentant l’entité surveillée en vertu de la loi et des documents constitutifs est tenu de définir une politique encadrant le télétravail et les limites dans lesquelles le télétravail est autorisé. Cette politique doit clairement définir : a. les unités opérationnelles ou les départements pour lesquels le recours au télétravail est possible et les activités et/ou les fonctions pouvant être exercées en télétravail ; b. les fonctions et/ou activités des unités opérationnelles ou des départements devant toujours être exercées dans les locaux de l’entité surveillée ; c. le nombre minimum de personnel devant travailler simultanément dans les locaux au Luxembourg au niveau de l’entité et, le cas échéant, au niveau de l’unité opérationnelle ou du département ; d. les heures de travail durant lesquelles le télétravail est autorisé ; e. les procédures de contrôle à mettre en œuvre afin d’être en mesure de contrôler la bonne exécution des tâches accomplies par le personnel en télétravail ; f. le nombre minimum de réunions présentielles devant se tenir au siège social au Luxembourg ; g. les mesures à prendre afin d’assurer que les risques restent maîtrisés, y compris le respect de la réglementation relative à la confidentialité et à la protection des données. 33. La politique doit fixer le cadre opérationnel permettant à la direction autorisée de contrôler le nombre de personnes effectivement en télétravail. 34. Les systèmes d’information d’une entité surveillée et l’environnement de contrôle en vigueur ne peuvent pas être modifiés tant que l’exécution des tâches est autorisée via le télétravail. Les contrôles existants (p. ex. le contrôle selon le principe des 4 yeux), les tableaux de bord (dashboards) et le reporting sont à exécuter de la même façon et à la même fréquence, tel que défini dans les procédures internes existantes de l’entité surveillée. CIRCULAIRE CSSF 21/769 10/18 35. Le conseil d’administration de l’entité surveillée ou tout autre organe représentant l’entité surveillée en vertu de la loi et des documents constitutifs est tenu de revoir la politique relative au télétravail tous les ans, en se basant sur l’analyse des risques actualisée et ses objectifs opérationnels et de gestion. Contrôle du recours au télétravail 36. La CSSF contrôle le respect des obligations découlant de cette circulaire. À cet effet, les entités surveillées sont tenues de conserver les preuves permettant le contrôle du respect des obligations découlant de la politique relative au télétravail (p. ex. l’enregistrement du nom, de la fonction et du département/service pour chaque membre du personnel accomplissant ses tâches via le télétravail). Ces éléments peuvent également permettre de démontrer le respect de ces obligations à des auditeurs indépendants et à la CSSF. L’entité surveillée doit mettre à disposition de la CSSF, à la demande de celle-ci, l’ensemble des preuves justificatives reprises dans la phrase précédente ou les éléments essentiels de celles-ci permettant de démontrer que les présentes obligations ont été respectées, en format électronique exploitable (p.ex. un format de base de données couramment utilisé). L’entité surveillée doit mettre à disposition de la CSSF, à la demande de celle-ci, toutes les informations nécessaires permettant à la CSSF d’effectuer une surveillance effective de l’entité surveillée, y compris, le cas échéant, de la politique relative au télétravail. Contrôles du télétravail par les fonctions de contrôle interne 37. Les fonctions de contrôle interne, telles que (le cas échéant) les fonctions compliance, gestion des risques, y compris la sécurité de l’information (RSSI/CISO) et l’audit interne, sont tenues d’intégrer la révision de la politique relative au télétravail, des flux des processus et du respect des exigences légales et réglementaires dans leur programme de travail pluriannuel respectif, ainsi que, le cas échéant, le compte rendu de tout problème ou de toute constatation en relation avec le télétravail à la CSSF dans leur rapport de synthèse annuel respectif. 38. De plus, tous les ans, les rapports de synthèse annuels doivent indiquer, s’il y a lieu, tout incident opérationnel significatif en relation avec le télétravail qui aurait pu se produire durant l’année. Ces rapports doivent également inclure de brèves statistiques relatives au recours au télétravail durant l’année. CIRCULAIRE CSSF 21/769 11/18 VII. Exigences en matière de risques liés aux TIC et de risques de sécurité 39. En principe, l’ensemble des paragraphes repris sous la présente section s’appliquent à toutes les entités surveillées. Lors de la mise en œuvre de ces obligations, les entités surveillées devraient tenir compte du principe de proportionnalité en prenant en considération la nature, l’échelle et la complexité de leurs activités. Certains risques pourraient requérir des mesures relatives aux TIC et des mesures de sécurité plus élevées ou en permettre de moins élevées que celles décrites dans cette section. Il relève de la responsabilité des entités surveillées de s’assurer que les conditions relatives aux TIC et les conditions de sécurité sur base desquelles elles autorisent le télétravail de leurs employés soient proportionnelles aux risques auxquels les entités surveillées sont ou pourraient être exposées. Politiques et procédures 40. Les procédures de sécurité de l’entité surveillée doivent définir les principes et les règles de haut niveau applicables dans le cadre du télétravail afin de protéger la confidentialité, l’intégrité et la disponibilité des données et des systèmes liés aux TIC de l’entité. Ces principes et ces règles peuvent soit faire partie du document de politique de sécurité général ou être inclus dans le document reprenant la politique relative au télétravail et il y est fait référence, pour les deux cas de figure, par les termes « politique de sécurité relative au télétravail ». La politique de sécurité relative au télétravail doit être alignée aux résultats du processus d’évaluation des risques et approuvée par le conseil d’administration de l’entité surveillée ou de toute autre instance représentant l’entité surveillée en vertu de la loi et des documents constitutifs. 41. La politique de sécurité relative au télétravail doit s’accompagner au niveau opérationnel d’une adaptation des procédures d’utilisation existantes ou d’une intégration dans celles-ci, selon le cas. Les politiques, procédures et documents y relatifs concernant le télétravail sont régulièrement à mettre à jour et à communiquer aux membres du personnel. Sensibilisation aux risques 42. L’entité surveillée est tenue de veiller à ce que tous les membres du personnel soient sensibilisés aux risques et aux meilleures pratiques liés au recours au télétravail (p.ex. par le biais de sessions de formation périodiques, de lettres d’information ou d’autres formes de communication) ainsi qu’aux devoirs et aux responsabilités qui leur incombent en relation avec les politiques et CIRCULAIRE CSSF 21/769 12/18 procédures de sécurité pertinentes en vue de limiter les erreurs humaines, les vols, les fraudes, les abus ou les pertes. 43. Les initiatives et/ou procédures de sensibilisation aux risques et la documentation y relative, reprises ci-avant, doivent couvrir les risques organisationnels et techniques (p.ex. l’ingénierie sociale, les attaques par phishing, etc.) liés au télétravail ainsi que le comportement spécifique à adopter par les télétravailleurs. Droits d’accès 44. L’entité surveillée est tenue de revoir et d’adapter ses procédures de gestion des droits d’accès et les accès octroyés dans le cadre du télétravail en fonction de son évaluation des risques et de sa politique de sécurité relative au télétravail. 45. En particulier, les entités surveillées devraient envisager la nécessité de créer des rôles/profils d’utilisateurs et des droits d’accès dédiés aux situations de télétravail (présentant par exemple des limitations par rapport au travail sur site), tout en préservant le principe de la ségrégation des tâches. 46. Les droits d’accès des télétravailleurs (y compris des fournisseurs de service) devraient être octroyés sur base du principe du « besoin d’en connaître » (need-to-know principle) et être recertifiés au moins annuellement pour les utilisateurs non privilégiés et au moins semestriellement pour les utilisateurs privilégiés. Dispositifs d’accès à distance 47. L’entité surveillée doit s’assurer de garder le contrôle sur la sécurité des dispositifs utilisés par les utilisateurs pour se connecter à distance aux systèmes des TIC de l’entité surveillée. En particulier, l’entité surveillée devrait s’assurer que : a. lorsque les données peuvent être enregistrées sur le dispositif, le support de stockage doit être crypté. Le recours à des infrastructures de bureaux virtuels (Virtual Desktop Infrastructures ou VDI) qui permettent d’éviter l’enregistrement sur le dispositif, est encouragé ; b. les mécanismes de sécurité mis en place par l’entité surveillée ne doivent pas pouvoir être modifiés, supprimés ou contournés par les membres du personnel. 48. Le meilleur moyen pour parvenir au respect des obligations reprises ci-avant est de mettre à disposition des dispositifs appartenant à l’entité, et qui sont entièrement sous le contrôle de l’entité surveillée. CIRCULAIRE CSSF 21/769 13/18 49. La sécurisation des dispositifs privés n’est pas assimilable à celle des dispositifs appartenant à l’entité ; c’est la raison pour laquelle ce genre d’équipement ne devrait être utilisé que pour des activités et des systèmes à faible risque. De plus, les membres du personnel effectuant des activités critiques ne doivent pas utiliser des dispositifs privés pour l’accomplissement de telles activités. Les équipes TIC en particulier ne doivent pas être en mesure d’accéder et de gérer des systèmes des TIC au moyen de dispositifs privés. 50. Une éventuelle utilisation de dispositifs privés doit être considérée avec attention et évaluée au moyen d’une analyse des risques spécifique. Malgré le fait que l’entité surveillée ne soit pas propriétaire du dispositif, elle doit être en mesure de contrôler les données et les applicatifs professionnels qui vont y être traités. Des solutions prévoyant que l’entité surveillée installe un environnement professionnel maîtrisé (container) à l’intérieur de l’environnement privé de l’outil devrait permettre une maîtrise totale de ce container. Des solutions basées sur l’utilisation d’une infrastructure de bureau virtuel (VDI) à partir d’un dispositif privé peuvent être envisagées tant que l’entité surveillée est à même d’atténuer les risques découlant d’un dispositif privé potentiellement compromis. De plus, des tests indépendants doivent être effectués régulièrement afin de prouver que les solutions utilisant des dispositifs privés sont suffisamment sécurisées. 51. Enfin, l’entité surveillée doit s’assurer que les dispositifs appartenant à l’entité ou, le cas échéant, le container professionnel du dispositif privé peuvent être gérés à distance par une solution de gestion centralisée. Infrastructure de télétravail 52. L’entité surveillée est tenue de maintenir un niveau élevé de sécurité et de disponibilité de l’infrastructure de télétravail dans le temps. Dans ce contexte, l’entité surveillée veille à ce que, à tout moment, les diverses composantes fonctionnent correctement, qu’elles soient adéquatement sécurisées et contrôlées de près. 53. L’entité surveillée doit mettre en œuvre des mécanismes lui permettant de détecter des connexions anormales et de les bloquer/générer des alertes y relatives. 54. En particulier, aux fins du point 53, l’entité surveillée doit définir un ensemble de critères et obligations tant relatifs à la sécurité que non relatifs à la sécurité devant être assurés avant de permettre à un télétravailleur d’accéder aux systèmes et données internes, sur base des risques identifiés lors de la CIRCULAIRE CSSF 21/769 14/18 réalisation de l’évaluation des risques. Dans ce contexte, une liste non exhaustive de critères et obligations possibles est reprise ci-après : a. le télétravailleur est correctement authentifié ; b. le dispositif est correctement identifié et authentifié ; c. la localisation à distance du télétravailleur est correctement identifiée ; d. le temps de connexion se situe endéans les plages horaires de travail définies ; e. les composants et mécanismes de sécurité mis en œuvre par l’entité surveillée n’ont pas été modifiés ou contournés par le télétravailleur ou par un pirate informatique, et sont à jour et opérationnels. 55. Afin de pouvoir maintenir l’infrastructure de télétravail dans le temps, l’entité surveillée aura mis en place un processus de gestion du changement robuste, permettant d’assurer que l’infrastructure de télétravail mise en œuvre et le niveau de sécurité ne seront pas compromis en cas de changements. Sécurité des connexions 56. L’entité surveillée doit s’assurer que le transfert des données est sécurisé, c’est-à-dire chiffré, conformément à la classification des données par l’entité et que les protocoles de chiffrement mis en place (p.ex. IPSec, SSL), les algorithmes de chiffrement (p.ex. RSA, AES) ainsi que la taille de la clé de chiffrement choisie respectent les pratiques actuelles de référence. 57. Une authentification à double facteur (2-FA) doit être mise en place lors d’une connexion à distance aux systèmes de l’entité surveillée. 58. Le mécanisme d’authentification mis en place peut être adapté en fonction du type d’opérations effectuées à distance et du profil de l’utilisateur (principe de proportionnalité). 59. En ce qui concerne les activités critiques, les entités surveillées sont censées mettre en place une procédure d'authentification forte à double facteur, dont l’un des facteurs doit être dynamique (p.ex. un OTP). Revue de la sécurité de la chaîne de communication 60. Le fonctionnement correct de la chaîne de communication entre le dispositif à distance et l’infrastructure de la société (par exemple la passerelle d’accès à distance, ou remote access gateway) ainsi que l’efficacité des mesures de sécurité mises en place doivent être revus par une fonction de contrôle de la sécurité indépendante (c.-à-d. le responsable de la sécurité des systèmes d’informations, l’audit interne ou un tiers externe spécialisé) avant la mise en place du télétravail et, par la suite, sur une base régulière. CIRCULAIRE CSSF 21/769 15/18 61. Cette revue doit en particulier confirmer que l’infrastructure mise en place, le positionnement des différentes barrières de sécurité et les mécanismes de sécurité et de prévention de fuites de données appliqués sont correctement conçus, testés, implémentés et configurés. 62. De plus, l’entité surveillée devrait procéder régulièrement à des analyses de vulnérabilité et à des tests d’intrusion, proportionnellement au niveau de risque identifié en relation avec le télétravail. Veille technologique 63. Un solide processus de veille technologique devrait être en place permettant à l’entité surveillée d’être rapidement informée de l’apparition de nouvelles failles de sécurité et d’y appliquer les correctifs nécessaires dans de brefs délais. Une attention particulière est à apporter aux risques liés à l’utilisation de dispositifs privés lorsque leur utilisation est permise. Processus de journalisation (logging) 64. Un processus de journalisation (logging) sain est à mettre en place, afin de permettre aux entités surveillées de s’assurer que toutes les connexions et informations techniques pertinentes relatives au télétravail (y compris le dispositif de connexion utilisé) soient enregistrées à des fins de contrôle de sécurité. 65. Les logs d’accès doivent être sécurisés afin d’en empêcher toute modification ou effacement non autorisé. Le principe de proportionnalité doit être assuré, par exemple la granularité de l’information enregistrée et la période de conservation de l’enregistrement doivent être proportionnels à la criticité de l’opération exécutée par le télétravailleur, sans préjudice des exigences de conservation des données définies par le droit de l’Union européenne et la règlementation nationale. CIRCULAIRE CSSF 21/769 16/18 VIII. Entrée en vigueur, révision et disposition antiabus 66. La présente circulaire entre en vigueur le 1er juillet 2022. 67. Sur base de l’expérience tirée du contrôle auquel il est fait référence au point 36, la présente circulaire sera revue au plus tard 12 mois après son entrée en vigueur, afin de remédier à d'éventuels abus ou autres lacunes ou défaillances. Claude WAMPACH Directeur Marco ZWICK Directeur Françoise KAUTHEN Claude MARX Directeur Directeur Général CIRCULAIRE CSSF 21/769 Jean-Pierre FABER Directeur 17/18 Commission de Surveillance du Secteur Financier 283, route d’Arlon L-2991 Luxembourg (+352) 26 25 1-1 direction@cssf.lu www.cssf.lu CIRCULAIRE CSSF 21/769 18/18 Circular CSSF 21/769 as amended by Circular CSSF 22/804 Governance and security requirements for supervised entities to perform tasks or activities through telework CIRCULAR CSSF 21/769 1/16 Circular CSSF 21/769 RE: Governance and security requirements for Supervised Entities to perform tasks or activities through telework Luxembourg, 31 March 2022 Ladies and Gentleman, This Circular defines the governance and security requirements with respect to To all supervised entities the implementation and utilisation by an entity under the supervision of the CSSF of work processes based on telework solutions. It contributes to the sound and prudent management, the proper organisation of these supervised entities and the preservation of information security by providing guidance on the requirements the supervised entities have to comply with. No approval by the CSSF is required in order to implement, maintain or extend telework solutions for staff in a supervised entity. This Circular is limited to financial sector regulatory requirements. All contractual relations between supervised entities and their employees are out of scope of this Circular. It does not create any precedence for rights or obligations on whether telework may be implemented by entities under the supervision of the CSSF. Furthermore, this Circular does not interfere in any legal provisions that are part of the mandatory public policy provisions (règles d’ordre public) or part of the Luxembourg Labour Code. It is intended solely to provide additional guidance on the governance and security requirements to be followed when implementing telework solutions for employees of entities supervised by the CSSF. CIRCULAR CSSF 21/769 2/16 TABLE OF CONTENTS Scope Definitions Telework Staff or staff member Employer’s premises or premises Privileged users Critical activities Authorised Management III. General principles IV. Compliance with other legal provisions V. Baseline requirements VI. Internal organisation and internal control framework Risk management Telework policy Monitoring of the use of Telework Controls by internal control functions over Telework VII. Requirements related to ICT and security risks Policies and procedures Risk awareness Access rights Remote access devices Telework infrastructure Security of connections Review of the communication chain security Technology watch Logging VIII. Entry into force, review and anti-abuse provision I. II. CIRCULAR CSSF 21/769 4 4 4 5 5 5 5 5 6 6 7 8 8 9 10 10 10 11 11 11 12 13 13 14 14 14 15 3/16 I. Scope 1. This Circular applies to all supervised entities, hereinafter collectively referred to as “Supervised Entities” or individually as “Supervised Entity”, including their branches in Luxembourg or abroad, to the extent that telework is authorised in the countries where the branches are established and they comply with national regulations. In this context, specific requirements stated in this Circular apply as minimum standards to be adopted by branches of Supervised Entities. 2. This Circular also applies to Luxembourg branches of entities originating from outside the European Economic Area. 3. Luxembourg branches of entities originating from a Member State of the European Economic Area may also use telework in accordance with the requirements provided for in this Circular, in case telework is authorised in their home country. These branches and their head offices shall ensure that the use of telework by the Luxembourg based branches also complies with all national rules and regulations applicable in the home Member State. II. Definitions Telework 4. Telework is a form of organising and/or carrying out work, using information and communication technologies within the framework of an employment contract authorising work, which would ordinarily be carried out on the employer's premises, to be performed outside the premises of the employer. 5. The following cumulative criteria must be met so that a work relationship may be qualified as Telework: a. Work must be delivered by means of information and communication technologies based on a previous approval by the employer; b. Work must be performed on a regular or occasional and voluntary basis and within the defined working hours at a predetermined place that is different from the employer’s premises. Supervised Entities shall have rules in place to define from where Telework is allowed. These rules need to be documented and respected. 6. It should be noted that other forms of remote access by staff members of the Supervised Entities (i.e. while on business trip, e.g. client relationship managers, when attending conferences or professional training), as well as connections from the employer’s premises to systems not hosted on the employer’s premises are not covered in the scope of this Circular. CIRCULAR CSSF 21/769 4/16 7. For the avoidance of doubt, work performed by staff members of the Supervised Entities in a location other than the premises of the employer, in the context of the activation of a Disaster Recovery Plan/ Business Continuity Plan, does not qualify as Telework and, consequently, does not fall under the scope of this Circular. Staff or staff member 8. Staff or staff members means all employees of Supervised Entities including key functions and authorised management. Persons put at the disposal of a Supervised Entity through a contract by a third-party employer are also considered staff members. 9. For the purposes of this Circular, a staff member who is teleworking is a “Teleworker”. Employer’s premises or premises 10. The employer’s premises include the head office and any additional premises in Luxembourg that Supervised Entities use as well as, in the case of branches, the premises of branches of Supervised Entities or Luxembourg branches of entities. Privileged users 11. Privileged users are users with access rights enabling them to carry out sensitive operations, both for ICT operations (e.g. system administrators) and for business operations. These sensitive operations are typically related to the provision of critical activities. Critical activities 12. Critical activities are activities in respect of which the occurrence of a problem may have a significant impact on the Supervised Entity’s ability to meet the regulatory requirements or even to continue its activities (e.g. transaction processing, order input/upload, 4-eye validations, remote administrative access to ICT systems by the ICT team, etc.). Authorised Management 13. Authorised Management means persons authorised by the CSSF for day-today management or persons authorised by the CSSF to effectively conduct the business of a supervised entity. CIRCULAR CSSF 21/769 5/16 III. General principles 14. Supervised Entities are required to maintain, at all times, a robust central administration in Luxembourg and to maintain sufficient substance on its premises, also in order to allow them to deal with emergencies and other time-critical issues in due time. Nevertheless, Supervised Entities may allow staff to perform tasks and activities through Telework. In principle, all staff, regardless of its function, may be allowed to telework within the limits set in this Circular in order to guarantee adequate governance of the Supervised Entities and subject to the legal and regulatory framework on Telework in place. This Circular does not create any precedence for rights or obligations on whether Telework may be implemented by entities under the supervision of the CSSF. Furthermore, all contractual relations between Supervised Entities and their employees are out of scope of this Circular. 15. Each Supervised Entity should assess to what extent it allows its staff members to work remotely. This assessment should consider the risks of Telework and define the limits within which it might be allowed to perform tasks remotely. In particular, smaller Supervised Entities with a limited number of staff may need to adapt their internal organisation, taking into consideration requirements, relative to their size. 16. Telework shall, in no case, jeopardise the regular operational functioning of a Supervised Entity. It shall be sufficiently robust to ensure that the entity’s activities continue in an effective and secure manner and that all elements of the entity’s internal control framework remain operational without exception and on an ongoing basis. The Supervised Entity has to protect, at all times, even in the context of Telework, the confidentiality, integrity and availability of the entity’s data and information systems. 17. Telework is organised under the ultimate responsibility of the Board of Directors of the Supervised Entity or any body that represents the Supervised Entity, by virtue of the law and of the instruments of incorporation. 18. An approval by the CSSF is not required in order to implement Telework. IV. Compliance with other legal provisions 19. The use of Telework by Supervised Entities may not contravene any legal provisions that are part of the mandatory public policy provisions (règles d’ordre public) and shall, in particular, comply with the provisions of the Luxembourg Labour Code. 20. In addition, Supervised Entities shall take into account that the prudential requirements with respect to substance and central administration may differ from other legal provisions, especially laws and regulations relating to tax (domestic, foreign and international), companies, professional secrecy, data CIRCULAR CSSF 21/769 6/16 protection and social security. The CSSF expects Supervised Entities to give due consideration to these laws when implementing Telework, especially in the context of Telework by non-resident staff members. This Circular may not be interpreted in a way that Supervised Entities may circumvent laws and regulations in place. 21. Each Supervised Entity shall also comply with European and national regulations regarding freedom of establishment and freedom to provide services when deploying Telework. 22. This Circular does not create any precedence for rights or obligations on whether Telework may be implemented by entities under the supervision of the CSSF. All contractual relations between Supervised Entities and their employees are out of scope of this Circular. V. Baseline requirements 23. A robust central administration consists of a "decision-making centre" and an "administrative centre", which includes sufficient staff with the necessary skills, knowledge and expertise as well as the technical and administrative infrastructure, to exercise its function or activity. 24. In order to comply with this central administration requirement, the staff members shall be able to return to the Supervised Entity’s premises on short notice in case of need. 25. In the case of branches of Supervised Entities located outside of Luxembourg, it also has to be ensured that staff may return to the branches’ premises on short notice in case of need. 26. It is the responsibility of the Board of Directors of the Supervised Entity or any body that represents the Supervised Entity, by virtue of the law and of the instruments of incorporation, to define, in advance, the extent to which Telework may be used without violating central administration requirements in accordance with applicable laws and regulations. 27. As a baseline, the following specific criteria shall be respected when implementing, using or extending Telework: a. The number of staff of a Supervised Entity which may telework at the same time must comply with central administration requirements. b. The amount of normal working time that individual staff members are allowed to telework, should be limited. c. In principle, at least one authorised manager shall be on-site at the head office at all times. Furthermore, key functions shall be sufficiently represented every day in the premises and permanently guarantee the adequate functioning of the activities and controls as well as proper CIRCULAR CSSF 21/769 7/16 decision-taking. For this purpose, Supervised Entities shall take into account the size and organisation of the Supervised Entity and the nature, scale and complexity of its activities. d. The Supervised Entity shall be able to demonstrate that the head office remains at all times the “decision-making centre” as part of the central administration of the Supervised Entity. e. The CSSF reminds the Supervised Entities that, in particular, the ongoing performance of critical activities shall be guaranteed. This aspect shall therefore be adequately considered in the implementation of Telework and the related policy. i. As such, the Supervised Entities shall ensure that interruptions of Telework (e.g. connection disruption) do not have a substantial impact on the entities’ capacity to carry out their activities in an adequate, timely and secure manner. ii. Provisions shall be made by the Supervised Entities to ensure that critical activities can be covered by a sufficiently skilled and responsible staff member present on-site on the entity’s premises to guarantee the adequate functioning of the activities and controls during business hours. VI. Internal organisation and internal control framework Risk management 28. The Supervised Entity shall perform a risk analysis in order to identify the inherent risks in implementing Telework, in particular, the operational risks, including legal, Information and Communication Technology (ICT), compliance and reputational risks. 29. Particular attention should be paid to: a. The evaluation of aspects related to labour law and tax law (including permanent establishment issues), as well as company law and social security requirements; b. The risk associated with Telework of privileged users; c. The respect of the professional secrecy and data protection requirements (e.g. when professional devices or documents may leave the secure professional environment). 30. Supervised Entities shall ensure the implementation of the necessary mitigating controls and measures to keep the residual risks within the CIRCULAR CSSF 21/769 8/16 acceptable limits according to the entities’ risk appetite. Risk identification and mitigation measures should be adequately formalised. 31. Supervised Entities should regularly review their risk analysis and the appropriateness of the implemented mitigating measures, considering lessons learned, potential changes in the organisation, or their environment, working processes or Telework technical architecture as well as emerging threats such as e.g. cybercrime or opportunistic attacks within the Telework context. Telework policy 32. The Board of Directors of the Supervised Entity or any body that represents the Supervised Entity, by virtue of the law and of the instruments of incorporation, shall define a Telework policy setting the framework and the limits under which Telework may be allowed. This policy shall clearly determine: a. Business units or departments that may use Telework and activities and/or functions that may be performed via Telework; b. Functions and/or activities of business units or departments that must always be performed on-site on the premises of the Supervised Entity; c. Minimum number of staff required to work at the same time on the premises in Luxembourg at entity level and, where relevant, at business unit or department levels; d. e. Working hours within which Telework is allowed; Control procedures that have to be implemented in order to be able to monitor the proper execution of work performed by the staff through Telework; f. Minimum physical meetings that should be held at the head office in Luxembourg; g. Measures to be taken in order to ensure that risks remain contained, including compliance with confidentiality and data protection regulations. 33. The policy shall set the operational framework enabling the authorised management to monitor the number of staff members who are effectively teleworking. 34. The existing management information system and control environment of a Supervised Entity cannot be altered while allowing tasks to be performed via Telework. Existing controls (e.g. 4-eye controls), dashboards and reporting need to be executed in the same way and with the same frequency as defined in the existing internal procedures of the Supervised Entity. CIRCULAR CSSF 21/769 9/16 35. The Board of Directors of the Supervised Entity or any body that represents the Supervised Entity, by virtue of the law and of the instruments of incorporation, shall review the Telework policy annually based on the updated risk analysis and its operational and management objectives. Monitoring of the use of Telework 36. The CSSF monitors compliance with this Circular. To that effect, the Supervised Entity shall maintain the evidence enabling the monitoring of the compliance with the Telework policy (e.g. record the name, function and department/unit of each staff member teleworking). This should also allow demonstrating the compliance with these requirements to independent auditors and to the CSSF. The Supervised Entity should, upon request, make available to the CSSF either the full evidence mentioned in the preceding sentence, or relevant parts thereof allowing demonstration of compliance with these requirements, in a processable electronic form (e.g. a commonly used database format). The Supervised Entity should, upon request, make available to the CSSF all information necessary to enable the CSSF to execute effective supervision of the Supervised Entity, including, where required, the Telework policy. Controls by internal control functions over Telework 37. The internal control functions, such as (when applicable) compliance, risk management, including information security (RSSI/CISO) and internal audit, shall include the review of the Telework policy, process flows and compliance with the legal and regulatory requirements in their respective multi-year work programme and the report of any issues or findings in that regard to the CSSF in their respective annual summary reports, were applicable. 38. Furthermore, each year the annual summary reports shall, if applicable, mention any significant operational incidents in relation to Telework that might have occurred during the year. They shall also contain a short statistic on the use of Telework during the year. VII. Requirements related to ICT and security risks 39. In principle, all paragraphs under this section apply to all Supervised Entities. When implementing these requirements, Supervised Entities should have regard to the principle of proportionality by considering the nature, scale and complexity of their activities. Risks may require higher or permit lower ICT and security measures than those described in this section. Supervised Entities remain responsible for ensuring that ICT and security conditions CIRCULAR CSSF 21/769 10/16 under which they authorise their employees to telework are in proportion to the risks to which the Supervised Entities are or could be exposed. Policies and procedures 40. The Supervised Entity’s security policy shall define the high-level principles and rules applicable in the context of Telework, to protect the confidentiality, integrity and availability of the entity’s data and information and communication technology (ICT) systems. These principles and rules can either be part of the general security policy document or be included in the Telework policy document and are, in both cases, referred to below as “Telework security policy”. The Telework security policy shall be aligned with the relevant results of the risk assessment process and approved by the Board of Directors of the Supervised Entity or any body that represents the Supervised Entity, by virtue of the law and of the instruments of incorporation. 41. This Telework security policy shall be complemented at operational level by adapting or completing the existing user procedures as appropriate. Telework policies, procedures and related documents shall be updated as well as communicated to the staff members on a regular basis. Risk awareness 42. The Supervised Entity shall ensure all staff members are aware of risks and best practices regarding the use of Telework (e.g. through periodic training sessions, newsletters or other communications) as well as of their duties and responsibilities in line with the relevant security policies and procedures to reduce human error, theft, fraud, misuse or loss. 43. The above-mentioned awareness initiatives and/or procedures and documentation shall cover organisational and technical risks (e.g. social engineering, phishing attacks, etc.) in relation to Telework as well as the specific behaviour to be adopted by the Teleworkers. Access rights 44. The Supervised Entity shall review and adapt its access rights management procedures and the accesses granted for Telework in line with its risk assessment and with its Telework security policy. 45. In particular, Supervised Entities should consider the need to create user roles/profiles and access rights dedicated to the Telework situation (i.e. limited compared to on-premises work), while maintaining the segregation of duties principle. CIRCULAR CSSF 21/769 11/16 46. Access rights of Teleworkers (including of service providers) should be granted based on the “need-to-know” principle and recertified at least annually for non-privileged users and at least biannually for privileged users. Remote access devices 47. The Supervised Entity has to ensure that it keeps control over the security of the devices used by the users to connect remotely to the Supervised Entity’s ICT systems. In particular, the Supervised Entity should ensure that: a. When data can be stored on the device, the storage media is encrypted; the recourse to virtual desktop infrastructures, which allow avoiding storage on the device, is encouraged; b. The security mechanisms implemented by the Supervised Entity cannot be modified, removed or bypassed by the staff members. 48. Compliance with the above requirements can best be achieved by using company-owned devices, which are under the full control of the Supervised Entity. 49. Private devices are not considered as secure as company-owned devices; this is why they should be considered only for low-risk activities and systems. In addition, staff members carrying out critical activities shall not use private devices to carry out such activities. In particular, ICT teams shall not be able to access and administer ICT systems using private devices. 50. The potential use of privately owned devices must be considered carefully and assessed through a specific risk analysis. Despite the fact that the Supervised Entity is not the owner of the device, it must be in a position to monitor the professional data and applications that will be used on it. Solutions where the Supervised Entity installs a controlled professional environment (container) inside the private environment of the tool should allow it to keep full control over this container. Solutions based on the use of a virtual desktop infrastructure (VDI) from a privately owned device may be considered as long as the Supervised Entity is able to mitigate the risks resulting from a potentially compromised privately owned device. In addition, independent tests have to be organised, on a regular basis, in order to prove that either solution using a privately owned device is sufficiently secure. 51. Finally, the Supervised Entity shall ensure that the company-owned device or, if applicable, the professional container on the privately owned device can be remotely managed by a centralised management solution. CIRCULAR CSSF 21/769 12/16 Telework infrastructure 52. The Supervised Entity shall maintain a high level of security and availability of the Telework infrastructure over time. In this context, the Supervised Entity has to ensure, at all times, that the various components are properly functioning, correctly secured and closely monitored. 53. The Supervised Entity shall implement mechanisms allowing it to detect abnormal connections and block/alert on them. 54. In particular, for the purpose of point 53, the Supervised Entity has to define a set of security and non-security criteria and requirements that have to be ensured before allowing a Teleworker to access the internal systems and data based on the risks identified during the risk assessment performed. In this context, possible criteria and requirements are (non-exhaustive list): a. the correct authentication of the Teleworker; b. the correct identification and authentication of the device; c. the correct identification of the remote location of the Teleworker; d. the connection time is within the defined working hours; e. the security components and mechanisms implemented by the Supervised Entity have not been modified or bypassed by the Teleworker or an attacker, are up-to-date and running. 55. Maintaining the Telework infrastructure over time implies that the Supervised Entity has a robust change management process in place, ensuring that changes do not jeopardise the implemented Telework infrastructure and security level. Security of connections 56. The Supervised Entity has to ensure that data in transit is secured, i.e. encrypted, in accordance with its data classification and that the implemented encryption protocols (for instance IPSec, SSL), the encryption algorithm (for instance RSA, AES) as well as the chosen key size respect current leading practices. 57. A 2-Factor Authentication (2-FA) has to be implemented when connecting remotely to the systems of the Supervised Entity. 58. The implemented authentication mechanism may be adapted according to the type of operations performed remotely and the user profile (principle of proportionality). 59. For critical activities Supervised Entities are expected to implement a strong 2-FA procedure with one of the factors being dynamic (e.g. OTP). CIRCULAR CSSF 21/769 13/16 Review of the communication chain security 60. The proper functioning of the communication chain from the remote device to the corporate infrastructure (e.g. remote access gateway) as well as the effectiveness of the implemented security measures shall be reviewed by an independent security control function (i.e. Information Security Officer, Internal Audit or specialised external third party) before the go-live of the Telework and on a regular basis thereafter. 61. In particular, this review must confirm that the implemented infrastructure, the positioning of the different security barriers and applied security and data leakage prevention mechanisms are correctly designed, tested, implemented and configured. 62. In addition, vulnerability scans/penetration tests should be organised on a regular basis, commensurate to the level of identified risk in relation to Telework. Technology watch 63. A solid monitoring process should be in place to allow the Supervised Entity to be quickly informed of the emergence of new security vulnerabilities and to apply the necessary corrections within a short period of time. Particular attention shall be paid to the risks related to the use of privately owned devices in case their use is allowed. Logging 64. A sound logging process shall be implemented allowing the Supervised Entity to ensure that all connections and relevant technical information related to Telework (including the connecting device used) are logged for reasons of security monitoring. 65. Access logs shall be secured to prevent unauthorised modification or deletion. The principle of proportionality shall be ensured, e.g. the granularity of logged information and the log retention period shall be proportional to the criticality of the operation carried out by the Teleworker, without prejudice to the retention requirements set out in EU and national law. CIRCULAR CSSF 21/769 14/16 VIII. Entry into force, review and anti-abuse provision 66. This Circular enters into force on 1 July 2022. 67. Based on the experience drawn from the monitoring referred to in point 36, this Circular will be reviewed at the latest 12 months after its entry into force in order to address potential abuses or any other shortcomings or deficiencies. Claude WAMPACH Director Marco ZWICK Director Françoise KAUTHEN Claude MARX Director Director General CIRCULAR CSSF 21/769 Jean-Pierre FABER Director 15/16 Commission de Surveillance du Secteur Financier 283, route d’Arlon L-2991 Luxembourg (+352) 26 25 1-1 direction@cssf.lu www.cssf.lu CIRCULAR CSSF 21/769 16/16 Circulaire CSSF 22/804 Mise à jour de la circulaire CSSF 21/769 relative aux exigences en matière de gouvernance et de sécurité pour les entités surveillées en vue de l’exécution de tâches ou d’activités via le télétravail CIRCULAIRE CSSF 22/804 1/3 Circulaire CSSF 22/804 Concerne : Mise à jour de la circulaire CSSF 21/769 relative aux exigences en matière de gouvernance et de sécurité pour les entités surveillées en vue de l’exécution de tâches ou d’activités via le télétravail Luxembourg, le 31 mars 2022 À toutes les entités surveillées Mesdames, Messieurs, 1. La présente circulaire modifie la circulaire CSSF 21/769 suite à l’entrée en vigueur de la loi du 11 mars 2022 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19 et la levée des répercussions sur les conditions de travail générales. 2. La circulaire CSSF 21/769 est modifiée conformément à l’annexe 1 à la présente circulaire. L’annexe en question présente les changements apportés par cette circulaire à la circulaire CSSF 21/769 en version « suivi des modifications » afin de faciliter la lecture et la compréhension. Pour votre facilité, la version propre figure à l’annexe 2. Veuillez recevoir, Mesdames, Messieurs, l’assurance de nos sentiments très distingués. Claude WAMPACH Directeur Marco ZWICK Directeur Françoise KAUTHEN Claude MARX Directeur Directeur général Annexe(
3. s): CIRCULAIRE CSSF 22/804 Jean-Pierre FABER Directeur Circulaire CSSF 21/769 telle que modifiée par la circulaire CSSF 22/804 2/3 Commission de Surveillance du Secteur Financier 283, route d’Arlon L-2991 Luxembourg (+352) 26 25 1-1 direction@cssf.lu www.cssf.lu CIRCULAIRE CSSF 22/804 3/3 Circulaire CSSF 21/769 TELLE QUE MODIFIEE PAR LA CIRCULAIRE CSSF 22/804 CIRCULAIRE CSSF 21/769 1/18 Circulaire CSSF 21/769 Concerne : Exigences en matière de gouvernance et de sécurité pour les entités surveillées en vue de l’exécution de tâches ou d’activités via le télétravail Luxembourg, le 9 avril 2021 31 mars 2022 Mesdames, Messieurs, La présente circulaire a pour objet de définir les exigences en matière de À toutes les entités surveillées gouvernance et de sécurité relatives à la mise en œuvre et à l’utilisation de processus de travail basés sur des solutions de télétravail par les entités soumises à la surveillance de la CSSF. Elle contribue à la gestion saine et prudente et à la bonne organisation de ces entités surveillées, ainsi qu’à la préservation de la sécurité de l’information en fournissant des orientations relatives aux exigences que les entités surveillées sont tenues de respecter. La mise en œuvre, le maintien ou l’extension des solutions de télétravail pour le personnel des entités surveillées ne requièrent pas d’autorisation de la CSSF. La présente circulaire s’applique dans des conditions de travail générales normales. Elle ne s’applique pas en situation de pandémie (telle que la pandémie de COVID-19) ou en d’autres circonstances exceptionnelles ayant des répercussions similaires sur les conditions de travail générales. La portée de la présente circulaire est limitée aux exigences réglementaires relevant du secteur financier. Les relations contractuelles entre les entités surveillées et leurs employés sont exclues du champ d’application de la présente circulaire. Elle ne créé pas de précédent par rapport à des droits ou obligations relatifs à la mise en œuvre du télétravail par les entités soumises à la surveillance de la CSSF. De plus, la présente circulaire ne porte pas atteinte aux dispositions légales applicables dans le cadre des règles d’ordre public ou du Code du travail luxembourgeois. Elle a uniquement vocation à fournir des orientations supplémentaires relatives aux exigences en matière de gouvernance et de sécurité à respecter lors de la mise en œuvre de solutions de télétravail pour les employés des entités soumises à la surveillance de la CSSF. CIRCULAIRE CSSF 21/769 2/18 SOMMAIRE I. II. III. IV. V. VI. VII. VIII. Champ d’application Définitions Télétravail Personnel ou membre du personnel Locaux de l’employeur ou locaux Utilisateurs privilégiés Activités critiques Direction autorisée Principes généraux Respect d’autres dispositions légales Exigences de base Dispositif d’organisation interne et de contrôle interne Gestion des risques Politique relative au télétravail Contrôle du recours au télétravail Contrôles du télétravail par les fonctions de contrôle interne Exigences en matière de risques liés aux TIC et de risques de sécurité Politiques et procédures Sensibilisation aux risques Droits d’accès Dispositifs d’accès à distance Infrastructure de télétravail Sécurité des connexions Revue de la sécurité de la chaîne de communication Veille technologique Processus de journalisation (logging) Entrée en vigueur, révision et disposition anti-abus 4 4 4 5 5 5 6 6 6 7 8 9 9 10 11 11 12 12 12 13 13 14 15 15 16 16 17 CIRCULAIRE CSSF 21/769 3/18 I. Champ d’application 1. La présente circulaire s’applique à toutes les entités surveillées, ci-après dénommées collectivement « entités surveillées » ou individuellement « entité surveillée », y compris leurs succursales au Luxembourg ou à l’étranger, dans la mesure où le télétravail est autorisé dans les pays d’établissement des succursales et que ces dernières se conforment aux réglementations nationales. Dans ce contexte, les exigences spécifiques définies dans la présente circulaire font office de normes minimales à adopter par les succursales des entités surveillées. 2. La présente circulaire luxembourgeoises d’entités s’applique également aux succursales originaires d’un hors de pays l’Espace économique européen. 3. Les succursales luxembourgeoises d’entités originaires d’un État membre de l’Espace économique européen peuvent également avoir recours au télétravail conformément aux exigences prévues dans cette circulaire, si le recours au télétravail est autorisé dans leur pays d’origine. Les succursales en question et leur siège social doivent s’assurer que le recours au télétravail par les succursales basées au Luxembourg est également conforme à toutes les règles et réglementations nationales applicables dans l’État membre d’origine. II. Définitions Télétravail 4. Le télétravail est une forme d'organisation et/ou de réalisation du travail, utilisant les technologies de l’information et de la communication (TIC) dans le cadre d’un contrat de travail autorisant que le travail qui aurait normalement été réalisé dans les locaux de l’employeur soit effectué hors des locaux de l’employeur. 5. Les critères cumulatifs suivants doivent être respectés pour qu’une relation de travail puisse être qualifiée de télétravail : a. le travail doit être exécuté au moyen de technologies de l’information et de la communication sur la base d’un accord préalable de l’employeur ; b. le travail doit être effectué sur une base régulière ou occasionnelle et volontaire, et dans le cadre d’heures de travail définies, en un lieu prédéterminé qui est différent des locaux de l’employeur. Les entités surveillées sont tenues de mettre en place des règles définissant le(
4. s)lieu(
5. x)à partir duquel(desquels) le télétravail est autorisé. Ces règles sont à consigner par écrit et à respecter. CIRCULAIRE CSSF 21/769 4/18 6. Il est à noter que d’autres formes d’accès à distance par les membres du personnel des entités surveillées (c’est-à-dire dans le cadre de voyages professionnels, par exemple par des gestionnaires de relation client lors de la participation à des conférences ou à des formations professionnelles), de même que les connexions depuis les locaux de l’employeur à des systèmes non hébergés au sein des locaux de l’employeur ne sont pas inclus dans le champ d’application de la présente circulaire. 7. Afin de lever toute ambiguïté, toute tâche effectuée par les membres du personnel des entités surveillées sur un site autre que les locaux de l’employeur dans le cadre de l’activation d’un plan de rétablissement après sinistre (Disaster Recovery Plan, DRP) ou d’un plan de continuité des activités (Business Continuity Plan, BCP) n’est pas considérée comme du télétravail et ne relève, par conséquent, pas du champ d’application de la présente circulaire. Personnel ou membre du personnel 8. Par « personnel » ou « membre du personnel » on entend l’ensemble des employés des entités surveillées, y compris les fonctions clés et la direction autorisée. Les personnes mises à la disposition d’une entité surveillée dans le cadre d’un contrat avec un employeur tiers sont également considérées comme des membres du personnel. 9. Aux fins de la présente circulaire, un membre du personnel qui accomplit ses tâches via le télétravail est un « télétravailleur ». Locaux de l’employeur ou locaux 10. La notion de « locaux de l’employeur » inclut le siège social et tous les autres locaux au Luxembourg utilisés par les entités surveillées, de même que, dans le contexte de succursales, les locaux des succursales des entités surveillées ou des succursales luxembourgeoises des entités. Utilisateurs privilégiés 11. Les utilisateurs privilégiés sont les utilisateurs disposant de droits d’accès leur permettant d’effectuer des opérations sensibles, aussi bien dans le cadre d’opérations de TIC (p. ex. les administrateurs de systèmes) que d’opérations relatives à l'activité. Ces opérations sensibles sont généralement liées à l’exécution d’activités critiques. CIRCULAIRE CSSF 21/769 5/18 Activités critiques 12. Par activités critiques on entend les activités pour lesquelles la survenue d’un problème peut avoir des répercussions significatives sur la capacité de l’entité surveillée de respecter les exigences réglementaires ou même de poursuivre ses activités (p. ex. le traitement des transactions, l’insertion ou le téléchargement des ordres, la validation selon le principe des 4 yeux, l’accès administratif à distance aux systèmes des TIC par l’équipe chargée des TIC, etc.). Direction autorisée 13. Par « direction autorisée » on entend les personnes autorisées par la CSSF chargées de la gestion journalière ou les personnes autorisées par la CSSF qui dirigent de fait les activités d’une entité surveillée. III. Principes généraux 14. Les entités surveillées doivent maintenir, à tout moment, une administration centrale robuste au Luxembourg et une substance suffisante en leurs locaux, afin de permettre une prise en charge rapide des urgences et autres problèmes dont la résolution est liée au facteur temps. Cependant, les entités surveillées peuvent autoriser leur personnel à exécuter des tâches et activités via le télétravail. En principe, tout membre du personnel, indépendamment de sa fonction, peut être autorisé à télétravailler dans les limites définies dans la présente circulaire dans le but de garantir une gouvernance adéquate de l’entité surveillée et conformément au cadre légal et réglementaire relatif au télétravail en vigueur. La présente circulaire ne créé pas de précédent par rapport à des droits ou obligations relatifs à la possibilité de mettre en œuvre des solutions de télétravail pour les entités soumises à la surveillance de la CSSF. De plus, les relations contractuelles entre les entités surveillées et leurs employés sont exclues du champ d’application de la présente circulaire. 15. Chaque entité surveillée devrait évaluer dans quelle mesure elle autorise son personnel à travailler à distance. Cette évaluation devrait tenir compte des risques liés au télétravail et définir les limites dans lesquelles le personnel pourrait être autorisé à effectuer des tâches à distance. En particulier, les entités surveillées de plus petite taille, employant un nombre restreint de personnes, pourraient se voir obligées d’adapter leur organisation interne, compte tenu des exigences liées à leur taille. CIRCULAIRE CSSF 21/769 6/18 16. Le télétravail ne doit, en aucun cas, compromettre le fonctionnement opérationnel régulier d’une entité surveillée. Il doit être suffisamment robuste pour permettre la continuité effective et sécurisée des activités de l’entité et la continuité opérationnelle de l’ensemble des éléments relevant du cadre du contrôle interne de l’entité, sans exception et de manière continue. L’entité surveillée doit protéger, à tout moment, même dans le cadre du télétravail, la confidentialité, l’intégrité et la disponibilité des données et des systèmes d’informations de l’entité. 17. Le télétravail est organisé sous la responsabilité ultime du conseil d’administration de l’entité surveillée ou de toute autre organe représentant l’entité surveillée en vertu de la loi et des documents constitutifs. 18. La mise en œuvre d’une solution de télétravail ne requiert pas d’autorisation de la CSSF. IV. Respect d’autres dispositions légales 19. Le recours au télétravail par les entités surveillées ne peut contrevenir aux dispositions légales relevant des règles d’ordre public et doit, en particulier, respecter les dispositions du Code du travail luxembourgeois. 20. De plus, les entités surveillées doivent tenir compte du fait que les exigences prudentielles relatives à la substance et à l’administration centrale peuvent diverger d’autres dispositions légales, en particulier des lois et règlements en matière fiscale (au niveau national, étranger et international), ainsi que des lois et règlements en matière de droit des sociétés ou relatifs au secret professionnel, à la protection des données et à la sécurité sociale. La CSSF s’attend à ce que les entités surveillées tiennent dûment compte de ces lois lors de la mise en œuvre du télétravail, en particulier dans le cadre de l’exécution du télétravail par les membres du personnel non-résidents. La présente circulaire ne doit pas être interprétée par les entités surveillées de manière à contourner les lois et règlements en vigueur. 21. En outre, chaque entité surveillée est tenue de respecter les règlementations européennes et nationales relatives au libre établissement et à la libre prestation de services lors du recours au télétravail. 22. La présente circulaire ne crée pas de précédent par rapport à des droits ou obligations relatifs à la mise en œuvre du télétravail par les entités soumises à la surveillance de la CSSF. Les relations contractuelles entre les entités surveillées et leurs employés sont exclues du champ d’application de la présente circulaire. CIRCULAIRE CSSF 21/769 7/18 V. Exigences de base 23. Une administration centrale robuste est constituée d’un « centre décisionnel » et d’un « centre administratif », ce qui inclut du personnel suffisant en nombre et disposant des qualifications, des connaissances et de l’expertise nécessaires, ainsi que des infrastructures techniques et administratives nécessaires à l’exercice de ses fonctions ou de ses activités. 24. Afin d’être en conformité avec cette exigence d’administration centrale, les membres du personnel doivent être en mesure de se rendre, dans de brefs délais, dans les locaux de l’entité surveillée en cas de besoin. 25. En ce qui concerne les succursales d’entités surveillées situées en dehors du Luxembourg, il y a lieu de s’assurer que le personnel est en mesure de se rendre dans de brefs délais dans les locaux de la succursale en cas de besoin. 26. Il relève de la responsabilité du conseil d’administration de l’entité surveillée ou de tout autre organe représentant l’entité surveillée en vertu de la loi et des documents constitutifs, de définir, au préalable, l’étendue du télétravail conformément aux lois et règlements applicables, sans qu’il y ait violation des exigences d’administration centrale. 27. Les critères spécifiques de base suivants sont à respecter lors de la mise en œuvre, l’utilisation ou l’extension du télétravail : a. Le nombre de personnes d’une entité surveillée autorisé à télétravailler simultanément doit être en ligne avec les exigences relatives à l’administration centrale. b. La durée du temps de travail normal autorisée dans le cadre du télétravail pour chaque membre du personnel devrait être limitée. c. En principe, au moins un directeur autorisé doit être présent au siège social de l’entité à tout moment. De plus, les fonctions clés doivent être représentées tous les jours en nombre suffisant dans les locaux de l’entité et garantir, en permanence, le fonctionnement adéquat des activités et des contrôles, ainsi qu’un processus de prise de décision approprié. Pour ce faire, les entités surveillées doivent tenir compte de la taille et de l’organisation de l’entité surveillée et de la nature, de l’échelle et de la complexité de ses activités. d. L’entité surveillée doit être en mesure de démontrer que le siège social est à tout moment le « centre décisionnel » faisant partie de l’administration centrale de l’entité surveillée. e. La CSSF rappelle en particulier aux entités surveillées que la continuité des activités critiques doit être assurée. Par conséquent, cet aspect est CIRCULAIRE CSSF 21/769 8/18 à prendre en compte de manière adéquate lors de la mise en œuvre du télétravail et de la politique y relative. i. En ce sens, les entités surveillées doivent s’assurer que les interruptions de télétravail (par exemple les perturbations de connexion) n’entraînent pas de répercussions majeures sur la capacité des entités de poursuivre leurs activités de manière adéquate, rapide et sécurisée. ii. Les entités surveillées sont tenues de prendre toutes les dispositions visant à assurer que les activités critiques puissent être couvertes par un membre du personnel disposant de qualifications et de responsabilité suffisantes en présentiel dans les locaux de l’entité en vue de garantir le fonctionnement adéquat des activités et des contrôles pendant les heures de travail. VI. Dispositif d’organisation interne et de contrôle interne Gestion des risques 28. L’entité surveillée est tenue de procéder à une analyse des risques dans le but d’identifier les risques inhérents à la mise en œuvre du télétravail, en particulier les risques opérationnels, y compris le risque juridique, les risques liés aux technologies de l’information et de la communication (TIC), de compliance et de réputation. 29. Une attention particulière devrait être portée : a. à l’évaluation des aspects liés au droit du travail et au droit fiscal (y compris les questions relatives à l’établissement permanent), ainsi qu’au droit des sociétés et aux exigences relevant du régime de la sécurité sociale ; b. au risque associé au télétravail des utilisateurs privilégiés ; c. au respect du secret professionnel et des exigences en matière de protection des données (par exemple, les circonstances dans lesquelles il est permis que les équipements ou les documents professionnels sortent de l’environnement professionnel sécurisé). 30. Les entités surveillées sont tenues d’assurer la mise en œuvre des contrôles et des mesures d’atténuation nécessaires en vue de maintenir les risques résiduels dans des limites acceptables en fonction de l’appétit au risque des entités. L’identification des risques et la mise en place des mesures d’atténuation devraient être adéquatement formalisées. CIRCULAIRE CSSF 21/769 9/18 31. Les entités surveillées devraient revoir régulièrement leur analyse des risques et l’adéquation des mesures d’atténuation mises en œuvre, tenant compte des leçons tirées, des changements éventuels dans leur organisation, ou leur environnement, de leurs processus de travail ou leur architecture technique relative au télétravail, ainsi que des nouvelles menaces, telles que la cybercriminalité ou les attaques opportunistes dans un contexte de télétravail. Politique relative au télétravail 32. Le conseil d’administration de l’entité surveillée ou tout autre organe représentant l’entité surveillée en vertu de la loi et des documents constitutifs est tenu de définir une politique encadrant le télétravail et les limites dans lesquelles le télétravail est autorisé. Cette politique doit clairement définir : a. les unités opérationnelles ou les départements pour lesquels le recours au télétravail est possible et les activités et/ou les fonctions pouvant être exercées en télétravail ; b. les fonctions et/ou activités des unités opérationnelles ou des départements devant toujours être exercées dans les locaux de l’entité surveillée ; c. le nombre minimum de personnel devant travailler simultanément dans les locaux au Luxembourg au niveau de l’entité et, le cas échéant, au niveau de l’unité opérationnelle ou du département ; d. les heures de travail durant lesquelles le télétravail est autorisé ; e. les procédures de contrôle à mettre en œuvre afin d’être en mesure de contrôler la bonne exécution des tâches accomplies par le personnel en télétravail ; f. le nombre minimum de réunions présentielles devant se tenir au siège social au Luxembourg ; g. les mesures à prendre afin d’assurer que les risques restent maîtrisés, y compris le respect de la réglementation relative à la confidentialité et à la protection des données. 33. La politique doit fixer le cadre opérationnel permettant à la direction autorisée de contrôler le nombre de personnes effectivement en télétravail. 34. Les systèmes d’information d’une entité surveillée et l’environnement de contrôle en vigueur ne peuvent pas être modifiés tant que l’exécution des tâches est autorisée via le télétravail. Les contrôles existants (p. ex. le contrôle selon le principe des 4 yeux), les tableaux de bord (dashboards) et le reporting sont à exécuter de la même façon et à la même fréquence, tel que défini dans les procédures internes existantes de l’entité surveillée. CIRCULAIRE CSSF 21/769 10/18 35. Le conseil d’administration de l’entité surveillée ou tout autre organe représentant l’entité surveillée en vertu de la loi et des documents constitutifs est tenu de revoir la politique relative au télétravail tous les ans, en se basant sur l’analyse des risques actualisée et ses objectifs opérationnels et de gestion. Contrôle du recours au télétravail 36. La CSSF contrôle le respect des obligations découlant de cette circulaire. À cet effet, les entités surveillées sont tenues de conserver les preuves permettant le contrôle du respect des obligations découlant de la politique relative au télétravail (p. ex. l’enregistrement du nom, de la fonction et du département/service pour chaque membre du personnel accomplissant ses tâches via le télétravail). Ces éléments peuvent également permettre de démontrer le respect de ces obligations à des auditeurs indépendants et à la CSSF. L’entité surveillée doit mettre à disposition de la CSSF, à la demande de celle-ci, l’ensemble des preuves justificatives reprises dans la phrase précédente ou les éléments essentiels de celles-ci permettant de démontrer que les présentes obligations ont été respectées, en format électronique exploitable (p.ex. un format de base de données couramment utilisé). L’entité surveillée doit mettre à disposition de la CSSF, à la demande de celle-ci, toutes les informations nécessaires permettant à la CSSF d’effectuer une surveillance effective de l’entité surveillée, y compris, le cas échéant, de la politique relative au télétravail. Contrôles du télétravail par les fonctions de contrôle interne 37. Les fonctions de contrôle interne, telles que (le cas échéant) les fonctions compliance, gestion des risques, y compris la sécurité de l’information (RSSI/CISO) et l’audit interne, sont tenues d’intégrer la révision de la politique relative au télétravail, des flux des processus et du respect des exigences légales et réglementaires dans leur programme de travail pluriannuel respectif, ainsi que, le cas échéant, le compte rendu de tout problème ou de toute constatation en relation avec le télétravail à la CSSF dans leur rapport de synthèse annuel respectif. 38. De plus, tous les ans, les rapports de synthèse annuels doivent indiquer, s’il y a lieu, tout incident opérationnel significatif en relation avec le télétravail qui aurait pu se produire durant l’année. Ces rapports doivent également inclure de brèves statistiques relatives au recours au télétravail durant l’année. CIRCULAIRE CSSF 21/769 11/18 VII. Exigences en matière de risques liés aux TIC et de risques de sécurité 39. En principe, l’ensemble des paragraphes repris sous la présente section s’appliquent à toutes les entités surveillées. Lors de la mise en œuvre de ces obligations, les entités surveillées devraient tenir compte du principe de proportionnalité en prenant en considération la nature, l’échelle et la complexité de leurs activités. Certains risques pourraient requérir des mesures relatives aux TIC et des mesures de sécurité plus élevées ou en permettre de moins élevées que celles décrites dans cette section. Il relève de la responsabilité des entités surveillées de s’assurer que les conditions relatives aux TIC et les conditions de sécurité sur base desquelles elles autorisent le télétravail de leurs employés soient proportionnelles aux risques auxquels les entités surveillées sont ou pourraient être exposées. Politiques et procédures 40. Les procédures de sécurité de l’entité surveillée doivent définir les principes et les règles de haut niveau applicables dans le cadre du télétravail afin de protéger la confidentialité, l’intégrité et la disponibilité des données et des systèmes liés aux TIC de l’entité. Ces principes et ces règles peuvent soit faire partie du document de politique de sécurité général ou être inclus dans le document reprenant la politique relative au télétravail et il y est fait référence, pour les deux cas de figure, par les termes « politique de sécurité relative au télétravail ». La politique de sécurité relative au télétravail doit être alignée aux résultats du processus d’évaluation des risques et approuvée par le conseil d’administration de l’entité surveillée ou de toute autre instance représentant l’entité surveillée en vertu de la loi et des documents constitutifs. 41. La politique de sécurité relative au télétravail doit s’accompagner au niveau opérationnel d’une adaptation des procédures d’utilisation existantes ou d’une intégration dans celles-ci, selon le cas. Les politiques, procédures et documents y relatifs concernant le télétravail sont régulièrement à mettre à jour et à communiquer aux membres du personnel. Sensibilisation aux risques 42. L’entité surveillée est tenue de veiller à ce que tous les membres du personnel soient sensibilisés aux risques et aux meilleures pratiques liés au recours au télétravail (p.ex. par le biais de sessions de formation périodiques, de lettres d’information ou d’autres formes de communication) ainsi qu’aux devoirs et aux responsabilités qui leur incombent en relation avec les politiques et CIRCULAIRE CSSF 21/769 12/18 procédures de sécurité pertinentes en vue de limiter les erreurs humaines, les vols, les fraudes, les abus ou les pertes. 43. Les initiatives et/ou procédures de sensibilisation aux risques et la documentation y relative, reprises ci-avant, doivent couvrir les risques organisationnels et techniques (p.ex. l’ingénierie sociale, les attaques par phishing, etc.) liés au télétravail ainsi que le comportement spécifique à adopter par les télétravailleurs. Droits d’accès 44. L’entité surveillée est tenue de revoir et d’adapter ses procédures de gestion des droits d’accès et les accès octroyés dans le cadre du télétravail en fonction de son évaluation des risques et de sa politique de sécurité relative au télétravail. 45. En particulier, les entités surveillées devraient envisager la nécessité de créer des rôles/profils d’utilisateurs et des droits d’accès dédiés aux situations de télétravail (présentant par exemple des limitations par rapport au travail sur site), tout en préservant le principe de la ségrégation des tâches. 46. Les droits d’accès des télétravailleurs (y compris des fournisseurs de service) devraient être octroyés sur base du principe du « besoin d’en connaître » (need-to-know principle) et être recertifiés au moins annuellement pour les utilisateurs non privilégiés et au moins semestriellement pour les utilisateurs privilégiés. Dispositifs d’accès à distance 47. L’entité surveillée doit s’assurer de garder le contrôle sur la sécurité des dispositifs utilisés par les utilisateurs pour se connecter à distance aux systèmes des TIC de l’entité surveillée. En particulier, l’entité surveillée devrait s’assurer que : a. lorsque les données peuvent être enregistrées sur le dispositif, le support de stockage doit être crypté. Le recours à des infrastructures de bureaux virtuels (Virtual Desktop Infrastructures ou VDI) qui permettent d’éviter l’enregistrement sur le dispositif, est encouragé ; b. les mécanismes de sécurité mis en place par l’entité surveillée ne doivent pas pouvoir être modifiés, supprimés ou contournés par les membres du personnel. 48. Le meilleur moyen pour parvenir au respect des obligations reprises ci-avant est de mettre à disposition des dispositifs appartenant à l’entité, et qui sont entièrement sous le contrôle de l’entité surveillée. CIRCULAIRE CSSF 21/769 13/18 49. La sécurisation des dispositifs privés n’est pas assimilable à celle des dispositifs appartenant à l’entité ; c’est la raison pour laquelle ce genre d’équipement ne devrait être utilisé que pour des activités et des systèmes à faible risque. De plus, les membres du personnel effectuant des activités critiques ne doivent pas utiliser des dispositifs privés pour l’accomplissement de telles activités. Les équipes TIC en particulier ne doivent pas être en mesure d’accéder et de gérer des systèmes des TIC au moyen de dispositifs privés. 50. Une éventuelle utilisation de dispositifs privés doit être considérée avec attention et évaluée au moyen d’une analyse des risques spécifique. Malgré le fait que l’entité surveillée ne soit pas propriétaire du dispositif, elle doit être en mesure de contrôler les données et les applicatifs professionnels qui vont y être traités. Des solutions prévoyant que l’entité surveillée installe un environnement professionnel maîtrisé (container) à l’intérieur de l’environnement privé de l’outil devrait permettre une maîtrise totale de ce container. Des solutions basées sur l’utilisation d’une infrastructure de bureau virtuel (VDI) à partir d’un dispositif privé peuvent être envisagées tant que l’entité surveillée est à même d’atténuer les risques découlant d’un dispositif privé potentiellement compromis. De plus, des tests indépendants doivent être effectués régulièrement afin de prouver que les solutions utilisant des dispositifs privés sont suffisamment sécurisées. 51. Enfin, l’entité surveillée doit s’assurer que les dispositifs appartenant à l’entité ou, le cas échéant, le container professionnel du dispositif privé peuvent être gérés à distance par une solution de gestion centralisée. Infrastructure de télétravail 52. L’entité surveillée est tenue de maintenir un niveau élevé de sécurité et de disponibilité de l’infrastructure de télétravail dans le temps. Dans ce contexte, l’entité surveillée veille à ce que, à tout moment, les diverses composantes fonctionnent correctement, qu’elles soient adéquatement sécurisées et contrôlées de près. 53. L’entité surveillée doit mettre en œuvre des mécanismes lui permettant de détecter des connexions anormales et de les bloquer/générer des alertes y relatives. 54. En particulier, aux fins du point 53, l’entité surveillée doit définir un ensemble de critères et obligations tant relatifs à la sécurité que non relatifs à la sécurité devant être assurés avant de permettre à un télétravailleur d’accéder aux systèmes et données internes, sur base des risques identifiés lors de la CIRCULAIRE CSSF 21/769 14/18 réalisation de l’évaluation des risques. Dans ce contexte, une liste non exhaustive de critères et obligations possibles est reprise ci-après : a. le télétravailleur est correctement authentifié ; b. le dispositif est correctement identifié et authentifié ; c. la localisation à distance du télétravailleur est correctement identifiée ; d. le temps de connexion se situe endéans les plages horaires de travail définies ; e. les composants et mécanismes de sécurité mis en œuvre par l’entité surveillée n’ont pas été modifiés ou contournés par le télétravailleur ou par un pirate informatique, et sont à jour et opérationnels. 55. Afin de pouvoir maintenir l’infrastructure de télétravail dans le temps, l’entité surveillée aura mis en place un processus de gestion du changement robuste, permettant d’assurer que l’infrastructure de télétravail mise en œuvre et le niveau de sécurité ne seront pas compromis en cas de changements. Sécurité des connexions 56. L’entité surveillée doit s’assurer que le transfert des données est sécurisé, c’est-à-dire chiffré, conformément à la classification des données par l’entité et que les protocoles de chiffrement mis en place (p.ex. IPSec, SSL), les algorithmes de chiffrement (p.ex. RSA, AES) ainsi que la taille de la clé de chiffrement choisie respectent les pratiques actuelles de référence. 57. Une authentification à double facteur (2-FA) doit être mise en place lors d’une connexion à distance aux systèmes de l’entité surveillée. 58. Le mécanisme d’authentification mis en place peut être adapté en fonction du type d’opérations effectuées à distance et du profil de l’utilisateur (principe de proportionnalité). 59. En ce qui concerne les activités critiques, les entités surveillées sont censées mettre en place une procédure d'authentification forte à double facteur, dont l’un des facteurs doit être dynamique (p.ex. un OTP). Revue de la sécurité de la chaîne de communication 60. Le fonctionnement correct de la chaîne de communication entre le dispositif à distance et l’infrastructure de la société (par exemple la passerelle d’accès à distance, ou remote access gateway) ainsi que l’efficacité des mesures de sécurité mises en place doivent être revus par une fonction de contrôle de la sécurité indépendante (c.-à-d. le responsable de la sécurité des systèmes d’informations, l’audit interne ou un tiers externe spécialisé) avant la mise en place du télétravail et, par la suite, sur une base régulière. CIRCULAIRE CSSF 21/769 15/18 61. Cette revue doit en particulier confirmer que l’infrastructure mise en place, le positionnement des différentes barrières de sécurité et les mécanismes de sécurité et de prévention de fuites de données appliqués sont correctement conçus, testés, implémentés et configurés. 62. De plus, l’entité surveillée devrait procéder régulièrement à des analyses de vulnérabilité et à des tests d’intrusion, proportionnellement au niveau de risque identifié en relation avec le télétravail. Veille technologique 63. Un solide processus de veille technologique devrait être en place permettant à l’entité surveillée d’être rapidement informée de l’apparition de nouvelles failles de sécurité et d’y appliquer les correctifs nécessaires dans de brefs délais. Une attention particulière est à apporter aux risques liés à l’utilisation de dispositifs privés lorsque leur utilisation est permise. Processus de journalisation (logging) 64. Un processus de journalisation (logging) sain est à mettre en place, afin de permettre aux entités surveillées de s’assurer que toutes les connexions et informations techniques pertinentes relatives au télétravail (y compris le dispositif de connexion utilisé) soient enregistrées à des fins de contrôle de sécurité. 65. Les logs d’accès doivent être sécurisés afin d’en empêcher toute modification ou effacement non autorisé. Le principe de proportionnalité doit être assuré, par exemple la granularité de l’information enregistrée et la période de conservation de l’enregistrement doivent être proportionnels à la criticité de l’opération exécutée par le télétravailleur, sans préjudice des exigences de conservation des données définies par le droit de l’Union européenne et la règlementation nationale. CIRCULAIRE CSSF 21/769 16/18 VIII. Entrée en vigueur, révision et disposition antiabus 66. La présente circulaire entre en vigueur le 30 septembre 20211er juillet 2022, sauf circonstances exceptionnelles telles que définies à la page 2. 67. Sur base de l’expérience tirée du contrôle auquel il est fait référence au point 36, la présente circulaire sera revue au plus tard 12 mois après son entrée en vigueur, afin de remédier à d'éventuels abus ou autres lacunes ou défaillances. Claude WAMPACH Directeur Marco ZWICK Directeur Françoise KAUTHEN Claude MARX Directeur Directeur Général Jean-Pierre FABER Directeur CIRCULAIRE CSSF 21/769 17/18 Commission de Surveillance du Secteur Financier 283, route d’Arlon L-2991 Luxembourg (+352) 26 25 1-1 direction@cssf.lu www.cssf.lu CIRCULAIRE CSSF 21/769 18/18 Circulaire CSSF 21/769 TELLE QUE MODIFIEE PAR LA CIRCULAIRE CSSF 22/804 CIRCULAIRE CSSF 21/769 1/18 Circulaire CSSF 21/769 Concerne : Exigences en matière de gouvernance et de sécurité pour les entités surveillées en vue de l’exécution de tâches ou d’activités via le télétravail Luxembourg, le 31 mars 2022 À toutes les entités surveillées Mesdames, Messieurs, La présente circulaire a pour objet de définir les exigences en matière de gouvernance et de sécurité relatives à la mise en œuvre et à l’utilisation de processus de travail basés sur des solutions de télétravail par les entités soumises à la surveillance de la CSSF. Elle contribue à la gestion saine et prudente et à la bonne organisation de ces entités surveillées, ainsi qu’à la préservation de la sécurité de l’information en fournissant des orientations relatives aux exigences que les entités surveillées sont tenues de respecter. La mise en œuvre, le maintien ou l’extension des solutions de télétravail pour le personnel des entités surveillées ne requièrent pas d’autorisation de la CSSF. La portée de la présente circulaire est limitée aux exigences réglementaires relevant du secteur financier. Les relations contractuelles entre les entités surveillées et leurs employés sont exclues du champ d’application de la présente circulaire. Elle ne créé pas de précédent par rapport à des droits ou obligations relatifs à la mise en œuvre du télétravail par les entités soumises à la surveillance de la CSSF. De plus, la présente circulaire ne porte pas atteinte aux dispositions légales applicables dans le cadre des règles d’ordre public ou du Code du travail luxembourgeois. Elle a uniquement vocation à fournir des orientations supplémentaires relatives aux exigences en matière de gouvernance et de sécurité à respecter lors de la mise en œuvre de solutions de télétravail pour les employés des entités soumises à la surveillance de la CSSF. CIRCULAIRE CSSF 21/769 2/18 SOMMAIRE I. II. III. IV. V. VI. VII. VIII. Champ d’application Définitions Télétravail Personnel ou membre du personnel Locaux de l’employeur ou locaux Utilisateurs privilégiés Activités critiques Direction autorisée Principes généraux Respect d’autres dispositions légales Exigences de base Dispositif d’organisation interne et de contrôle interne Gestion des risques Politique relative au télétravail Contrôle du recours au télétravail Contrôles du télétravail par les fonctions de contrôle interne Exigences en matière de risques liés aux TIC et de risques de sécurité Politiques et procédures Sensibilisation aux risques Droits d’accès Dispositifs d’accès à distance Infrastructure de télétravail Sécurité des connexions Revue de la sécurité de la chaîne de communication Veille technologique Processus de journalisation (logging) Entrée en vigueur, révision et disposition anti-abus CIRCULAIRE CSSF 21/769 4 4 4 5 5 5 6 6 6 7 8 9 9 10 11 11 12 12 12 13 13 14 15 15 16 16 17 3/18 I. Champ d’application 1. La présente circulaire s’applique à toutes les entités surveillées, ci-après dénommées collectivement « entités surveillées » ou individuellement « entité surveillée », y compris leurs succursales au Luxembourg ou à l’étranger, dans la mesure où le télétravail est autorisé dans les pays d’établissement des succursales et que ces dernières se conforment aux réglementations nationales. Dans ce contexte, les exigences spécifiques définies dans la présente circulaire font office de normes minimales à adopter par les succursales des entités surveillées. 2. La présente circulaire luxembourgeoises d’entités s’applique également aux succursales originaires d’un hors de pays l’Espace économique européen. 3. Les succursales luxembourgeoises d’entités originaires d’un État membre de l’Espace économique européen peuvent également avoir recours au télétravail conformément aux exigences prévues dans cette circulaire, si le recours au télétravail est autorisé dans leur pays d’origine. Les succursales en question et leur siège social doivent s’assurer que le recours au télétravail par les succursales basées au Luxembourg est également conforme à toutes les règles et réglementations nationales applicables dans l’État membre d’origine. II. Définitions Télétravail 4. Le télétravail est une forme d'organisation et/ou de réalisation du travail, utilisant les technologies de l’information et de la communication (TIC) dans le cadre d’un contrat de travail autorisant que le travail qui aurait normalement été réalisé dans les locaux de l’employeur soit effectué hors des locaux de l’employeur. 5. Les critères cumulatifs suivants doivent être respectés pour qu’une relation de travail puisse être qualifiée de télétravail : a. le travail doit être exécuté au moyen de technologies de l’information et de la communication sur la base d’un accord préalable de l’employeur ; b. le travail doit être effectué sur une base régulière ou occasionnelle et volontaire, et dans le cadre d’heures de travail définies, en un lieu prédéterminé qui est différent des locaux de l’employeur. Les entités surveillées sont tenues de mettre en place des règles définissant le(
6. s)lieu(
7. x)à partir duquel(desquels) le télétravail est autorisé. Ces règles sont à consigner par écrit et à respecter. CIRCULAIRE CSSF 21/769 4/18 6. Il est à noter que d’autres formes d’accès à distance par les membres du personnel des entités surveillées (c’est-à-dire dans le cadre de voyages professionnels, par exemple par des gestionnaires de relation client lors de la participation à des conférences ou à des formations professionnelles), de même que les connexions depuis les locaux de l’employeur à des systèmes non hébergés au sein des locaux de l’employeur ne sont pas inclus dans le champ d’application de la présente circulaire. 7. Afin de lever toute ambiguïté, toute tâche effectuée par les membres du personnel des entités surveillées sur un site autre que les locaux de l’employeur dans le cadre de l’activation d’un plan de rétablissement après sinistre (Disaster Recovery Plan, DRP) ou d’un plan de continuité des activités (Business Continuity Plan, BCP) n’est pas considérée comme du télétravail et ne relève, par conséquent, pas du champ d’application de la présente circulaire. Personnel ou membre du personnel 8. Par « personnel » ou « membre du personnel » on entend l’ensemble des employés des entités surveillées, y compris les fonctions clés et la direction autorisée. Les personnes mises à la disposition d’une entité surveillée dans le cadre d’un contrat avec un employeur tiers sont également considérées comme des membres du personnel. 9. Aux fins de la présente circulaire, un membre du personnel qui accomplit ses tâches via le télétravail est un « télétravailleur ». Locaux de l’employeur ou locaux 10. La notion de « locaux de l’employeur » inclut le siège social et tous les autres locaux au Luxembourg utilisés par les entités surveillées, de même que, dans le contexte de succursales, les locaux des succursales des entités surveillées ou des succursales luxembourgeoises des entités. Utilisateurs privilégiés 11. Les utilisateurs privilégiés sont les utilisateurs disposant de droits d’accès leur permettant d’effectuer des opérations sensibles, aussi bien dans le cadre d’opérations de TIC (p. ex. les administrateurs de systèmes) que d’opérations relatives à l'activité. Ces opérations sensibles sont généralement liées à l’exécution d’activités critiques. CIRCULAIRE CSSF 21/769 5/18 Activités critiques 12. Par activités critiques on entend les activités pour lesquelles la survenue d’un problème peut avoir des répercussions significatives sur la capacité de l’entité surveillée de respecter les exigences réglementaires ou même de poursuivre ses activités (p. ex. le traitement des transactions, l’insertion ou le téléchargement des ordres, la validation selon le principe des 4 yeux, l’accès administratif à distance aux systèmes des TIC par l’équipe chargée des TIC, etc.). Direction autorisée 13. Par « direction autorisée » on entend les personnes autorisées par la CSSF chargées de la gestion journalière ou les personnes autorisées par la CSSF qui dirigent de fait les activités d’une entité surveillée. III. Principes généraux 14. Les entités surveillées doivent maintenir, à tout moment, une administration centrale robuste au Luxembourg et une substance suffisante en leurs locaux, afin de permettre une prise en charge rapide des urgences et autres problèmes dont la résolution est liée au facteur temps. Cependant, les entités surveillées peuvent autoriser leur personnel à exécuter des tâches et activités via le télétravail. En principe, tout membre du personnel, indépendamment de sa fonction, peut être autorisé à télétravailler dans les limites définies dans la présente circulaire dans le but de garantir une gouvernance adéquate de l’entité surveillée et conformément au cadre légal et réglementaire relatif au télétravail en vigueur. La présente circulaire ne créé pas de précédent par rapport à des droits ou obligations relatifs à la possibilité de mettre en œuvre des solutions de télétravail pour les entités soumises à la surveillance de la CSSF. De plus, les relations contractuelles entre les entités surveillées et leurs employés sont exclues du champ d’application de la présente circulaire. 15. Chaque entité surveillée devrait évaluer dans quelle mesure elle autorise son personnel à travailler à distance. Cette évaluation devrait tenir compte des risques liés au télétravail et définir les limites dans lesquelles le personnel pourrait être autorisé à effectuer des tâches à distance. En particulier, les entités surveillées de plus petite taille, employant un nombre restreint de personnes, pourraient se voir obligées d’adapter leur organisation interne, compte tenu des exigences liées à leur taille. CIRCULAIRE CSSF 21/769 6/18 16. Le télétravail ne doit, en aucun cas, compromettre le fonctionnement opérationnel régulier d’une entité surveillée. Il doit être suffisamment robuste pour permettre la continuité effective et sécurisée des activités de l’entité et la continuité opérationnelle de l’ensemble des éléments relevant du cadre du contrôle interne de l’entité, sans exception et de manière continue. L’entité surveillée doit protéger, à tout moment, même dans le cadre du télétravail, la confidentialité, l’intégrité et la disponibilité des données et des systèmes d’informations de l’entité. 17. Le télétravail est organisé sous la responsabilité ultime du conseil d’administration de l’entité surveillée ou de toute autre organe représentant l’entité surveillée en vertu de la loi et des documents constitutifs. 18. La mise en œuvre d’une solution de télétravail ne requiert pas d’autorisation de la CSSF. IV. Respect d’autres dispositions légales 19. Le recours au télétravail par les entités surveillées ne peut contrevenir aux dispositions légales relevant des règles d’ordre public et doit, en particulier, respecter les dispositions du Code du travail luxembourgeois. 20. De plus, les entités surveillées doivent tenir compte du fait que les exigences prudentielles relatives à la substance et à l’administration centrale peuvent diverger d’autres dispositions légales, en particulier des lois et règlements en matière fiscale (au niveau national, étranger et international), ainsi que des lois et règlements en matière de droit des sociétés ou relatifs au secret professionnel, à la protection des données et à la sécurité sociale. La CSSF s’attend à ce que les entités surveillées tiennent dûment compte de ces lois lors de la mise en œuvre du télétravail, en particulier dans le cadre de l’exécution du télétravail par les membres du personnel non-résidents. La présente circulaire ne doit pas être interprétée par les entités surveillées de manière à contourner les lois et règlements en vigueur. 21. En outre, chaque entité surveillée est tenue de respecter les règlementations européennes et nationales relatives au libre établissement et à la libre prestation de services lors du recours au télétravail. 22. La présente circulaire ne crée pas de précédent par rapport à des droits ou obligations relatifs à la mise en œuvre du télétravail par les entités soumises à la surveillance de la CSSF. Les relations contractuelles entre les entités surveillées et leurs employés sont exclues du champ d’application de la présente circulaire. CIRCULAIRE CSSF 21/769 7/18 V. Exigences de base 23. Une administration centrale robuste est constituée d’un « centre décisionnel » et d’un « centre administratif », ce qui inclut du personnel suffisant en nombre et disposant des qualifications, des connaissances et de l’expertise nécessaires, ainsi que des infrastructures techniques et administratives nécessaires à l’exercice de ses fonctions ou de ses activités. 24. Afin d’être en conformité avec cette exigence d’administration centrale, les membres du personnel doivent être en mesure de se rendre, dans de brefs délais, dans les locaux de l’entité surveillée en cas de besoin. 25. En ce qui concerne les succursales d’entités surveillées situées en dehors du Luxembourg, il y a lieu de s’assurer que le personnel est en mesure de se rendre dans de brefs délais dans les locaux de la succursale en cas de besoin. 26. Il relève de la responsabilité du conseil d’administration de l’entité surveillée ou de tout autre organe représentant l’entité surveillée en vertu de la loi et des documents constitutifs, de définir, au préalable, l’étendue du télétravail conformément aux lois et règlements applicables, sans qu’il y ait violation des exigences d’administration centrale. 27. Les critères spécifiques de base suivants sont à respecter lors de la mise en œuvre, l’utilisation ou l’extension du télétravail : a. Le nombre de personnes d’une entité surveillée autorisé à télétravailler simultanément doit être en ligne avec les exigences relatives à l’administration centrale. b. La durée du temps de travail normal autorisée dans le cadre du télétravail pour chaque membre du personnel devrait être limitée. c. En principe, au moins un directeur autorisé doit être présent au siège social de l’entité à tout moment. De plus, les fonctions clés doivent être représentées tous les jours en nombre suffisant dans les locaux de l’entité et garantir, en permanence, le fonctionnement adéquat des activités et des contrôles, ainsi qu’un processus de prise de décision approprié. Pour ce faire, les entités surveillées doivent tenir compte de la taille et de l’organisation de l’entité surveillée et de la nature, de l’échelle et de la complexité de ses activités. d. L’entité surveillée doit être en mesure de démontrer que le siège social est à tout moment le « centre décisionnel » faisant partie de l’administration centrale de l’entité surveillée. e. La CSSF rappelle en particulier aux entités surveillées que la continuité des activités critiques doit être assurée. Par conséquent, cet aspect est CIRCULAIRE CSSF 21/769 8/18 à prendre en compte de manière adéquate lors de la mise en œuvre du télétravail et de la politique y relative. i. En ce sens, les entités surveillées doivent s’assurer que les interruptions de télétravail (par exemple les perturbations de connexion) n’entraînent pas de répercussions majeures sur la capacité des entités de poursuivre leurs activités de manière adéquate, rapide et sécurisée. ii. Les entités surveillées sont tenues de prendre toutes les dispositions visant à assurer que les activités critiques puissent être couvertes par un membre du personnel disposant de qualifications et de responsabilité suffisantes en présentiel dans les locaux de l’entité en vue de garantir le fonctionnement adéquat des activités et des contrôles pendant les heures de travail. VI. Dispositif d’organisation interne et de contrôle interne Gestion des risques 28. L’entité surveillée est tenue de procéder à une analyse des risques dans le but d’identifier les risques inhérents à la mise en œuvre du télétravail, en particulier les risques opérationnels, y compris le risque juridique, les risques liés aux technologies de l’information et de la communication (TIC), de compliance et de réputation. 29. Une attention particulière devrait être portée : a. à l’évaluation des aspects liés au droit du travail et au droit fiscal (y compris les questions relatives à l’établissement permanent), ainsi qu’au droit des sociétés et aux exigences relevant du régime de la sécurité sociale ; b. au risque associé au télétravail des utilisateurs privilégiés ; c. au respect du secret professionnel et des exigences en matière de protection des données (par exemple, les circonstances dans lesquelles il est permis que les équipements ou les documents professionnels sortent de l’environnement professionnel sécurisé). 30. Les entités surveillées sont tenues d’assurer la mise en œuvre des contrôles et des mesures d’atténuation nécessaires en vue de maintenir les risques résiduels dans des limites acceptables en fonction de l’appétit au risque des entités. L’identification des risques et la mise en place des mesures d’atténuation devraient être adéquatement formalisées. CIRCULAIRE CSSF 21/769 9/18 31. Les entités surveillées dev