Obsah (5)

Article 105-1Article 2Article 74Article 3Article 1

Published on 9 April 2025 Email this Share this on LinkedIn Share this on Facebook Communiqué Update

several CSSF circulars related to ICT risk management and use

ICT third parties / ICT outsourcing The CSSF is hereby informing all supervised entities

important updates concerning the provisions

several CSSF circulars, following the entry into application

DORA1. It must be noted that the updates not only concern entities falling in the scope

DORA and supervised by the CSSF2 (“DORA entities”), but also other entities supervised by the CSSF (“non-DORA entities”). As Circular CSSF 20/750 on ICT and security risk management and Circular CSSF 22/806 on outsourcing arrangements were overlapping partially or entirely with DORA regulation, these updates were necessary to provide enhanced clarity and transparency to the market. 1. ICT and security risk management: Update

Circular CSSF 20/750 on ICT and security risk management and publication

a new circular DORA has introduced, inter alia, harmonised requirements for information and communication technology (ICT) risk management framework. With a view to reducing the overlap with the DORA regulation, the European Banking Authority (“EBA”) reviewed its existing Guidelines on ICT and security risk management EBA/GL/2019/04 (“old EBA Guidelines”) and decided that an amendment was needed. Consequently, the EBA issued EBA GL/2025/02 amending EBA GL/2019/04 on ICT and security risk management (“new EBA Guidelines”). The CSSF decided to adopt these new guidelines which are addressed only to Payment Service Providers (“PSPs”), and to add to this implementation the reporting requirement

Article 105-1

the Law

10 November 2009 on payment services (“LPS”) for PSPs. On the other hand, the requirements

Circular CSSF 20/750 which were also applicable to non-DORA entities, remain applicable to them. To provide a coherent update, the CSSF has taken the approach to publish a new circular transposing the new EBA Guidelines and update Circular CSSF 20/750 as depicted below: 9 April 2025 Circular CSSF 25/880 on relationship management

payment service users and PSP ICT assessment CSSF circular PDF (181.94Kb) PDF (132.54Kb) 9 April 2025 Circular CSSF 25/881 amending Circular CSSF 20/750 on requirements regarding information and communication technology (ICT) and security risk management CSSF circular PDF (425.02Kb) PDF (380.9Kb) 25 August 2020 - Updated on 9 April 2025 Circular CSSF 20/750 (as amended by Circulars CSSF 22/828 and 25/881) Requirements regarding information and communication technology (ICT) and security risk management Contact: Questions and comments regarding the “PSP ICT Assessment” form: pspictassessment@cssf.lu CSSF circular PDF (293.42Kb) PDF (239.88Kb) 2. Use

ICT third-party services: Update

Circular CSSF 22/806 on outsourcing arrangements and publication

a new circular DORA has introduced harmonised requirements on the use

ICT third-party services, including ICT outsourcing services, which are also in the scope

Circular CSSF 22/806 on outsourcing. In order to remove this overlap, the CSSF has decided to: Amend Circular CSSF 22/806 on outsourcing arrangements regarding the provisions related to ICT outsourcing3, which are largely replaced by the DORA provisions on ICT third-party risk management: The scope

application has been modified and the amended Circular CSSF 22/806 will: be applicable to DORA entities only for business process outsourcing. The ICT outsourcing requirements are repealed as they are now covered by the DORA provisions on ICT third-party risk management and a new circular, as explained under point 2 below. remain fully applicable to non-DORA entities for business process outsourcing and ICT outsourcing. remain applicable, for ICT outsourcing, to management companies authorised only under Article 125-1

Chapter 16

the Law

17 December 2010 relating to undertakings for collective investment. The requirement

specific contractual clauses for cloud computing service providers (contract subject to the law

one

the Member States

the EEA and a resilience

the cloud computing services provided in the EEA) have been repealed to align the requirements between non-DORA and DORA entities. Create a new Circular CSSF 25/882 on requirements on the use

ICT third-party services for DORA entities, which contain practical modalities regarding the reporting obligations for new critical or important ICT third party arrangements and for the register

information, as well a as a specific chapter on the use

ICT services which retains some elements from Circular CSSF 22/806 that are not covered in DORA but are still relevant and necessary to confirm to entities. The approach can be depicted as follows: 9 April 2025 Circular CSSF 25/882 on requirements on the use

ICT third-party services for Financial Entities subject to the Digital Operational Resilience Act (DORA) CSSF circular PDF (229.95Kb) PDF (261.02Kb) 9 April 2025 Circular CSSF 25/883 amending Circular CSSF 22/806 on outsourcing arrangements CSSF circular PDF (813.95Kb) PDF (827.56Kb) 22 April 2022 - Updated on 9 April 2025 Circular CSSF 22/806 (as amended by Circular CSSF 25/883) on outsourcing arrangements Link to the communiqué

1 July 2022 CSSF circular PDF (736.05Kb) PDF (655.28Kb) For any further questions please contact: ictrisksupervision@cssf.lu. Please note that the web pages ICT Risk and Digital Operational Resilience Act (DORA) are currently under review and will be updated shortly. The update will include a mapping

these circulars. 1 Regulation (EU) 2022/2554

the European Parliament and

the Council

14 December 2022 on digital operational resilience for the financial sector 2 financial entities defined in Article 2

Article 2

Regulation (EU) 2022/2554 3 The EBA is reviewing EBA GL on outsourcing arrangements (EBA/GL/2019/02). The CSSF will consider future changes

the provisions related to non-ICT outsourcing arrangements

Circular CSSF 22/806 once the EBA published amended or new guidelines following their review. Main topic: ICT and cyber risk – for DORA entities Relevant for Management companies - Chapter 16 Payment institutions Specialised PFS Support PFS Circulaire CSSF 25/880 sur la gestion des relations avec les utilisateurs de services de paiement et l’évaluation des TIC des PSP En cas de divergences entre les textes français et anglais, le texte anglais prévaut. Circulaire CSSF 25/880 sur la gestion des relations avec les utilisateurs de services de paiement et l’évaluation des TIC des PSP À tous les prestataires de services de paiement au sens de l’article 1er, point 37), de la loi du 10 novembre 2009 relative aux services de paiement Luxembourg, le 9 avril 2025 Mesdames, Messieurs, Depuis le 17 janvier 2025, les dispositions du règlement sur la résilience opérationnelle numérique 1 (« règlement DORA ») sont applicables aux entités financières, telles que définies dans le règlement DORA et surveillées par la CSSF. Le règlement DORA a introduit notamment des exigences harmonisées pour le cadre de gestion du risque lié aux technologies de l’information et de la communication (TIC). Afin de réduire le chevauchement avec le règlement DORA, l’Autorité bancaire européenne (« EBA ») a procédé à une revue de ses orientations existantes sur la gestion des risques liés aux TIC et à la sécurité, EBA/GL/2019/04 (« Orientations de l’EBA »), qui reposent sur les dispositions de l’article 74 de la directive 2013/36/UE (« directive CRD ») 2 et de l’article 95, paragraphe 3, de la directive (UE) 2015/2366 (la directive concernant les services de paiement 2, « directive PSD2 »)

1. Les Orientations de l’EBA sont mises en œuvre au Luxembourg par le biais de la circulaire CSSF 20/750 en matière de gestion des risques liés aux TIC et à la sécurité. L’EBA est arrivée à la conclusion que le périmètre des entités soumises aux Orientations de l’EBA devrait être restreint et que le champ d’application des orientations devrait être réduit à l’Orientation 1.8 4 sur la gestion des relations avec les utilisateurs de services de paiement en rapport avec la prestation de services de paiement. À cette fin, l’EBA a émis les orientations EBA/GL/2025/02 modifiant les orientations EBA/GL/2019/04 sur la gestion des risques liés aux TIC et à la sécurité (« nouvelles Orientations de l’EBA »). L’EBA a, en outre, expliqué que les autorités nationales compétentes ont la possibilité de soumettre les prestataires de services de paiement (« PSP »), qui ne sont pas couverts par le règlement DORA, à des exigences nationales, indépendamment de l’existence d’orientations de l’EBA
2. La présente circulaire met en œuvre les nouvelles Orientations de l’EBA qui s’appliqueront à tous les PSP, y compris aux succursales au Luxembourg de PSP ayant leur siège social dans un pays tiers, à POST Luxembourg, qui entrent dans le champ d’application de la loi du 10 novembre 2009 relative aux services de paiement (« LSP ») et qui sont surveillés par la CSSF. Par ailleurs, l’exigence 1 Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 (règlement DORA) 2 https://eur-lex.europa.eu/eli/dir/2013/36/oj/fra Directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) n° 1093/2010, et abrogeant la directive 2007/64/CE (JO L 337 du 23.12.2015, p. 35–127) (directive PSD2) 3 4 Correspond à l’orientation 3.8 des Orientations de l’EBA en anglais. 5 EBA/GL/2025/02 et communiqué de presse correspondant (uniquement en anglais) CIRCULAIRE CSSF 25/880 2/6 nationale supplémentaire en vigueur pour le reporting annuel de l’évaluation des risques en relation avec les services de paiement (« évaluation des TIC des PSP »), qui faisait partie précédemment de la circulaire CSSF 20/750, a été intégrée dans la présente circulaire. La présente circulaire est divisée en trois chapitres : • Chapitre 1 met en œuvre les orientations de l’EBA EBA/GL/2025/02 modifiant les orientations EBA/GL/2019/04 sur la gestion des risques liés aux TIC et à la sécurité. La CSSF estime que le contenu de ces orientations reflète ses attentes concernant la gestion des relations avec les utilisateurs de services de paiement et les a, par le biais de la présente circulaire, intégré dans sa pratique administrative et dans son approche réglementaire ; • Chapitre 2 énonce les exigences en matière d’évaluation des TIC des PSP, selon lesquelles les PSP sont invités à fournir à la CSSF une évaluation des TIC des PSP actualisée et exhaustive. Sur ce point, aucun changement n’intervient avec l’entrée en application du règlement DORA et les PSP sont tenus de continuer à respecter les exigences indiquées aux points 8 à 11 de la présente circulaire ; • Chapitre 3 prévoit l’entrée en vigueur de la présente circulaire. CIRCULAIRE CSSF 25/880 3/6 TABLE DES MATIÈRES Chapitre
3. La gestion des relations avec les utilisateurs de services de paiement (« USP ») ... 5 Chapitre
4. Évaluation des TIC des PSP (« PSP ICT Assessment ») ....................................... 5 Chapitre
5. Date d’application ......................................................................................... 6 CIRCULAIRE CSSF 25/880 4/6 Chapitre
6. La gestion des relations avec les utilisateurs de services de paiement (« USP ») 6
7. Les PSP devraient établir et mettre en œuvre des processus permettant de renforcer la sensibilisation des USP aux risques de sécurité liés aux services de paiement, en leur fournissant de l’assistance et des lignes directrices.
8. L’assistance et les lignes directrices fournies aux USP devraient être mises à jour en fonction des nouvelles menaces et vulnérabilités, et les changements devraient être communiqués aux USP.
9. Lorsque la fonctionnalité des produits le permet, les PSP devraient permettre aux USP de désactiver les fonctionnalités de paiement spécifiques aux services de paiement fournis par le PSP à l’USP.
10. Lorsque, conformément à l’article 82, paragraphe 1, de la LSP, un PSP a convenu avec le payeur des limites de dépenses pour les opérations de paiement exécutées au moyen d’instruments spécifiques de paiement, le PSP devrait donner au payeur la possibilité d’ajuster ces limites à hauteur de la limite maximale convenue.
11. Les PSP devraient

frir aux USP la possibilité de recevoir des alertes lors de tentatives initiées et/ou ratées d’initier des opérations de paiement, de manière à leur permettre de détecter toute utilisation frauduleuse ou malveillante de leurs comptes.

1. Les PSP devraient tenir les USP informés des mises à jour des procédures de sécurité ayant une incidence sur les USP s’agissant de la prestation de services de paiement.
2. Les PSP devraient fournir aux USP l’aide nécessaire pour toute question, demande de soutien et notification d’anomalies ou tout problème de sécurité relatifs aux services de paiement. Les USP devraient être correctement informés de la manière dont ils peuvent obtenir cette aide. Chapitre
3. Évaluation des TIC des PSP (« PSP ICT Assessment »)
4. Conformément à l’article 105-1, paragraphe 2, de la LSP, les PSP ont l’obligation de fournir à la CSSF une évaluation des risques à jour et exhaustive en matière de services de paiement (ci-après « PSP ICT Assessment »). La CSSF a développé un formulaire standardisé pour le PSP ICT Assessment à utiliser par tous les PSP. L’objectif de ce formulaire standardisé du PSP ICT Assessment est de mettre à la disposition des PSP des lignes directrices sur les attentes de la CSSF par rapport aux informations à fournir par le biais du PSP ICT Assessment, et ainsi atteindre un certain degré d’harmonisation et de comparabilité entre les différents PSP ICT Assessments.
5. En ce qui concerne le champ d’application du PSP ICT Assessment, il est à noter que : a) Les établissements dont le modèle d’affaires n’inclut pas la prestation de services de paiement (tels que définis à l’article 1er, point 38), de la LSP), n’ont pas à fournir de PSP ICT Assessment. À partir du moment où le modèle d’affaires d’un établissement 6 Tels que définis à l’article 1er, point 46), de la LSP CIRCULAIRE CSSF 25/880 5/6 comprend la prestation de services de paiement, l’établissement doit soumettre à la CSSF, pour l’année civile en question, un PSP ICT Assessment. b) Les succursales originaires d’un État membre de l’EEE établies au Luxembourg, qui

frent des services de paiement, n’ont pas à fournir de PSP ICT Assessment à la CSSF. Par contre, les PSP luxembourgeois qui ont établi des succursales dans d’autres pays de l’EEE et qui fournissent des services de paiement, doivent inclure ces succursales dans leur PSP ICT Assessment. Dans le cas de figure où l’évaluation des risques liés aux TIC et à la sécurité pour ces succursales s’écarte de celle du PSP, ceci est à préciser dans le PSP ICT Assessment

2. Tous les PSP doivent soumettre le formulaire PSP ICT Assessment, dûment complété, à la CSSF sur une base annuelle, au plus tard le 31 mars de chaque année et couvrant l’année civile précédente.
3. Le formulaire PSP ICT Assessment est disponible sur le portail eDesk de la CSSF à l’adresse suivante : https://edesk.apps.cssf.lu/. Le PSP ICT Assessment doit être validé par l’organe de direction du PSP, c’est-à-dire au moins par le membre de l’organe de direction responsable de la fonction TIC. Cette validation est à préciser dans la section du PSP ICT Assessment y relative. Le PSP ICT Assessment, dûment complété et validé, doit être soumis sur une base annuelle par un membre de l’organe de direction à la CSSF exclusivement par le portail eDesk de la CSSF. Chapitre
4. Date d’application
5. La présente circulaire s’applique avec effet immédiat. Claude WAMPACH Directeur Françoise KAUTHEN Directeur 7 Marco ZWICK Directeur Jean-Pierre FABER Directeur Claude MARX Directeur général Cf. Questions/réponses de l’EBA n° 2018_4176 CIRCULAIRE CSSF 25/880 6/6 Circular CSSF 25/880 on relationship management

payment service users and PSP ICT assessment Circular CSSF 25/880 on relationship management

payment service users and PSP ICT assessment To all Payment Service Providers as referred to in Article 1

the Law

10 November 2009 on payment services (LPS). Luxembourg, 9 April 2025 Ladies and Gentlemen, As

17 January 2025, the provisions

the Digital Operational Resilience Act 1 (“DORA”) are applicable to the financial entities as defined in DORA and supervised by the CSSF. DORA has introduced, inter alia, harmonised requirements for information and communication technology (ICT) risk management framework. In view

reducing the overlap with the DORA regulation, the European Banking Authority (“EBA”) reviewed its existing Guidelines on ICT and security risk management EBA/GL/2019/04 (the “EBA Guidelines”), which were built on the provisions

Article 74

Directive 2013/36/EU (“CRD”) 2 and Article 95

Directive (EU) 2015/2366 (Payment Services Directive 2, “PSD2”) 3. The EBA Guidelines are implemented in Luxembourg by way

Circular CSSF 20/750 on ICT and security risk management. The EBA arrived at the view that the entities subject to the EBA Guidelines should be narrowed down and the scope

the Guidelines reduced to Guideline 3.8 on relationship management

the payment service users in relation to the provision

payment services. To do so, the EBA issued EBA/GL/2025/02 amending EBA/GL/2019/04 on ICT and security risk management (“new EBA Guidelines”). The EBA further explained that National Competent Authorities have the possibility to subject Payment Service Providers (“PSPs”) that are not covered by DORA to national requirements irrespective

the existence or not

EBA Guidelines 4. This circular transposes the new EBA Guidelines, which will be applicable for all PSPs, including branches in Luxembourg

PSPs incorporated in a third country, and POST Luxembourg, within the scope

the Law

10 November 2009 on payment services (LPS) and supervised by the CSSF. Furthermore, the existing additional national requirement for annual reporting

the risk assessment related to payment services (PSP ICT assessment), which was previously part

Circular CSSF 20/750 is integrated into this circular. Regulation (EU) 2022/2554

the European Parliament and

the Council

14 December 2022 on digital operational resilience for the financial sector and amending Regulations (EC) No 1060/2009, (EU) No 648/2012, (EU) No 600/2014, (EU) No 909/2014 and (EU) 2016/1011 (DORA) 1 2 https://eur-lex.europa.eu/eli/dir/2013/36/oj/eng 3 Directive (EU) 2015/2366

the European Parliament and

the Council

25 November 2015 on payment services in the internal market, amending Directives 2002/65/EC, 2009/110/EC and 2013/36/EU and Regulation (EU) No 1093/2010, and repealing Directive 2007/64/EC (OJ L 337, 23.12.2015, p. 35–127) (PSD2) 4 EBA/GL/2025/02 and corresponding press release CIRCULAR CSSF 25/880 2/6 This circular is divided into three chapters: • Chapter 1 implements the EBA Guidelines EBA/GL/2025/02 amending Guidelines EBA/GL/2019/04 on ICT and security risk management. The CSSF considers that the content

these Guidelines reflects its expectations as regards the relationship management

the payment service user and has, via this circular, integrated them into its administrative practice and regulatory approach; • Chapter 2 lists the requirements on PSP ICT assessment, according to which PSPs are asked to provide the CSSF with an updated and comprehensive PSP ICT assessment. This has not changed with the entry into application

DORA and PSPs shall continue to fulfil the requirements stated under points 8 to 11

this circular; • Chapter3 provides for the entry into force

this circular. CIRCULAR CSSF 25/880 3/6 TABLE

CONTENTS Chapter 1. Relationship management

the payment service users (PSUs) .......................... 5 Chapter

1. PSP ICT assessment ...................................................................................... 5 Chapter
2. Date

application ........................................................................................ 6 CIRCULAR CSSF 25/880 4/6 Chapter 1. Relationship management

the payment service users (PSUs) 5 1. PSPs should establish and implement processes to enhance PSUs’ awareness

the security risks linked to the payment services by providing PSUs with assistance and guidance. 2. The assistance and guidance

fered to PSUs should be updated in the light

new threats and vulnerabilities, and changes should be communicated to the PSU. 3. Where product functionality permits, PSPs should allow PSUs to disable specific payment functionalities related to the payment services

fered by the PSP to the PSU. 4. Where, in accordance with Article 82

the LPS, a PSP has agreed with the payer spending limits for payment transactions executed through specific payment instruments, the PSP should provide the payer with the option to adjust these limits up to the maximum agreed limit. 5. PSPs should provide PSUs with the option to receive alerts on initiated and/or failed attempts to initiate payment transactions, enabling them to detect fraudulent or malicious use

their accounts. 6. PSPs should keep PSUs informed about updates in security procedures that affect PSUs regarding the provision

payment services. 7. PSPs should provide PSUs with assistance on all questions, requests for support and notifications

anomalies or issues regarding security matters related to payment services. PSUs should be appropriately informed about how such assistance can be obtained. Chapter 2. PSP ICT assessment 8. In accordance with Article 105-1

the LPS, PSPs are required to provide the CSSF with an updated and comprehensive risk assessment related to payment services (hereafter “PSP ICT Assessment”). The CSSF has developed a standardised form for the PSP ICT Assessment to be used by all PSPs. The objective

this standardised PSP ICT Assessment form is to give guidance to the PSPs on the CSSF's expectations on the information to be provided via the PSP ICT Assessment, and hence achieve a certain level

harmonisation and comparability among the PSPs' ICT Assessments. 9. Concerning the scope

the PSP ICT Assessment, the following is to be highlighted: a) Institutions whose business model does not include the provision

payment services (as defined in article 1

the LPS), do not have to provide the PSP ICT Assessment. As soon as the business model

an institution includes the provision

payment services, it shall submit a PSP ICT Assessment to the CSSF for that calendar year. b) EEA Branches established in Luxembourg which

fer payment services do not have to provide the CSSF with a PSP ICT Assessment. On the other hand, Luxembourg-based PSPs with branches in other EEA countries which provide payment services, have to include those branches in their PSP ICT Assessment. In the event the ICT and security 5 As defined in Article 1

the LPS CIRCULAR CSSF 25/880 5/6 risk assessment for these branches deviates from that

the PSP, it should be made clear in the PSP ICT Assessment

2. All PSPs must submit the duly completed PSP ICT Assessment form on an annual basis to the CSSF no later than 31 March each year and covering the previous calendar year.
3. The PSP ICT Assessment form is published in the CSSF’s eDesk portal which is available at https://edesk.apps.cssf.lu/. The PSP ICT Assessment shall be validated by the Management body

the PSP, i.e. at least by the member

the Management body responsible for the ICT function. This validation shall be specified in the respective section

the PSP ICT Assessment. The duly completed and validated PSP ICT Assessment shall be submitted annually by a member

the management body to the CSSF exclusively via the CSSF’s eDesk portal. Chapter 3. Date

application 12. This circular shall apply with immediate effect. Claude WAMPACH Director Françoise KAUTHEN Director 6 Marco ZWICK Director Jean-Pierre FABER Director Claude MARX Director General See EBA Q&A ID number 2018_4176 CIRCULAR CSSF 25/880 6/6 Circulaire CSSF 25/881 modifiant la circulaire CSSF 20/750 relative aux exigences en matière de gestion des risques liés aux technologies de l’information et de la communication (TIC) et à la sécurité En cas de divergences entre les textes français et anglais, le texte anglais prévaut. Circulaire CSSF 25/881 modifiant la circulaire CSSF 20/750 relative aux exigences en matière de gestion des risques liés aux technologies de l’information et de la communication (TIC) et à la sécurité À tous les établissements de crédit et professionnels du secteur financier au sens de la loi du 5 avril 1993 relative au secteur financier (« LSF »). À POST Luxembourg régi par la loi du 15 décembre 2000 sur les services financiers postaux1. À tous les établissements de paiement et établissements de monnaie électronique au sens de la loi du 10 novembre 2009 relative aux services de paiement (« LSP »). Luxembourg, le 9 avril 2025 Mesdames, Messieurs, À compter du 17 janvier 2025, les dispositions du règlement sur la résilience opérationnelle numérique 2 (« règlement DORA ») s’appliquent aux entités financières telles que définies dans le règlement DORA et surveillées par la CSSF. Le règlement DORA a notamment introduit des exigences harmonisées applicables au cadre de gestion des risques liés aux technologies de l’information et de la communication (« TIC »). Afin de réduire le recoupement avec la réglementation DORA, l’Autorité bancaire européenne (« EBA ») a revu ses Orientations existantes en matière de gestion des risques liés aux TIC et à la sécurité EBA/GL/2019/04 (« Orientations de l’EBA »), qui se fondaient sur les dispositions de l’article 74 de la directive 2013/36/UE (« directive CRD ») 3 et de l’article 95, paragraphe 3, de la directive (UE) 2015/2366 (directive sur les services de paiement 2, « directive PSD2 ») 4. Les Orientations de l’EBA ont été mises en œuvre au Luxembourg par le biais de la circulaire CSSF 20/750 concernant la gestion des risques liés aux TIC et à la sécurité. L’EBA est arrivée à la conclusion que les entités soumises aux Orientations de l’EBA devraient être limitées et le champ d’application des Orientations restreint à l’Orientation 1.8 5 relative à la gestion des relations avec les utilisateurs de services de paiement dans le cadre de services de paiement. À cette fin, l’EBA a émis les orientations EBA/GL/2025/02 modifiant les orientations EBA/GL/2019/04 sur la gestion des risques liés aux TIC et à la sécurité (« nouvelles Orientations de l’EBA »). L’EBA a en outre expliqué que les autorités nationales compétentes ont la possibilité de soumettre les 1 Par souci de clarté, le terme « services financiers postaux » a la même signification qu’à l’article 1er de la loi modifiée du 15 décembre 2000. 2 Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 3 https://eur-lex.europa.eu/eli/dir/2013/36/oj/fra 4 Directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) n° 1093/2010, et abrogeant la directive 2007/64/CE (JO L 337 du 23.12.2015, pp. 35-127) 5 Correspond à l’orientation 3.8 des Orientations de l’EBA en anglais. CIRCULAIRE CSSF 25/881 modifiant la circulaire CSSF 20/750 2/4 prestataires de services de paiement (« PSP ») qui ne sont pas couverts par le règlement DORA à des exigences nationales indépendamment de l’existence d’orientations de l’EBA 6. En conséquence, afin d’apporter une clarté juridique au marché et de préciser ses attentes, la CSSF a pris deux mesures : 1. modification de la circulaire CSSF 20/750 relative aux exigences en matière de gestion des risques liés aux TIC et à la sécurité : o afin de limiter le champ d’application aux « entités non-DORA », c’est-àdire aux entités soumises à la surveillance de la CSSF mais qui ne sont pas des entités financières telles que définies à l’article 2 du règlement DORA et qui ne sont donc pas soumises aux exigences du règlement DORA. La circulaire CSSF 20/750, telle que modifiée, reste également applicable aux entités ne tombant pas sous le champ d’application du règlement DORA lorsqu’elles fournissent des services de paiement, comme POST Luxembourg et les succursales au Luxembourg de PSP ayant leur siège social dans un pays tiers 7. En effet, la CSSF considère que les entités financières soumises à la surveillance de la CSSF et tombant dans le champ d’application de la circulaire CSSF 20/750, mais non dans le champ d’application du règlement DORA, devront continuer à répondre à ses attentes en matière de gestion des risques liés aux TIC et à la sécurité en se conformant à la présente circulaire ; o afin de supprimer les éléments spécifiques uniquement applicables aux PSP (qu’ils tombent également dans le champ d’application du règlement DORA ou non) qui sont regroupés dans une nouvelle circulaire dédiée (cf. point 2 ci-dessous), c’està-dire l’Orientation 1.8 sur la gestion des relations avec les utilisateurs de services de paiement et la section 4 de la circulaire concernant l’évaluation des TIC des PSP (PSP ICT assessment) ; et o afin de supprimer quelques sections et dispositions de la circulaire devenues obsolètes. 2. publication d’une nouvelle circulaire, la circulaire CSSF 25/880 sur la gestion des relations avec les utilisateurs de services de paiement et l’évaluation des TIC des PSP, applicable à tous les PSP relevant de la LSP et surveillés par la CSSF, y compris les succursales au Luxembourg des PSP ayant leur siège social dans un pays tiers et POST Luxembourg : o mettant en œuvre les Orientations de l’EBA 2025/02 modifiant les orientations EBA/GL/2019/04 sur la gestion des risques liés aux TIC et à la sécurité, c’est-à-dire l’Orientation 1.8 mentionnée ci-dessus ; o intégrant l’exigence nationale additionnelle en vigueur pour le reporting annuel de l’évaluation des risques en matière de services de paiement (évaluation des TIC des PSP ou PSP ICT Assessment), qui faisait précédemment partie de la circulaire CSSF 20/750. Conformément à la 1ère mesure ci-dessus, la présente circulaire modifie la circulaire CSSF 20/750 en précisant les points suivants : 6 EBA/GL/2025/02 et communiqué de presse correspondant (uniquement en anglais) 7 C’est pour cette raison que les références aux éléments de conformité à la loi du 10 novembre 2009 relative aux services de paiement (« LSP ») qui s’appliquent à POST Luxembourg et aux succursales au Luxembourg de PSP ayant leur siège social dans un pays tiers sont retenues dans la présente circulaire. CIRCULAIRE CSSF 25/881 modifiant la circulaire CSSF 20/750 3/4 1. le champ d’application de la circulaire CSSF 20/750 a été modifié pour tenir compte de l’entrée en application du règlement DORA. Le champ d’application est désormais décrit au chapitre 1 : a. pour les entités financières telles que définies à l’article 2 du règlement DORA et surveillées par la CSSF, la circulaire CSSF 20/750 ne s’applique plus. Elles ont été retirées du champ d’application ; b. pour les entités relevant du champ d’application de la circulaire CSSF 20/750 mais ne tombant pas dans le champ d’application du règlement DORA, la circulaire CSSF 20/750 continue de s’appliquer intégralement. 2. La section 1 sur les « Exigences en matière de gestion des risques liés aux technologies de l’information et de la communication (TIC) et à la sécurité », la section 2 concernant la « Modification de la circulaire CSSF 12/552 », la section 3 relative à l’« Abrogation et remplacement de la circulaire CSSF 19/713 » et la section 4 sur l’« Exigence additionnelle pour les prestataires de services de paiement (PSP) » ont été supprimées. 3. Les exigences énoncées dans les Orientations EBA/GL/2019/04 de l’EBA ont été introduites directement dans la circulaire CSSF 20/750 comme suit : a. le texte des Orientations de l’EBA à la section « Définitions » a été repris au chapitre 2; b. le texte des Orientations de l’EBA à la section « Orientations sur la gestion des risques liés aux TIC et à la sécurité » a été repris au chapitre 3. Les modifications des Orientations de l’EBA qui sont désormais reprises sous les chapitres 2 et 3 sont présentées en version « suivi des modifications ». Elles se rapportent aux exigences ou aux références qui concernaient principalement les entités qui ne relèvent désormais plus du champ d’application de la présente circulaire. En outre, certaines définitions ont été modifiées afin de les aligner aux définitions plus récentes en la matière. La présente circulaire s’applique avec effet immédiat. Claude WAMPACH Directeur Françoise KAUTHEN Directeur Annexe Marco ZWICK Directeur Jean-Pierre FABER Directeur Claude MARX Directeur général Circulaire CSSF 20/750 telle que modifiée par la Circulaire CSSF 25/881 CIRCULAIRE CSSF 25/881 modifiant la circulaire CSSF 20/750 4/4 Circulaire CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 Exigences en matière de gestion des risques liés aux technologies de l’information et de la communication et à la sécurité En cas de divergences entre les textes français et anglais, le texte anglais prévaut. Circulaire CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 Exigences en matière de gestion des risques liés aux technologies de l’information et de la communication et à la sécurité À tous les PSF de support et PSF spécialisés au sens de la loi du 5 avril 1993 relative au secteur financier (« LSF »), à POST Luxembourg régi par la loi du 15 décembre 2000 sur les services financiers postaux1, ainsi qu’à toutes les succursales au Luxembourg d’établissements de crédit, d’entreprises d’investissement, d’établissements de paiement et d’établissements de monnaie électronique ayant leur siège social dans un pays tiers Luxembourg, le 25 août 2020 Mesdames, Messieurs, La présente circulaire reflète les attentes de la CSSF concernant les mesures en matière de gestion des risques ainsi que des mécanismes de contrôle et de sécurité tels que visés aux articles 17, paragraphe 1bis, et 36, paragraphe 1, de la loi du 5 avril 1993 relative au secteur financier (« LSF ») et à l’article 105-1, paragraphe 1, de la loi du 10 novembre 2009 relative aux services de paiement (« LSP »). La présente circulaire est divisée en quatre chapitres : • le chapitre 1 précise le champ d’application de la présente circulaire • le chapitre 2 contient les définitions et apporte des précisions concernant les termes utilisés dans la présente circulaire • le chapitre 3 énonce les exigences en matière de gestion des risques liés aux TIC et à la sécurité • le chapitre 4 indique l’entrée en vigueur de la présente circulaire Par souci de clarté, le terme « services financiers postaux » a la même signification qu’à l’article 1er de la loi modifiée du 15 décembre 2000. 1 CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 2/24 TABLE DES MATIÈRES Chapitre 1. Les entités relevant du champ d’application ...................................................... 4 Chapitre 2. Définitions.................................................................................................... 4 Chapitre 3. Orientations sur la gestion des risques liés aux TIC et à la sécurité...................... 7 3.1. Proportionnalité ........................................................................................ 7 3.2. Gouvernance et stratégie ........................................................................... 7 3.3. Cadre de gestion des risques liés aux TIC et à la sécurité .............................. 9 3.4. Sécurité de l’information .......................................................................... 12 3.5. Gestion des opérations de TIC .................................................................. 16 3.6. Gestion des projets de TIC et du changement ............................................ 19 3.7. Gestion de la continuité des activités......................................................... 21 Chapitre 4. Date d’application ....................................................................................... 24 CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 3/24 Les entités relevant du champ d’application Chapitre 1. La présente circulaire est applicable dans son entièreté aux entités suivantes :

1. a)tous les PSF de support au sens de la loi du 5 avril 1993 relative au secteur financier (« LSF »)
2. b)tous les PSF spécialisés au sens de la loi du 5 avril 1993 relative au secteur financier (« LSF »)
3. c)POST Luxembourg régi par la loi du 15 décembre 2000 sur les services financiers postaux2 et, en tant que prestataire de services de paiement, tel que visé à l’article 1 er, point 37) (iii) de la LSP
4. d)toutes les succursales au Luxembourg d’établissements de crédit ayant leur siège social dans un pays tiers
5. e)toutes les succursales au Luxembourg d’entreprises d’investissement ayant leur siège social dans un pays tiers
6. f)toutes les succursales au Luxembourg d’établissements de paiement et d’établissements de monnaie électronique ayant leur siège social dans un pays tiers Définitions Chapitre 2. Établissement financier Tout au long de ce document, ce terme fait référence aux entités surveillées relevant du champ d’application de la présente circulaire telles que définies au chapitre 1. Prestataire de services de paiement (PSP) Tout au long de ce document, ce terme fait référence à POST Luxembourg et aux succursales au Luxembourg d’établissements de crédit, d’établissements de paiement et d’établissements de monnaie électronique ayant leur siège social dans un pays tiers, lorsqu’ils fournissent des services de paiement tels que définis à l’article 1er, point 38) de la LSP. Risque lié aux TIC et à la sécurité Risque de perte confidentialité, découlant d’une d’une défaillance violation de de l’intégrité la des systèmes et des données, de l’inadéquation ou de l’indisponibilité des systèmes et des données, ou de l’impossibilité de l’information dans modifier les technologies un et pour délai des de coûts raisonnables, lorsque l’environnement ou les exigences « métiers » changent (agilité)3. Cela inclut les risques de sécurité découlant de processus internes insuffisants ou de défaillance de ces processus, ou bien d’événements externes, tels que des cyberattaques ou une sécurité physique insuffisante. Par souci de clarté, le terme « services financiers postaux » a la même signification qu’à l’article 1er de la loi modifiée du 15 décembre 2000. 2 Définition tirée des orientations de l’ABE sur les procédures et les méthodologies communes à appliquer dans le cadre du processus de contrôle et d’évaluation prudentiels du 19 décembre 2014 (EBA/GL/2014/13), modifiées par les orientations EBA/GL/2018/03. 3 CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 4/24 Organe de direction (
7. a)Pour les établissements de crédit et les entreprises d’investissement, ce terme a la même signification que la définition prévue à l’article 3, paragraphe 1, point 7), de la directive 2013/36/UE. (
8. b)Pour les établissements de paiement et les établissements de monnaie électronique, ce terme signifie les dirigeants ou les personnes responsables de la gestion de l’établissement concerné et, le cas échéant, les personnes responsables de la gestion des activités de services de paiement de l’établissement concerné. (
9. c)Pour les PSP visés à l’article premier, paragraphe 1, points c),
10. e)et f), de la directive (UE) 2015/2366, ce terme a la signification qui lui est donnée par le droit de l’UE ou le droit national applicable.L’organe ou les organes d’un établissement financier qui sont désignés conformément au droit national, qui sont compétents pour définir la stratégie, les objectifs et la direction globale de l’établissement financier et qui assurent la supervision et le suivi des décisions prises en matière de gestion et, incluent, les personnes qui dirigent effectivement les activités de l’établissement financier et les administrateurs et les personnes responsables de la gestion de l’établissement financier. Conformément aux circulaires CSSF applicables, le terme « organe de direction » englobe les notions de direction autorisée, de conseil d’administration ou de conseil de gérance et/ou de conseil de surveillance et de conseil exécutif. Incident opérationnel sécurité ou de Un événement unique ou une série d’événements liés non planifiés par l’établissement financier, qui a ou aura probablement une incidence négative sur l’intégrité, la disponibilité, la confidentialité et/ou l’authenticité des services. Direction générale (
11. a)Pour les établissements de crédit et les entreprises d’investissement, ce terme a la même signification que la définition prévue à l’article 3, paragraphe 1, point 9), de la directive 2013/36/UE. (
12. b)Pour les établissements de paiement et les établissements de monnaie électronique, ce terme désigne les personnes physiques qui exercent des fonctions exécutives dans l’établissement concerné, et qui sont responsables de la gestion quotidienne de l’établissement à l’égard de l’organe de direction et rendent des comptes à celui-ci en ce qui concerne cette gestion. CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 5/24 (
13. c)Pour les PSP visés à l’article premier, paragraphe 1, points c),
14. e)et f), de la directive (UE) 2015/2366, ce terme a la signification qui lui est donnée par le droit de l’UE ou le droit national applicable. Appétit pour le risque Le niveau et les types agrégés de risque que les PSP et les établissements sont prêts à accepter dans le cadre de leur capacité à prendre des risques, conformément à leur modèle d’entreprise, afin d’atteindre leurs objectifs stratégiques. Fonction d’audit (
15. a)Pour les établissements de crédit et les entreprises d’investissement, la fonction d’audit correspond à celle présentée à la section 22 des orientations de l’ABE sur la gouvernance interne (EBA/GL/2017/11). (
16. b)Pour les PSP autres que les établissements de crédit, la fonction d’audit doit exercer ses activités de façon indépendante au sein du PSP ou en dehors de celui-ci, et peut être une fonction interne et/ou externe. Projets de TIC Tout projet, ou toute partie d’un projet, dans le cadre duquel les services et les systèmes de TIC sont modifiés, remplacés, supprimés ou mis en œuvre. Les projets de TIC peuvent faire partie de programmes plus larges de TIC ou de transformation des activités. Tiers Toute organisation ayant conclu un contrat ou une relation d’affaires avec une entité dans le but de fournir un produit ou un service.4 Actifs informationnels Ensemble d’informations, tangibles ou non, suffisamment importantes pour être protégées. Actifs informatiques Logiciel ou équipement informatique présent dans l’environnement de l’entreprise. Systèmes de TIC5 TIC mises en place dans le cadre d’un mécanisme ou d’un réseau d’interconnexion qui soutient les opérations d’un établissement financier. Services « de TIC »6 Services fournis par des systèmes de TIC à un ou (Orientations) ou « TIC » plusieurs utilisateurs internes ou externes. Les services (DORA) de TIC comprennent par exemple la saisie de données, le stockage de données, le traitement de données et les services de communication d’informations, ainsi que les services de soutien au suivi, aux opérations et aux décisions.Les services numériques et de données fournis 4 Définition tirée des «éléments fondamentaux pour la cybersécurité du secteur financier» établis par le G7. Définition tirée des orientations sur l’évaluation du risque lié aux TIC dans le cadre du processus de contrôle et d’évaluation prudentiels (SREP) (EBA/GL/2017/05). 5 6 ibid. CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 6/24 de manière permanente par l’intermédiaire des systèmes de TIC à un ou plusieurs utilisateurs internes ou externes, dont le matériel en tant que service et les services matériels qui englobent la fourniture d’assistance technique au moyen de mises à jour de logiciels ou de micrologiciels réalisées par le fournisseur de matériel, à l’exclusion des services de téléphonie analogique traditionnels.7 Orientations sur la gestion des risques liés aux TIC et à la sécurité Chapitre 3. 3.1. Proportionnalité 1. Tous les établissements financiers devraient respecter les dispositions stipulées dans les présentes orientations d’une façon qui, d’une part, soit proportionnée à la taille et à l’organisation interne des établissements financiers, à la nature, la portée et la complexité des produits et services que ces établissements fournissent ou comptent fournir et au risque qu’ils présentent, et qui, d’autre part, tienne compte de ces facteurs. 3.2. Gouvernance et stratégie 3.2.1. Gouvernance 2. L’organe de direction devrait veiller à ce que les établissements financiers disposent d’un cadre de gouvernance interne et de contrôle interne adéquat compte tenu de leurs risques liés aux TIC et à la sécurité. L’organe de direction devrait définir des rôles et responsabilités clairs pour les fonctions de TIC, la gestion des risques liés à la sécurité de l’information et la continuité des activités, y compris ceux de l’organe de direction et de ses comités. 3. L’organe de direction devrait veiller à ce que les établissements financiers disposent d’un nombre d’employés suffisant, aux compétences adéquates, pour répondre à leurs besoins opérationnels en termes de TIC et soutenir leurs processus de gestion des risques liés aux TIC et à la sécurité, en continu, ainsi que pour assurer la mise en œuvre de leur stratégie en matière de TIC. L’organe de direction devrait veiller à ce que le budget alloué soit suffisant pour répondre aux besoins susmentionnés. En outre, les établissements financiers devraient veiller à ce que tous les membres du personnel, y compris les titulaires de fonctions clés, reçoivent une formation appropriée consacrée aux risques liés aux TIC et à la sécurité, portant notamment sur la sécurité de l’information, une fois par an ou plus fréquemment si nécessaire (voir également la section 3.4.7). Définition provenant de l’article 3, point 21), du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 (« règlement DORA ») 7 CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 7/24 4. L’organe de direction a la responsabilité globale de la définition, de l’approbation et de la supervision de la mise en œuvre de la stratégie des établissements financiers en matière de TIC, dans le cadre de leur stratégie générale, ainsi que de la mise en œuvre d’un cadre de gestion des risques efficace pour les risques liés aux TIC et à la sécurité. 3.2.2. Stratégie 5. La stratégie en matière de TIC devrait être alignée sur la stratégie générale des établissements financiers, et devrait définir : a. la façon dont les TIC des établissements financiers devraient évoluer pour soutenir la stratégie et y participer, s’agissant notamment de l’évolution de la structure organisationnelle, des changements apportés au système de TIC et des principales dépendances à l’égard de tiers ; b. la stratégie et l’évolution de l’architecture des TIC qu’il est prévu de mettre en œuvre, y compris pour les dépendances à l’égard de tiers ; c. des objectifs clairs en matière de sécurité de l’information, donnant la priorité aux systèmes de TIC ainsi qu’aux services, au personnel et processus des TIC. 6. Les établissements financiers devraient définir des plans d’action prévoyant les mesures à prendre pour réaliser les objectifs de la stratégie en matière de TIC. Ces plans devraient être communiqués à tous les membres du personnel concernés (y compris aux contractants et aux fournisseurs tiers, le cas échéant et si cela est pertinent). Les plans d’action devraient être réexaminés périodiquement afin de veiller à ce qu’ils restent pertinents et appropriés. Les établissements financiers devraient également mettre en œuvre des processus permettant de surveiller et de mesurer l’efficacité de la mise en œuvre de leur stratégie en matière de TIC. 3.2.3. Recours à des fournisseurs tiers 7. Sans préjudice de la circulaire CSSF 22/806 relative à l’externalisationdes orientations de l’ABE sur les accords d’externalisation (EBA/GL/2019/02) et de l’article 19 de la PSD2, les établissements financiers devraient assurer l’efficacité des mesures de maîtrise des risques définies dans leur cadre de gestion des risques, y compris des mesures définies dans les présentes orientations, lorsque les fonctions opérationnelles des services de paiement et/ou les services et systèmes de TIC de toute activité sont externalisés, y compris vers des entités du même groupe, ou lors du recours à des tiers. 8. Afin d’assurer la continuité des services et systèmes de TIC, les établissements financiers devraient veiller à ce que les contrats et les accords de niveau de service (dans des conditions normales ou en cas de perturbation des services – voir également la section 3.7.2) conclus avec des fournisseurs (prestataires de services d’externalisation, entités du groupe ou fournisseurs tiers) incluent les éléments suivants : a. Objectifs et mesures appropriés et proportionnés en matière de sécurité de l’information, y compris des exigences telles qu’un niveau de cybersécurité minimal ; spécifications relatives au cycle de vie des données de l’établissement financier concerné ; exigences relatives aux processus de chiffrement des données, à la sécurité des réseaux et aux processus de surveillance de la sécurité, ainsi qu’à l’emplacement des centres de données ; CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 8/24 b. Procédures de traitement des incidents opérationnels et liés à la sécurité, notamment pour la communication et la remontée des informations. 9. Les établissements financiers devraient surveiller le niveau de conformité de ces fournisseurs avec les objectifs, les mesures et les niveaux de performance définis par l’établissement financier concerné en matière de sécurité, et s’assurer de ce niveau de conformité. 3.3. Cadre de gestion des risques liés aux TIC et à la sécurité 3.3.1. Organisation et objectifs 10. Les établissements financiers devraient identifier et gérer leurs risques liés aux TIC et à la sécurité. La ou les fonction(
17. s)de TIC chargée(
18. s)des systèmes de TIC, des processus et des opérations liées à la sécurité devraient disposer des processus et des contrôles appropriés pour veiller, d’une part, à ce que tous les risques soient identifiés, analysés, mesurés, surveillés, gérés, communiqués et maintenus dans les limites de l’appétit pour le risque de l’établissement financier concerné et, d’autre part, à ce que les projets et systèmes qu’elle(
19. s)fournit/fournissent et les activités qu’elle(
20. s)exécute(
21. nt)respectent les exigences externes et internes. 11. Les établissements financiers devraient attribuer la responsabilité de la gestion et de la supervision des risques liés aux TIC et à la sécurité à une fonction de contrôle respectant les exigences de la (EBA/GL/2017/11). section Les 19 des orientations établissements de financiers l’ABE sur devraient la gouvernance assurer interne l’indépendance et l’objectivité de cette fonction de contrôle en la séparant de manière appropriée des processus liés aux opérations de TIC. Cette fonction de contrôle devrait rendre compte directement à l’organe de direction, et devrait être chargée de surveiller et de contrôler le respect du cadre de gestion des risques liés aux TIC et à la sécurité. Elle devrait veiller à ce que les risques liés aux TIC et à la sécurité soient identifiés, mesurés, évalués, gérés, surveillés et communiqués. Les établissements financiers devraient veiller à ce que cette fonction de contrôle ne soit responsable d’aucun audit interne. La fonction d’audit interne devrait, selon une approche fondée sur les risques, pouvoir examiner de façon indépendante toutes les activités et unités d’un établissement financier liées aux TIC et à la sécurité, et garantir en toute objectivité qu’elles respectent les politiques et procédures de cet établissement, ainsi que les exigences externes, en respectant les exigences de la section 22 des orientations de l’ABE sur la gouvernance interne (EBA/GL/2017/11). 12. Les établissements financiers devraient définir et attribuer les principaux rôles et responsabilités, ainsi que les lignes hiérarchiques pertinentes, pour assurer l’efficacité du cadre de gestion des risques liés aux TIC et à la sécurité. Ce cadre devrait être entièrement intégré aux processus de gestion des risques généraux des établissements financiers, et aligné sur ces processus. 13. Le cadre de gestion des risques liés aux TIC et à la sécurité devrait inclure des processus visant à: a. déterminer l’appétit pour les risques liés aux TIC et à la sécurité, conformément à l’appétit pour le risque de l’établissement financier ; b. identifier et évaluer les risques liés aux TIC et à la sécurité auxquels un établissement financier est exposé ; c. définir des mesures de maîtrise, y compris des contrôles, permettant de maîtriser les risques liés aux TIC et à la sécurité ; CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 9/24 d. surveiller l’efficacité de ces mesures et le nombre d’incidents communiqués, y compris, s’agissant des PSP, des incidents notifiés conformément à l’article 105-2 de la LSP96 de la PSD2 concernant les activités liées aux TIC, et prendre les dispositions nécessaires pour corriger ces mesures si besoin ; e. communiquer les risques liés aux TIC et à la sécurité et les contrôles afférents à l’organe de direction ; f. identifier et évaluer les éventuels risques liés aux TIC et à la sécurité découlant de toute modification majeure du système de TIC ou des services, processus et procédures relatifs aux TIC et/ou survenus après tout incident important lié aux opérations ou à la sécurité. 14. Les établissements financiers devraient veiller à ce que le cadre de gestion des risques liés aux TIC et à la sécurité soit documenté et amélioré en continu en fonction des enseignements tirés de sa mise en œuvre et de sa surveillance. Le cadre de gestion des risques liés aux TIC et à la sécurité devrait être approuvé et réexaminé, au moins une fois par an, par l’organe de direction. 3.3.2. Identification des fonctions, processus et actifs informationnels 15. Les établissements financiers devraient identifier, établir, tenir à jour une cartographie de leurs fonctions et métiers, et de leurs processus « supports », afin de déterminer l’importance de chacun d’entre eux et leur interdépendance avec les risques liés aux TIC et à la sécurité. 16. Les établissements financiers devraient également identifier, établir, tenir à jour une cartographie des actifs informationnels soutenant leurs fonctions « métiers » et les processus « supports » afférents, comme les systèmes de TIC, le personnel, les prestataires, les tiers et les dépendances à l’égard d’autres systèmes et processus internes ou externes, afin de pouvoir, au minimum, gérer les actifs informationnels soutenant leurs fonctions et processus « métiers » revêtant une importance critique. 3.3.3. Classification et évaluation des risques 17. Les établissements financiers devraient classifier les fonctions « métiers », processus « supports » et actifs informationnels identifiés, mentionnés aux paragraphes 15 et 16, en fonction de leur niveau de criticité. 18. Pour définir le niveau de criticité de ces fonctions « métiers », processus « supports » et actifs informationnels identifiés, les établissements financiers devraient tenir compte, au minimum, des exigences de confidentialité, d’intégrité et de disponibilité. Les actifs informationnels devraient faire l’objet d’obligations de rendre compte et de responsabilités clairement attribuées. 19. Les établissements financiers devraient examiner l’adéquation de la classification des actifs informationnels et des documents pertinents lors de toute évaluation des risques. 20. Les établissements financiers devraient identifier les risques liés aux TIC et à la sécurité ayant une incidence sur les fonctions « métiers », les processus « supports » et les actifs informationnels identifiés et classifiés, en fonction de leur niveau de criticité. L’évaluation des risques devrait être effectuée et documentée une fois par an, ou plus souvent si cela est nécessaire. Les risques devraient également être évalués lors de toute modification majeure de l’infrastructure, des processus ou des procédures ayant une incidence sur les fonctions « métiers », les processus « supports » ou les actifs informationnels, après quoi l’évaluation des risques applicable aux établissements financiers devrait être mise à jour. CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 10/24 21. Les établissements financiers devraient veiller à surveiller en continu les menaces et vulnérabilités relatives à leurs processus « métiers », fonctions « supports » et actifs informationnels, et devraient régulièrement réexaminer les scénarios de risque ayant une incidence en la matière. 3.3.4. Maîtrise des risques 22. Suite à l’évaluation des risques, les établissements financiers devraient déterminer les mesures à prendre pour ramener les risques liés aux TIC et à la sécurité à des niveaux acceptables et déterminer s’il est nécessaire de modifier les processus « métiers », mesures de contrôle, systèmes de TIC et services TIC existants. Un établissement financier devrait évaluer le temps requis pour mettre ces modifications en œuvre et pour prendre les mesures compensatoires appropriées pour maîtriser les risques liés aux TIC et à la sécurité, afin de rester dans les limites de l’appétit pour les risques liés aux TIC et à la sécurité de l’établissement financier concerné. 23. Les établissements financiers devraient définir et mettre en œuvre des mesures permettant de maîtriser les risques liés aux TIC et à la sécurité qui ont été identifiés et de protéger les actifs informationnels en fonction de leur classification. 3.3.5. Reporting 24. Les établissements financiers devraient communiquer les résultats de l’évaluation des risques à l’organe de direction, clairement et en temps utile. Ce rapport est sans préjudice de l’obligation des PSP de fournir aux autorités compétentes une évaluation des risques à jour et exhaustive, comme stipulé à l’article 105-1, paragraphe 2, de la LSP95, paragraphe 2, de la directive (UE) 2015/2366. 3.3.6. Audit 25. La gouvernance, les systèmes et les processus d’un établissement financier dans le cadre de ses risques liés aux TIC et à la sécurité devraient être audités, de façon périodique, par des auditeurs ayant des connaissances, des compétences et une expertise suffisantes concernant ces risques et les paiements (pour les PSP), afin de fournir à l’organe de direction, en toute indépendance, l’assurance qu’ils sont efficaces. Les auditeurs devraient exercer leurs activités de façon indépendante au sein de l’établissement financier ou être indépendants de l’établissement financier. La fréquence et les priorités de ces audits devraient être proportionnées aux risques liés aux TIC et à la sécurité. 26. L’organe de direction d’un établissement financier devrait approuver le plan d’audit, y compris tout audit des TIC et toute modification majeure y afférente. Le plan d’audit et sa mise en œuvre, y compris la fréquence des audits, devraient refléter les risques liés aux TIC et à la sécurité inhérents à l’établissement financier, être proportionnés à ces risques et être mis à jour régulièrement. 27. Un processus de suivi formel, comprenant des dispositions pour la vérification et la résolution, en temps utile, des conclusions déterminantes de l’audit des TIC, devrait être établi. CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 11/24 3.4. Sécurité de l’information 3.4.1. Politique relative à la sécurité de l’information 28. Les établissements financiers devraient élaborer et documenter une politique relative à la sécurité de l’information qui devrait définir des règles et principes de haut niveau visant à protéger la confidentialité, l’intégrité et la disponibilité des données et informations des établissements financiers et de leurs clients. Pour les PSP, cette politique est identifiée dans le document relatif à la politique de sécurité devant être adopté conformément à l’article 5, paragraphe 1, point j), de la directive (UE) 2015/2366. La politique relative à la sécurité de l’information devrait correspondre aux objectifs de l’établissement financier en matière de sécurité de l’information et devrait être fondée sur les résultats pertinents du processus d’évaluation des risques. Cette politique devrait être approuvée par l’organe de direction. 29. Cette politique devrait inclure une description des principaux rôles et responsabilités en matière de gestion de la sécurité de l’information, définir les exigences applicables au personnel et aux prestataires, ainsi qu’aux processus et aux technologies, en matière de sécurité de l’information, en reconnaissant que le personnel et les prestataires, à tous les niveaux, sont responsables d’assurer la sécurité de l’information au sein des établissements financiers. La politique devrait veiller à la confidentialité, l’intégrité et la disponibilité des actifs logiques et physiques ayant une importance critique, des ressources et des données sensibles d’un établissement financier, qu’ils soient au repos, en transit ou en cours d’utilisation. La politique relative à la sécurité de l’information devrait être communiquée à tous les membres du personnel et à tous les prestataires de l’établissement financier. 30. En fonction de la politique relative à la sécurité de l’information, les établissements financiers devraient établir et mettre en œuvre des mesures de sécurité visant à maîtriser les risques liés aux TIC et à la sécurité auxquels ils sont exposés. Ces mesures devraient inclure les éléments suivants : a. organisation et gouvernance, conformément aux paragraphes 10 et 11 ; b. sécurité logique (section 3.4.2) ; c. sécurité physique (section 3.4.3) ; d. sécurité des opérations de TIC (section 3.4.4) ; e. surveillance de la sécurité (section 3.4.5) ; f. examens, évaluations et tests de la sécurité de l’information (section 3.4.6) ; g. formation et sensibilisation en matière de sécurité de l’information (section 3.4.7). 3.4.2. Sécurité logique 31. Les établissements financiers devraient définir, documenter et mettre en œuvre des procédures de contrôle d’accès logique (gestion des identités et des accès). Ces procédures devraient être mises en œuvre, appliquées, surveillées et réexaminées à intervalles réguliers. Ces procédures devraient également inclure des contrôles permettant de surveiller les anomalies. Ces procédures devraient, au minimum, mettre les éléments suivants en œuvre (le terme « utilisateur » inclut les utilisateurs techniques) : a. Principes du besoin d’en connaître, du moindre privilège et de séparation des fonctions : les établissements financiers devraient gérer les droits d’accès aux actifs informationnels et à leurs systèmes les soutenant selon le principe du « besoin d’en connaître », y compris pour l’accès à distance. Les utilisateurs devraient recevoir les CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 12/24 droits d’accès minimum strictement requis pour exécuter leurs fonctions (principe du « moindre privilège »), c’est-à-dire pour prévenir tout accès non justifié à un large ensemble de données ou toute allocation de droits d’accès combinés pouvant servir à contourner les contrôles (principe de « séparation des fonctions »). b. Imputabilité des utilisateurs : les établissements financiers devraient limiter l’utilisation de comptes utilisateurs génériques et partagés, dans la mesure du possible, et veiller à ce que les actions effectuées dans les systèmes de TIC puissent être attribuées aux utilisateurs concernés. c. Droits d’accès privilégiés : les établissements financiers devraient mettre en œuvre des contrôles solides sur l’accès privilégié aux systèmes, en limitant strictement et en surveillant étroitement les comptes assortis de droits supérieurs d’accès aux systèmes (par exemple les comptes administrateur). Afin de garantir une communication sécurisée et de réduire les risques, l’accès administratif à distance à des systèmes de TIC ayant une importance critique devrait être accordé uniquement selon le principe du « besoin d’en connaître » et lorsque des mesures d’authentification forte sont appliquées. d. Enregistrement des activités des utilisateurs : au minimum, toutes les activités des utilisateurs privilégiés devraient être enregistrées et surveillées. Les registres d’accès devraient être sécurisés afin de prévenir toute modification ou suppression non autorisée, et conservés durant une période proportionnée au niveau de criticité des fonctions « métiers », processus de soutien et actifs informationnels identifiés, conformément à la section 3.3.3, sans préjudice des exigences de conservation définies dans le droit de l’UE ou le droit national. Un établissement financier devrait utiliser ces informations pour faciliter l’identification et l’analyse d’activités anormales ayant été détectées dans la prestation de services. e. Gestion des accès : les droits d’accès devraient être accordés, retirés ou modifiés en temps utile, conformément à des circuits d’approbation prédéfinis incluant le propriétaire fonctionnel des informations auxquelles l’utilisateur accède (propriétaire des actifs informationnels). En cas de résiliation du contrat de travail, les droits d’accès devraient être rapidement retirés. f. Renouvellement des accès : les droits d’accès devraient périodiquement être réexaminés afin de veiller à ce que les utilisateurs ne possèdent pas de privilèges excessifs et à ce que les droits d’accès soient retirés dès lors qu’ils ne sont plus requis. g. Méthodes d’authentification : les établissements financiers devraient appliquer des méthodes d’authentification forte pour assurer, de façon appropriée et efficace, que les politiques et procédures de contrôle d’accès sont respectées. Les méthodes d’authentification devraient être proportionnées au niveau de criticité des systèmes de TIC, des informations ou des processus auxquels l’utilisateur accède. Au minimum, cela devrait inclure des mots de passe complexes ou des méthodes d’authentification forte (comme l’authentification à deux facteurs), en fonction des risques pertinents. 32. L’accès électronique sur demande aux données et aux systèmes de TIC devrait se limiter au minimum requis pour fournir le service concerné. CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 13/24 3.4.3. Sécurité physique 33. Les mesures de sécurité physique des établissements financiers devraient être définies, documentées et mises en œuvre afin de protéger les locaux, les centres de données et les zones sensibles contre tout accès non autorisé et contre les dangers environnementaux. 34. L’accès physique aux systèmes de TIC devrait être accordé uniquement aux personnes autorisées. L’autorisation devrait être accordée en fonction des tâches et responsabilités de la personne concernée, en se limitant à des personnes correctement formées et surveillées. L’accès physique devrait être régulièrement réexaminé afin de veiller à ce que les droits d’accès qui ne sont plus nécessaires soient rapidement révoqués. 35. Des mesures adéquates de protection contre les dangers environnementaux devraient être proportionnées à l’importance des bâtiments et au niveau de criticité des opérations ou des systèmes de TIC situés dans ces bâtiments. 3.4.4. Sécurité des opérations de TIC 36. Les établissements financiers devraient mettre en œuvre des procédures visant à prévenir les problèmes de sécurité dans les systèmes de TIC et les services TIC, et devraient minimiser leur incidence sur la prestation des services TIC. Ces procédures devraient inclure les mesures suivantes : a. identification des vulnérabilités potentielles, qui devraient être évaluées et résolues en s’assurant que les logiciels et micrologiciels sont à jour, y compris les logiciels fournis par les établissements financiers à leurs utilisateurs internes et externes, en installant les correctifs de sécurité essentiels ou en mettant des contrôles compensatoires en œuvre ; b. implémentation de configurations de référence sécurisées pour tous les équipements réseaux ; c. segmentation réseau, systèmes de prévention des pertes de données et chiffrement du trafic du réseau (conformément à la classification des données) ; d. protection des terminaux, y compris des serveurs, des postes de travail et des appareils mobiles – les établissements financiers devraient déterminer si les terminaux sont conformes aux normes de sécurité qu’ils ont définies avant de leur permettre d’accéder au réseau d’entreprise ; e. mise en place de mécanismes permettant de vérifier l’intégrité des logiciels, des f. chiffrement des données au repos ou en transit (conformément à la classification des micrologiciels et des données ; données). 37. En outre, les établissements financiers devraient déterminer, en continu, si les changements intervenant dans l’environnement opérationnel existant influencent les mesures de sécurité existantes ou nécessitent d’adopter des mesures supplémentaires afin de maîtriser les risques associés de façon appropriée. Ces changements devraient faire partie du processus de gestion des changements des établissements financiers, qui devraient veiller à ce que ces changements soient dûment planifiés, testés, documentés, autorisés et déployés. CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 14/24 3.4.5. Surveillance de la sécurité 38. Les établissements financiers devraient établir et mettre en œuvre des politiques et procédures permettant, d’une part, de détecter les activités anormales susceptibles d’avoir une incidence sur la sécurité de l’information au sein des établissements financiers et, d’autre part, de répondre de façon appropriée à ces événements. Dans le cadre de cette surveillance continue, les établissements financiers devraient mettre en œuvre des capacités adaptées et efficaces pour détecter et communiquer les intrusions physiques ou logiques ainsi que les violations de confidentialité, d’intégrité et de disponibilité des actifs informationnels. La surveillance continue et les processus de détection devraient couvrir : a. les facteurs internes et externes pertinents, y compris les fonctions administratives « métiers » et liées aux TIC ; b. les opérations visant à détecter toute utilisation abusive des droits d’accès par des tiers ou autres entités, ou par des personnes internes à l’établissement ; c. les menaces internes et externes potentielles. 39. Les établissements financiers devraient établir et mettre en œuvre des processus et structures organisationnelles permettant d’identifier et de surveiller en continu les menaces pour la sécurité qui pourraient avoir une incidence importante sur leur capacité à fournir des services. Les établissements financiers devraient activement surveiller les évolutions technologiques afin de faire en sorte d’être au courant des risques de sécurité. Les établissements financiers devraient mettre en œuvre des mesures de détection, par exemple pour identifier de possibles fuites d’informations, codes malveillants et autres menaces pour la sécurité, ainsi que les vulnérabilités des logiciels et matériels informatiques qui sont connues du public, et devraient s’informer des nouvelles mises à jour de sécurité correspondantes. 40. Le processus de surveillance de la sécurité devrait également permettre à l’établissement financier de comprendre la nature des incidents opérationnels ou de sécurité, d’identifier les tendances et d’appuyer les enquêtes diligentées. 3.4.6. Examens, évaluations et tests en matière de sécurité de l’information 41. Les établissements financiers devraient procéder à divers examens, évaluations et tests en matière de sécurité de l’information, afin d’assurer une identification efficace des vulnérabilités au sein de leurs systèmes de TIC et services TIC. Par exemple, les établissements financiers peuvent mener des analyses des écarts par rapport aux normes de sécurité de l’information, des examens de conformité, des audits internes et externes sur les systèmes d’information ou des examens de la sécurité physique. En outre, l’établissement concerné devrait envisager de bonnes pratiques telles que l’examen des codes sources, l’évaluation des vulnérabilités, des tests d’intrusion et des simulations de cyber-attaques avec équipe adverse (dite « rouge »). 42. Les établissements financiers devraient établir et mettre en œuvre un cadre de test de la sécurité de l’information validant la solidité et l’efficacité de leurs mesures de sécurité de l’information et veiller à ce que ce cadre tienne compte des menaces et des vulnérabilités identifiées grâce à la surveillance des menaces et au processus d’évaluation des risques liés aux TIC et à la sécurité. 43. Le cadre de test de la sécurité de l’information devrait garantir que les tests : a. sont menés par des testeurs indépendants qui possèdent des connaissances, des compétences et une expertise suffisantes en matière de test des mesures de sécurité de CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 15/24 l’information et qui ne participent pas à l’élaboration des mesures de sécurité de l’information ; b. incluent des analyses de vulnérabilité et des tests d’intrusion (y compris des tests d’intrusion fondés sur les menaces si cela est nécessaire et approprié) proportionnés au niveau de risque identifié pour les processus et systèmes de l’entreprise. 44. Les établissements financiers devraient tester les mesures de sécurité de façon continue et récurrente. S’agissant de tous les systèmes de TIC ayant une importance critique (paragraphe 17), ces tests devraient être effectués au moins une fois par an. Pour les PSP, ils font partie de l’évaluation exhaustive des risques de sécurité liés aux services de paiement qu’ils fournissent, conformément à l’article 105-1, paragraphe 2, de la LSP95, paragraphe 2, de la PSD2. Les systèmes n’ayant pas une importance critique devraient être régulièrement testés selon une méthode fondée sur les risques, et ce au moins tous les trois ans. 45. Les établissements financiers devraient veiller à ce que les mesures de sécurité soient testées en cas de modification de l’infrastructure, des processus ou des procédures et si des changements sont apportés en raison d’incidents opérationnels ou de sécurité majeurs ou de la mise en production d’applications critiques nouvelles ou fortement modifiées exposées à internet. 46. Les établissements financiers devraient surveiller et évaluer les résultats des tests de sécurité et mettre à jour leurs mesures de sécurité en conséquence, sans retard injustifié dans le cas des systèmes de TIC ayant une importance critique. 47. Pour les PSP, ce cadre de test devrait également englober les mesures de sécurité pertinentes pour

ficiel de gestion du changement des établissements financiers. 3.

1. Gestion de la continuité des activités
2. Les établissements financiers devraient établir un processus adéquat pour la gestion de la continuité des activités afin de maximiser leur capacité à fournir des services en continu et à limiter les pertes en cas de perturbation grave de l’activité, conformément à l’article 85, paragraphe 2, de la directive 2013/36/UE et au titre VI des orientations de l’ABE sur la gouvernance interne (EBA/GL/2017/11). 3.7.
3. Analyse des incidences sur les activités
4. Dans le cadre de leur processus adéquat pour la gestion de la continuité des activités, les établissements financiers devraient mener une analyse d’incidence sur les activités (« AIA ») en analysant leur exposition à toute perturbation grave de l’activité et en évaluant leur incidence potentielle (y compris sur la confidentialité, l’intégrité et la disponibilité), en termes quantitatifs comme qualitatifs, à l’aide de données internes et/ou externes (par exemple les données de fournisseurs tiers concernant une ligne d’activité ou des données qui sont dans le domaine public et peuvent être pertinentes pour l’AIA) et d’une analyse des scénarios. L’AIA devrait également prendre en compte le caractère critique des fonctions « métiers », processus « supports », tiers et actifs informationnels identifiés et classifiés, ainsi que leurs interdépendances, conformément à la section 3.3.
6. Les établissements financiers devraient veiller à ce que leurs systèmes de TIC et services TIC soient conçus en fonction de l’AIA et alignés en conséquence, par exemple en assurant la duplication de certaines composantes ayant une importance critique afin de prévenir les perturbations découlant d’événements qui ont une incidence sur ces composantes. 3.7.
7. Planification de la continuité des activités
8. En fonction de leurs AIA, les établissements financiers devraient établir des plans visant à assurer la continuité des activités (plans de continuité d’activités, « PCA »), qui devraient être documentés et approuvés par leur organe de direction. Ces plans devraient examiner spécifiquement les risques pouvant avoir une incidence négative sur les systèmes de TIC et services TIC. Ces plans devraient soutenir les objectifs visant à protéger, et à restaurer si nécessaire, la confidentialité, l’intégrité et la disponibilité de leurs fonctions « métiers », processus « supports » et actifs informationnels. Les établissements financiers devraient assurer une coordination appropriée avec les parties prenantes internes et externes durant la mise en place de ces plans.
9. Les établissements financiers devraient mettre en place des PCA visant à faire en sorte qu’ils puissent réagir de façon appropriée à tout scénario de défaillance potentiel et qu’ils puissent CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 21/24 reprendre leurs activités revêtant une importance critique après toute perturbation, dans la limite de la durée maximale d'interruption admissible (DMIA, c’est-à-dire la durée maximale au bout de laquelle un système ou un processus doit être rétabli après un incident) et en fonction d’une perte de données maximale admissible (PDMA, c’est-à-dire la période maximale pendant laquelle il est acceptable de perdre des données en cas d’incident). En cas de perturbation grave de l’activité déclenchant des plans de continuité des activités spécifiques, les établissements financiers devraient hiérarchiser les priorités des mesures de continuité des activités en utilisant une approche fondée sur les risques, qui peut se fonder sur des évaluations des risques menées en vertu de la section 3.3.
10. Pour les PSP, cela peut consister, par exemple, à faciliter la poursuite du traitement des opérations ayant une importance critique durant les efforts de remise en état.
11. Un établissement financier devrait envisager plusieurs scénarios différents dans son PCA, y compris des scénarios extrêmes mais plausibles auxquels il pourrait être confronté, dont un scénario de cyberattaque, et devrait évaluer l’incidence potentielle que de tels scénarios pourraient avoir. En fonction de ces scénarios, un établissement financier devrait décrire la façon dont la continuité des systèmes de TIC et services TIC, ainsi que la sécurité de l’information au sein de l’établissement, peuvent être assurées. 3.7.
12. Plans de réponse et de reprise
13. En fonction des AIA (paragraphe 78) et des scénarios plausibles (paragraphe 82), les établissements financiers devraient définir des plans de réponse et de reprise. Ces plans devraient préciser les conditions pouvant déclencher l’activation des plans et les mesures à prendre pour assurer la disponibilité, la continuité et la reprise, au minimum, des systèmes de TIC et services TIC revêtant une importance critique pour les établissements financiers. Les plans de réponse et de reprise devraient viser à répondre aux objectifs de reprise des opérations des établissements financiers.
14. Les plans de réponse et de reprise devraient tenir compte des options de reprise à court terme et à long terme. Ces plans devraient : a. se concentrer sur le rétablissement des fonctions « métiers », processus de « supports » et actifs informationnels ayant une importance critique, ainsi que leurs interdépendances, afin d’éviter toute incidence négative sur le fonctionnement des établissements financiers et sur le système financier, y compris sur les systèmes de paiement et les utilisateurs de services de paiement, et d’assurer l’exécution des opérations de paiement en attente de traitement ; b. être documentés et mis à la disposition des unités « métier » et de soutien, et facilement accessibles en cas d’urgence ; c. être mis à jour conformément aux enseignements tirés des incidents, aux tests, aux nouveaux risques et nouvelles menaces identifiés, ainsi qu’aux objectifs et priorités de reprise qui ont été modifiés.
15. Les plans devraient également envisager des solutions alternatives si la reprise n’est pas possible à court terme en raison des coûts, des risques, de la logistique ou de circonstances imprévues.
16. En outre, dans le cadre des plans de réponse et de reprise, un établissement financier devrait envisager et mettre en œuvre des mesures de continuité permettant d’atténuer les défaillances de fournisseurs tiers ayant une importance clé pour la continuité de ses services TIC (conformément aux dispositions prévues dans les orientations de l’ABE sur les accords CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 22/24 d’externalisation (EBA/GL/2019/02) la circulaire CSSF 22/806 relative à l’externalisation s’agissant des plans de continuité des activités). 3.7.
17. Mesures visant à tester les plans
18. Les établissements financiers devraient périodiquement tester leurs PCA. Notamment, ils devraient veiller à ce que les PCA relatifs aux fonctions « métiers », processus « supports » et actifs informationnels revêtant une importance critique (y compris ceux fournis par des tiers, le cas échéant), ainsi que leurs interdépendances, soient testés au moins une fois par an, conformément au paragraphe
20. Les PCA devraient être mis à jour au moins une fois par an, en fonction des résultats des tests, des renseignements les plus récents sur les menaces et des enseignements tirés des événements précédents. Toute modification des objectifs de rétablissement (y compris les DMIA et PDMA) et/ou des fonctions « métiers », processus « supports » et actifs informationnels devrait également être prise en compte, le cas échéant, pour mettre les PCA à jour.
21. Les tests réalisés par les établissements financiers sur leurs PCA devraient prouver qu’ils sont capables d’assurer la viabilité de leurs activités jusqu’à ce que les opérations ayant une importance critique soient rétablies. Ils devraient notamment : a. inclure des tests fondés sur un ensemble approprié de scénarios graves mais plausibles, y compris de ceux envisagés lors du développement des PCA (ainsi que le test des services fournis par des tiers, le cas échéant) – cela devrait, entre autres, intégrer la commutation des fonctions « métiers », processus « supports » et actifs informationnels revêtant une importance critique avec l’environnement de rétablissement après sinistre et à prouver, d’une part, qu’ils peuvent fonctionner de cette façon pendant une période suffisamment représentative et, d’autre part, qu’un fonctionnement normal peut être rétabli par la suite ; b. être conçus pour vérifier les hypothèses sur lesquelles se fondent les PCA, y compris les dispositifs de gouvernance et les plans de communication en situation de crise ; et c. inclure des procédures permettant de vérifier la disponibilité du personnel et des prestataires, des systèmes de TIC et des services TIC afin de répondre de façon appropriée aux scénarios définis au paragraphe 89(a).
22. Les résultats des tests devraient être documentés et toute lacune identifiée lors des tests devrait être analysée, résolue et communiquée à l’organe de direction. 3.7.
23. Communication en situation de crise
24. En cas de perturbation ou d’urgence, et durant la mise en œuvre des PCA, les établissements financiers devraient veiller à disposer de mesures de communication efficaces en situation de crise, afin que toutes les parties concernées internes et externes, y compris les autorités compétentes si cela est requis par la réglementation nationale, ainsi que les fournisseurs concernés (prestataires de services d’externalisation, entités du groupe ou fournisseurs tiers), soient informés à temps et de façon appropriée. CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 23/24 3.
25. Gestion des relations avec les utilisateurs de services de paiement
26. Les PSP devraient établir et mettre en œuvre des processus permettant de renforcer la sensibilisation des USP aux risques de sécurité liés aux services de paiement, en leur fournissant de l’assistance et des orientations.
27. L’assistance et les orientations fournies aux USP devraient être mises à jour en fonction des nouvelles menaces et vulnérabilités, et les changements devraient être communiqués aux USP.
28. Lorsque la fonctionnalité des produits le permet, les PSP devraient permettre aux USP de désactiver les fonctionnalités de paiement spécifiques aux services de paiement fournis par le PSP à l’USP.
29. Lorsque, conformément à l’article 68, paragraphe 1, de la directive (UE) 2015/2366, un PSP a convenu avec le payeur de limites de dépenses pour les opérations de paiement exécutées au moyen d’instruments spécifiques de paiement, le PSP devrait donner au payeur la possibilité d’ajuster ces limites à hauteur de la limite maximale convenue.
30. Les PSP devraient

frir aux USP la possibilité de recevoir des alertes lors de tentatives initiées et/ou ratées d’initier des opérations de paiement, de manière à leur permettre de détecter toute utilisation frauduleuse ou malveillante de leurs comptes.

1. Les PSP devraient tenir les USP informés des mises à jour des procédures de sécurité ayant une incidence sur les USP s’agissant de la prestation de services de paiement.
2. Les PSP devraient fournir aux USP l’aide nécessaire pour toute question, demande de soutien et notification d’anomalies ou tout problème de sécurité relatifs aux services de paiement. Les USP devraient être correctement informés de la manière dont ils peuvent obtenir cette aide. Chapitre
3. Date d’application 99.
4. La présente circulaire s’applique avec effet immédiat. Claude WAMPACH Directeur Françoise KAUTHEN Directeur Marco ZWICK Directeur Jean-Pierre FABER Directeur Claude MARX Directeur général CIRCULAIRE CSSF 20/750 telle que modifiée par les circulaires CSSF 22/828 et CSSF 25/881 24/24 Circular CSSF 25/881 amending Circular CSSF 20/750 on requirements regarding information and communication technology (ICT) and security risk management Circular CSSF 25/881 amending Circular CSSF 20/750 on requirements regarding information and technology (ICT) and security risk management communication To all credit institutions and to all professionals

the financial sector within the meaning

the Law

5 April 1993 on the financial sector (LFS). To POST Luxembourg governed by the Law

15 December 2000 on postal financial services1. To all payment institutions and to all electronic money institutions within the meaning

the Law

10 November 2009 on payment services (LPS). Luxembourg, 9 April 2025 Ladies and Gentlemen, As

17 January 2025, the provisions

the Digital Operational Resilience Act 2 (“DORA”) are applicable to the financial entities as defined in DORA and supervised by the CSSF. DORA has introduced, inter alia, harmonised requirements for information and communication technology (ICT) risk management framework. In view

reducing the overlap with the DORA regulation, the European Banking Authority (“EBA”) reviewed its existing Guidelines on ICT and security risk management EBA/GL/2019/04 (the “EBA Guidelines”), which were built on the provisions

Article 74

Directive 2013/36/EU (CRD) 3 and Article 95

Directive (EU) 2015/2366 (Payment Services Directive 2, “PSD2”) 4. The EBA Guidelines are implemented in Luxembourg by way

Circular CSSF 20/750 on ICT and security risk management. The EBA arrived at the view that the entities subject to the EBA Guidelines should be narrowed down and the scope

the Guidelines reduced to Guideline 3.8 on relationship management

the payment service users in relation to the provision

payment services. To do so, the EBA issued EBA GL 2025/02 amending EBA GL/2019/04 on ICT and security risk management (“new EBA Guidelines”). The EBA further explained that National Competent Authorities have the possibility to subject Payment Service Providers (PSPs) that are not covered by DORA to national requirements irrespective

the existence or not

EBA Guidelines 5. 1 For the sake

clarity, the wording “postal financial services” has the meaning provided for in Article 1

the Law

15 December 2000, as amended. 2 Regulation (EU) 2022/2554

the European Parliament and

the Council

14 December 2022 on digital operational resilience for the financial sector and amending Regulations (EC) No 1060/2009, (EU) No 648/2012, (EU) No 600/2014, (EU) No 909/2014 and (EU) 2016/1011 3 https://eur-lex.europa.eu/eli/dir/2013/36/oj/eng 4 Directive (EU) 2015/2366

the European Parliament and

the Council

25 November 2015 on payment services in the internal market, amending Directives 2002/65/EC, 2009/110/EC and 2013/36/EU and Regulation (EU) No 1093/2010, and repealing Directive 2007/64/EC (OJ L 337, 23.12.2015, p. 35–127) 5 EBA/GL/2025/02 and corresponding press release CIRCULAR CSSF 25/881 amending Circular CSSF 20/750 2/4 Consequently, to provide legal clarity to the market and clarify its expectations, the CSSF is taking two steps: 1. amend Circular CSSF 20/750 on requirements regarding ICT and security risk management: o to reduce the scope to “non-DORA entities”, i.e. the entities that are subject to CSSF supervision but are not financial entities as defined in Article 2

DORA and therefore not subject to DORA requirements. The amended Circular CSSF 20/750 also remains applicable to entities which are not in the scope

DORA, when providing payment services, such as POST Luxembourg and branches in Luxembourg

PSP incorporated in a third country 6. In fact, the CSSF considers that financial entities subject to the supervision

the CSSF falling under Circular CSSF 20/750 but not falling under DORA shall continue to fulfil its expectations with regard to the ICT and security risk management by complying with this circular; o to remove the specific elements only applicable to PSPs (whether they are also in scope

DORA or not) which are regrouped in a new dedicated circular (see point 2 below), i.e. Guideline 3.8. on relationship management

the payment service users and section 4

the circular related to PSP ICT assessment; and o to remove a few other obsolete sections and provisions

the circular. 2. issue a new circular, Circular CSSF 25/880 on relationship management

payment service users and PSP ICT assessment, applicable to all PSPs within the scope

LPS and supervised by the CSSF, including branches in Luxembourg

PSPs incorporated in a third country, and POST Luxembourg which: o implements the EBA Guidelines 2025/02 amending EBA GL/2019/04 on ICT and o integrates the existing additional national requirement for annual reporting

the security risk management. i.e. the contents

Guideline 3.8 referred to above; risk assessment related to payment services (PSP ICT assessment), which was previously part

Circular CSSF 20/

1. In line with step 1 above, this circular amends Circular CSSF 20/750 by specifying the following:
2. the scope

application

Circular CSSF 20/750 has been modified to consider the entry into application

DORA. The scope is now described in Chapter 1: a. For financial entities as defined in Article 2

DORA and supervised by the CSSF, Circular CSSF 20/750 no longer applies. They have been removed from the scope; b. For entities falling under Circular CSSF 20/750 but not falling under DORA, Circular CSSF 20/750 continues to apply in full. 2. Section 1 on “Requirements regarding information and communication technology (ICT) and security risk management”, Section 2 on “Amendment

Circular CSSF 12/552”, Section 3 on “Repeal and replacement

Circular CSSF 19/713” and Section 4 on “Additional requirement for payment service providers (PSPs)” have been removed. 3. The requirements that were listed in EBA Guidelines EBA/GL/2019/04 have been introduced directly in Circular CSSF 20/750 as follows: 6 This is the reason why references to elements

compliance with the Law

10 November 2009 on payment services (LPS) which apply to POST Luxembourg and branches in Luxembourg

PSP incorporated in a third country are retained in this circular. CIRCULAR CSSF 25/881 amending Circular CSSF 20/750 3/4 a. The text

the EBA Guidelines in the section “Definitions” can now be found in Chapter 2; b. The text

the EBA Guidelines in the section “Guidelines on ICT and security risk management” can now be found in Chapter 3. The amendments to the EBA Guidelines, which are now in Chapters 2 and 3 are shown in track changes. They relate to requirements or references which were primarily relevant for entities which are now out

scope

this circular. In addition, some definitions were modified to align them with recent definitions in this area. This circular shall apply with immediate effect. Claude WAMPACH Director Françoise KAUTHEN Director Annex Marco ZWICK Director Jean-Pierre FABER Director Claude MARX Director General Circular CSSF 20/750 as amended by Circular CSSF 25/881 CIRCULAR CSSF 25/881 amending Circular CSSF 20/750 4/4 Circular CSSF 20/750 as amended by Circular CSSF 25/881 on requirements regarding information and communication technology (ICT) and security risk management Circular CSSF 20/750 as amended by Circular CSSF 25/881 on requirements regarding information and technology (ICT) and security risk management communication To support PFS and specialised PFS within the meaning

the Law

5 April 1993 on the financial sector (LFS), POST Luxembourg governed by the Law

15 December 2000 on postal financial services1, as well as to all branches in Luxembourg

credit institutions, investment firms, payment institutions and e-money institutions incorporated in a third country Luxembourg, 25 August 2020 Ladies and Gentlemen, This circular reflects the expectations

the CSSF as regards the risk management measures and control and security arrangements as referred to in Articles 17

the Law

5 April 1993 on the financial sector (“LFS”) and in Article 105-1

the Law

10 November 2009 on payment services (“LPS”). This circular is divided in four Chapters: • Chapter 1 indicates the scope

this circular • Chapter 2 provides definitions and clarifications with regards to the terms used in this circular • Chapter 3 lists the requirements regarding to ICT and security risk management • Chapter 4 indicates the entry into force

this circular For the sake

clarity, the wording “postal financial services” has the meaning provided for in Article 1

the Law

15 December 2000 as amended. 1 CIRCULAR CSSF 20/750 as amended by Circular CSSF 25/881 2/21 TABLE

CONTENTS Chapter

1. Entities in Scope ........................................................................................... 4 Chapter
2. Definitions.................................................................................................... 4 Chapter
3. Guidelines on ICT and security risk management .............................................. 6 3.
4. Proportionality .......................................................................................... 6 3.
5. Governance and strategy ........................................................................... 7 3.
6. ICT and security risk management framework .............................................. 8 3.
7. Information security ................................................................................ 10 3.
8. ICT operations management .................................................................... 15 3.
9. ICT project and change management ........................................................ 17 3.
10. Business continuity management .............................................................. 18 Chapter
11. Date

application ...................................................................................... 21 CIRCULAR CSSF 20/750 as amended by Circular CSSF 25/881 3/21 Chapter 1. Entities in Scope This circular is applicable in full to all the following entities: a) All support PFS within the meaning

the Law

5 April 1993 on the financial sector (LFS) b) All specialised PSF within the meaning

the Law

5 April 1993 on the financial sector (LFS) c) POST Luxembourg governed by the Law

15 December 2000 on postal financial services 2 and as Payment Service Provider as referred to in Article 1

the LPS d) All branches in Luxembourg

credit institutions incorporated in a third country e) All branches in Luxembourg

investment firms incorporated in a third country f) All branches in Luxembourg

payment institutions and electronic money institutions incorporated in a third country Chapter 2. Definitions Financial Institution Throughout this document this term refers to the supervised entities in scope

this circular as defined in Chapter 1. Payment Service Provider (PSP) Throughout this document this term refers to POST Luxembourg and branches in Luxembourg

credit institutions, payment institutions and electronic money institutions incorporated in a third country, when they provide payment services as defined in Article 1

the LPS. ICT and security risk Risk

loss due to breach

confidentiality, failure

integrity

systems and data, inappropriateness or unavailability

systems and data or inability to change information technology (IT) within a reasonable time and with reasonable costs when the environment or business requirements change (i.e. agility)3. This includes security risks resulting from inadequate or failed internal processes or external events including cyber-attacks or inadequate physical security. Management body (a) For credit institutions and investment firms, this term has the same meaning as the definition in point

Article 3

Directive 2013/36/EU. (b) For payment institutions or electronic money institutions, this term means directors or persons responsible for the management

the payment institutions and electronic money institutions and, where For the sake

clarity, the wording “postal financial services” has the meaning provided for in Article 1

the Law

15 December 2000 as amended. 2 Definition from the EBA Guidelines on common procedures and methodologies for the supervisory review and evaluation process

19 December 2014 (EBA/GL/2014/13), amended by EBA/GL/2018/03. 3 CIRCULAR CSSF 20/750 as amended by Circular CSSF 25/881 4/21 relevant, persons responsible for the management

the payment services activities

the payment institutions and electronic money institutions. (

1. c)For PSPs referred to in points (c), (
2. e)and (f)

Article 1

Directive (EU) 2015/2366, this term has the meaning conferred on it by the applicable EU or national law.A Financial Institution’s body or bodies, which are appointed in accordance with national law, which are empowered to set the Financial Institution’s strategy, objectives and overall direction, and which oversee and monitor management decision-making and include the persons who effectively direct the business

the Financial Institution and the directors and persons responsible for the management

the Financial Institution. In accordance with relevant circulars CSSF as applicable, the term management body encompasses the notions

authorised management, board

directors/or board

managers and/or supervisory board and executive board. Operational or security incident A singular event or a series

linked events unplanned by the financial institution that has or will probably have an adverse impact on the integrity, availability, confidentiality and/or authenticity

services. Senior management (a) For credit institutions and investment firms, this term has the same meaning as the definition in point

Article 3

Directive 2013/36/EU. (b) For payment institutions and electronic money institutions, this term means natural persons who exercise executive functions within an institution and who are responsible, and accountable to the management body, for the day-to-day management

the institution. (

1. c)For PSPs referred to in points (c), (
2. e)and (f)

Article 1

Directive (EU) 2015/2366, this term has the meaning conferred on it by the applicable EU or national law. Risk appetite The aggregate level and types

risk that the PSPs and institutions are willing to assume within their risk capacity, in line with their business model, to achieve their strategic objectives. Audit function (a) For credit institutions and investment firms, the audit function is as referred to in Section 22

the EBA guidelines on internal governance (EBA/GL/2017/11). CIRCULAR CSSF 20/750 as amended by Circular CSSF 25/881 5/21 (b) For PSPs other than credit institutions, the audit function must be independent within or from the PSP and may be an internal and/or an external audit function. ICT projects Any project, or part thereof, where ICT systems and services are changed, replaced, dismissed or implemented. ICT projects can be part

wider ICT or business transformation programmes. Third party An organisation that has entered into business relationships or contracts with an entity to provide a product or service4. Information asset A collection

information, either tangible or intangible, that is worth protecting. ICT asset An asset

either software or hardware that is found in the busin