Repealed by Circular CSSF 22/805 Circulaire CSSF 21/785 Remplacement de l’obligation d’autorisation préalable par une obligation de notification préalable en cas de soustraitance informatique matérielle CIRCULAIRE CSSF 21/785 1/12 Circulaire CSSF 21/785 Concerne : Remplacement de l’obligation d’autorisation préalable par une obligation de notification préalable en cas de sous-traitance informatique matérielle Luxembourg, le 14 octobre 2021 Mesdames, Messieurs,
- La présente circulaire modifie les circulaires CSSF 12/552 telle que A tous les établissements de crédit, à tous les PSF, à tous les établissements de paiement et à tous les établissements de monnaie électronique A tous les gestionnaires de fonds d’investissement soumis à la circulaire CSSF 18/698 modifiée, CSSF 17/656, CSSF 20/758 et CSSF 17/654 telle que modifiée, en remplaçant l’obligation d’autorisation préalable par une obligation de notification préalable en cas de sous-traitance informatique matérielle.
- Dans ce cadre, et en rapport avec les sous-traitances informatiques reposant sur une infrastructure informatique en nuage ou infrastructure de « cloud computing », les exigences relatives aux clauses contractuelles aux points 31 a., b. et c. ont été précisées. CIRCULAIRE CSSF 21/785 2/12 TABLE DES MATIÈRES / TABLE OF CONTENTS I. II. III. IV. V. Modification de la circulaire CSSF 12/552 telle que modifiée Modification de la circulaire CSSF 17/656 Modification de la circulaire CSSF 20/758 Modification de la circulaire CSSF 17/654 telle que modifiée Mesures transitoires et entrée en vigueur CIRCULAIRE CSSF 21/785 4 5 7 8 11 3/12 I. Modification de la circulaire CSSF 12/552 telle que modifiée
- Au chapitre 7 de la partie II, le point 182 de la section 7.4.1 est modifié : a. par l’ajout suivant, signalé ici en caractères gras, apporté au 8ème tiret qui se lit désormais comme suit : « L’établissement qui a l’intention de sous-traiter une activité matérielle doit obtenir l’autorisation préalable de l’autorité compétente. Une notification à l’autorité compétente, justifiant que les conditions fixées dans la présente circulaire l'établissement sont recourt respectées, à un est suffisante établissement de lorsque crédit luxembourgeois ou à un PSF de support. Le présent tiret ne s’applique pas aux sous-traitances informatiques
- » b. par la création, signalée ici en caractères gras, des nouveaux tirets suivants, insérés juste après le 8ème tiret repris au point a cidessus : i. « Tout établissement qui souhaite recourir à une soustraitance informatique matérielle 2 doit au préalable notifier son projet à l’autorité compétente en utilisant les formulaires disponibles sur le site de la CSSF. Cette notification doit être fournie au moins trois
(3)mois avant que la sous-traitance prévue ne soit effective. Dans le cas d’un recours à un PSF de support selon les articles 29-3 à 29-6 de la LSF, cette période est réduite à un
(1)mois avant que la sous-traitance prévue ne soit effective. Toute sous-traitance dont la notification ne respecte pas ces deux
(2)conditions (utilisation du bon formulaire ; respect du délai) est considérée non-notifiée. 1 Une sous-traitance informatique est un accord de toute forme entre une entité surveillée et un fournisseur de services (y compris du même groupe) en vertu duquel ce fournisseur de services est chargé de l’exécution d’un processus, d’un service ou d’une activité informatique, qui serait sinon assuré par l’entité surveillée elle-même. Les processus, services ou activités fournis sont exclusivement de nature informatique. 2 Une Foire Aux Questions (FAQ) sur l’évaluation de la matérialité d’une sous-traitance informatique est disponible sur notre site (https://www.cssf.lu/en/Document/faq-on-the-assessment-of-it-outsourcingmateriality/) CIRCULAIRE CSSF 21/785 4/12 ii. En l’absence de réaction de l’autorité compétente (demande d’informations complémentaires, opposition partielle ou complète au projet), l’établissement peut mettre en matérielle œuvre à la sous-traitance l’expiration du délai informatique de trois
(3), respectivement d’un
(1)mois à compter de la date de la notification. iii. En cas de réaction de l’autorité compétente (demande d’informations complémentaires, opposition partielle ou complète au projet), l’autorité compétente peut décider de suspendre le délai. iv. Dans tous les cas, il demeure de l'entière responsabilité des établissements surveillés de se conformer à toutes les lois et réglementations pertinentes concernant les projets de sous-traitance prévus. v. L'absence de réaction de l’autorité compétente pendant le processus de notification ne préjuge pas des mesures de surveillance ou de l’application de mesures contraignantes et/ou sanctions administratives qu’elle pourrait être amenée à prendre à un stade ultérieur dans le cadre de la surveillance permanente, s'il apparaît que lesdits projets de sous-traitance ne sont pas conformes au cadre juridique et réglementaire applicable. » II. Modification de la circulaire CSSF 17/656
- Au chapitre 1, le point 182 de la section 1 est modifié : a. par l’ajout suivant, signalé ici en caractères gras, apporté au 8ème tiret qui se lit désormais comme suit : « L’établissement qui a l’intention de sous-traiter une activité matérielle doit obtenir l’autorisation préalable de l’autorité compétente. Une notification à l’autorité compétente, justifiant que les conditions fixées dans la présente circulaire l'établissement sont recourt respectées, à un est suffisante établissement de lorsque crédit luxembourgeois ou à un PSF de support. Le présent tiret ne s’applique pas aux sous-traitances informatiques
- » b. par la création, signalée ici en caractères gras, des nouveaux tirets suivants, insérés juste après le 8ème tiret repris au point a cidessus : CIRCULAIRE CSSF 21/785 5/12 i. « Tout établissement qui souhaite recourir à une sousmatérielle2 doit au préalable traitance informatique notifier son projet à l’autorité compétente en utilisant les formulaires disponibles sur le site de la CSSF. Cette notification doit être fournie au moins trois
(3)mois avant que la sous-traitance prévue ne soit effective. Dans le cas d’un recours à un PSF de support selon les articles 29-3 à 29-6 de la LSF, cette période est réduite à un
(1)mois avant que la sous-traitance prévue ne soit effective. Toute sous-traitance dont la notification ne respecte pas ces deux
(2)conditions (utilisation du bon formulaire ; respect du délai) est considérée non-notifiée ii. En l’absence de réaction de l’autorité compétente (demande d’informations complémentaires, opposition partielle ou complète au projet), l’établissement peut mettre en matérielle œuvre à la sous-traitance l’expiration du délai informatique de trois
(3), respectivement d’un
(1)mois à compter de la date de la notification. iii. En cas de réaction de l’autorité compétente (demande d’informations complémentaires, opposition partielle ou complète au projet), l’autorité compétente peut décider de suspendre le délai. iv. Dans tous les cas, il demeure de l'entière responsabilité des établissements surveillés de se conformer à toutes les lois et réglementations pertinentes concernant les projets de sous-traitance prévus. v. L'absence de réaction de l’autorité compétente pendant le processus de notification ne préjuge pas des mesures de surveillance ou de l’application de mesures contraignantes et/ou sanctions administratives qu’elle pourrait être amenée à prendre à un stade ultérieur dans le cadre de la surveillance permanente, s'il apparaît que lesdits projets de sous-traitance ne sont pas conformes au cadre juridique et réglementaire applicable. » CIRCULAIRE CSSF 21/785 6/12 III. Modification de la circulaire CSSF 20/758
- Au chapitre 7 de la partie II, le point 184 de la section 7.4.1 est modifié : a. par l’ajout suivant, signalé ici en caractères gras, apporté au 8ème tiret qui se lit désormais comme suit : « L’établissement qui a l’intention de sous-traiter une activité matérielle doit obtenir l’autorisation préalable de l’autorité compétente. Une notification à l’autorité compétente, justifiant que les conditions fixées dans la présente circulaire l'établissement sont recourt respectées, à un est suffisante établissement lorsque de crédit luxembourgeois ou à un PSF de support. Le présent tiret ne s’applique pas aux sous-traitances informatiques
- » b. par la création, signalée ici en caractères gras, des nouveaux tirets suivants, insérés juste après le 8ème tiret repris au point a cidessus : i. « Tout établissement qui souhaite recourir à une soustraitance informatique matérielle2 doit au préalable notifier son projet à l’autorité compétente en utilisant les formulaires disponibles sur le site de la CSSF. Cette notification doit être fournie au moins trois
(3)mois avant que la sous-traitance prévue ne soit effective. Dans le cas d’un recours à un PSF de support selon les articles 29-3 à 29-6 de la LSF, cette période est réduite à un
(1)mois avant que la sous-traitance prévue ne soit effective. Toute sous-traitance dont la notification ne respecte pas ces deux
(2)conditions (utilisation du bon formulaire ; respect du délai) est considérée non-notifiée ii. En l’absence de réaction de l’autorité compétente (demande d’informations complémentaires, opposition partielle ou complète au projet), l’établissement peut mettre en matérielle œuvre à la sous-traitance l’expiration du délai de informatique trois
(3), respectivement d’un
(1)mois à compter de la date de la notification. iii. En cas de réaction de l’autorité compétente (demande d’informations complémentaires, opposition partielle ou complète au projet), l’autorité compétente peut décider de suspendre le délai. CIRCULAIRE CSSF 21/785 7/12 iv. Dans tous les cas, il demeure de l'entière responsabilité des établissements surveillés de se conformer à toutes les lois et réglementations pertinentes concernant les projets de sous-traitance prévus. v. L'absence de réaction de l’autorité compétente pendant le processus de notification ne préjuge pas des mesures de surveillance ou de l’application de mesures contraignantes et/ou sanctions administratives qu’elle pourrait être amenée à prendre à un stade ultérieur dans le cadre de la surveillance permanente, s'il apparaît que lesdits projets de sous-traitance ne sont pas conformes au cadre juridique et réglementaire applicable. » IV. Modification de la circulaire CSSF 17/654 telle que modifiée 6. Au point 26 de la partie II : a. Le premier paragraphe du point b est modifié par l’ajout signalé ciaprès en caractères gras et se lit désormais comme suit : « Dans le cas du recours à une sous-traitance sur une infrastructure de cloud computing supportant une activité qui est matérielle au sens du paragraphe 10, l’ESCR doit notifier l’autorité compétente au moins un
(1)mois avant que la sous-traitance prévue ne soit effective si une des conditions suivantes est respectée : » b. Des modifications et ajouts signalés ci-après en caractères gras sont apportés au point c qui se lit désormais comme suit : « Dans le cas du recours à une sous-traitance sur une infrastructure de cloud computing supportant une activité qui est matérielle au sens du paragraphe 10, l’ESCR doit demander une autorisation préalable à notifier l’autorité compétente au moins trois
(3)mois avant que la sous-traitance prévue ne soit effective, si aucune des conditions énumérées au point (b) précédent n’est respectée. » c. Des modifications et ajouts signalés ci-après en caractères gras sont apportés au point d qui se lit désormais comme suit : « Une autorisation notification au moins trois
(3)mois avant que la sous-traitance prévue ne soit effective reste requise dans le cas particulier où un établissement qui bénéficie d’un agrément tel que défini aux articles 29-3 ou 29-4 de la LSF agit en tant qu’intermédiaire et non en tant qu’opérateur des ressources entre un ESCR et un fournisseur de services de cloud computing. » CIRCULAIRE CSSF 21/785 8/12 d. La création, signalée ici en caractères gras, de nouveaux points numérotés de e à i, juste après le point d repris ci-dessus : i. « Toute notification est à soumettre en utilisant les formulaires disponibles sur le site de la CSSF et dans le respect des délais indiqués aux points 26.b. à 26.d.. Toute sous-traitance dont la notification ne respecte pas ces deux
(2)conditions (utilisation du bon formulaire ; respect du délai) est considérée non-notifiée. ii. En l’absence de réaction de l’autorité compétente (demande d’informations complémentaires, opposition partielle ou complète au projet), y compris concernant la demande de dérogation visée au point 31.c., l’établissement peut mettre en œuvre la sous-traitance informatique matérielle à l’expiration du délai de trois
(3), respectivement d’un
(1)mois à compter de la date de la notification. iii. En cas de réaction de l’autorité compétente (demande d’informations complémentaires, opposition partielle ou complète au projet), y compris concernant la demande de dérogation visée au point 31.c., l’autorité compétente peut décider de suspendre le délai. iv. Dans tous les cas, il demeure de l'entière responsabilité des établissements surveillés de se conformer à toutes les lois et réglementations pertinentes concernant les projets de sous-traitance prévus. v. L'absence de réaction de l’autorité compétente pendant le processus de notification ne préjuge pas des mesures de surveillance ou de l’application de mesures contraignantes et/ou sanctions administratives qu’elle pourrait être amenée à prendre à un stade ultérieur dans le cadre de la surveillance permanente, s'il apparaît que lesdits projets de sous-traitance ne sont pas conformes au cadre juridique et réglementaire applicable. » e. En conséquence, les anciens points e, f, g et h sont renumérotés respectivement en j, k, l et m. CIRCULAIRE CSSF 21/785 9/12
- Au point 31 de la partie II : a. L’ajout signalé ci-après en caractères gras est apporté au point a qui se lit désormais comme suit : « Le contrat de service, signé avec le fournisseur de services de cloud computing, doit être soumis au droit d’un des pays de l’Union Européenne. Dans le cas où le contrat signé est un contrat groupe visant à faire bénéficier l’ESCR ainsi que d’autres entités du groupe des services de cloud computing, le contrat peut également être soumis au droit du pays de l’entité du groupe signataire, y compris lorsque ce pays est en dehors de l’Union Européenne. » b. L’ajout signalé ci-après en caractères gras est apporté au point b qui se lit désormais comme suit : « Le contrat de service, signé avec le fournisseur de services de cloud computing, doit prévoir une résilience dans l’Union Européenne des services de cloud computing offerts à l’ESCR. Ainsi, en cas de distribution des traitements, données et systèmes dans différents centres de données à travers le monde, l’un des centres au moins doit être localisé dans l’Union Européenne et doit si nécessaire pouvoir reprendre les traitements, données et systèmes distribués pour opérer de manière autonome les services de cloud computing fournis à l’ESCR. Cependant, dans le cas où le contrat signé est un contrat groupe visant à faire bénéficier l’ESCR ainsi que d’autres entités du groupe des services de cloud computing, la résilience des services de cloud computing dans l’Union Européenne n'est pas une exigence mais doit être prise en considération dans l'analyse de risques de l'entité. Lorsque tous les centres de données supportant les services de cloud computing sont localisés au sein de l’Union Européenne, l’exigence de résilience des services de cloud computing dans l’Union Européenne est supposée respectée de fait.» c. Des modifications signalées ci-après en caractères gras sont apportés au point c qui stipule désormais : « Dans sa notification de sous-traitance, l’ESCR peut demander une autorisation de dérogation spécifique à l’autorité compétente lorsque les exigences mentionnées aux points (a) et (b) ci-dessus ne peuvent pas être respectées, dans le cas d’une sous-traitance matérielle. Cette demande d’autorisation de dérogation doit être appuyée d’une argumentation détaillée justifiant le recours à ce fournisseur de services de cloud computing et indiquant précisément les mesures de résiliences envisagées en cas de défaillance de ce fournisseur ou de défaillance des communications permettant d'y accéder. » CIRCULAIRE CSSF 21/785 10/12 V. Mesures transitoires et entrée en vigueur
- Les mesures transitoires concernant les demandes d’autorisation de sous-traitance soumises à la CSSF avant la date d’entrée en vigueur de la présente circulaire seront définies dans un communiqué.
- La présente circulaire entre en vigueur à compter du 15 octobre
- Claude WAMPACH Directeur Marco ZWICK Directeur Françoise KAUTHEN Claude MARX Directeur Directeur général CIRCULAIRE CSSF 21/785 Jean-Pierre FABER Directeur 11/12 Commission de Surveillance du Secteur Financier 283, route d’Arlon L-2991 Luxembourg (+352) 26 25 1-1 direction@cssf.lu www.cssf.lu CIRCULAIRE CSSF 21/785 12/12