Projet de loi portant : 1° mise en œuvre du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérati

CONSEIL D’ÉTAT =============== N° CE : 61.605 N° dossier parl. : 8291 Projet de loi portant : 1° mise en œuvre du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 ; 2° transposition de la directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier ; 3° modification de :

1. a)la loi modifiée du 5 avril 1993 relative au secteur financier ;
2. b)la loi modifiée du 13 juillet 2005 relative aux institutions de retraite professionnelle sous forme de sepcav et assep ;
3. c)la loi modifiée du 10 novembre 2009 relative aux services de paiement ;
4. d)la loi modifiée du 17 décembre 2010 concernant les organismes de placement collectif ;
5. e)la loi modifiée du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs ;
6. f)la loi modifiée du 7 décembre 2015 sur le secteur des assurances ;
7. g)la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d’investissement ;
8. h)la loi modifiée du 30 mai 2018 relative aux marchés d’instruments financiers ;
9. i)la loi modifiée du 16 juillet 2019 relative à l’opérationnalisation de règlements européens dans le domaine des services financiers Avis du Conseil d’État (27 février 2024) En vertu de l’arrêté du 4 août 2023 du Premier ministre, ministre d’État, le Conseil d’État a été saisi pour avis du projet de loi sous rubrique, élaboré par la ministre des Finances. Au texte du projet de loi étaient joints un exposé des motifs, un commentaire des articles, une fiche d’évaluation d’impact, une fiche financière, un « check de durabilité - Nohaltegkeetscheck », les textes coordonnés, par extraits, des lois que le présent projet tend à modifier, les textes du règlement européen à mettre en œuvre et de la directive à transposer ainsi qu’un tableau de concordance entre la loi en projet et la directive à transposer. L’avis de la Chambre de commerce a été communiqué au Conseil d’État en date du 24 octobre 2024. Considérations générales Le projet de loi a pour objet :   la mise en œuvre du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) n° 2016/1011, ci-après « règlement 2022/2554 ») ; la transposition de la directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier. Le règlement 2022/2554, également connu sous l’acronyme « DORA » (Digital Operational Resilience Act), et la directive 2022/2556 s’inscrivent dans le cadre plus large du paquet législatif sur la finance digitale de la Commission européenne destiné à favoriser le développement technologique tout en garantissant la stabilité financière et la protection des consommateurs. Le règlement 2022/2554 consolide dans un texte unique les différentes règles traitant de risques liés à l’utilisation des technologies de l’information et de la communication (TIC), règles qui étaient fragmentées et réparties sur divers actes sectoriels de l’Union européenne et qui comportaient de ce fait des lacunes qui désormais sont comblées. Il établit ainsi un corpus de règles uniformes sur la résilience opérationnelle numérique dans le secteur financier. Les règles en question ont, entre autres, trait à la mise en place de procédures de gestion des risques liés aux TIC, à la notification des incidents majeurs dans ce domaine et à la réalisation de tests de résilience opérationnelle numérique des entités concernées. Le règlement étant directement applicable dans l’ordre juridique national, l’intervention du législateur luxembourgeois se limitera à doter les 2 autorités compétentes nationales chargées de veiller à l’application de la réglementation des pouvoirs de surveillance et d’enquête nécessaires à l’exercice de leurs fonctions. La directive 2022/2256 prévoit des modifications ponctuelles d’un certain nombre de directives couvrant le secteur financier en relation avec la résilience numérique et la gestion de risques liés aux TIC, cela afin de combler les lacunes existantes dans les dispositifs en vigueur et d’assurer leur cohérence avec les dispositions du règlement 2022/2554. Dans cette perspective, le projet de loi sous avis se limite à prévoir des adaptations ponctuelles et ciblées d’une série de lois sectorielles applicables au secteur financier. Le dispositif s’appliquera à partir du 17 janvier 2025, respectant en cela les délais fixés par le règlement 2022/2554 et la directive 2022/2556. Examen des articles Articles 1er à 24 Les articles 1er à 24 transposent les dispositions de la directive 2022/2256 à travers des modifications ponctuelles des lois sectorielles suivantes qui régissent le fonctionnement du secteur financier, à savoir :         la loi modifiée du 5 avril 1993 relative au secteur financier ; la loi modifiée du 13 juillet 2005 relative aux institutions de retraite professionnelle sous forme de sepcav et assep ; la loi modifiée du 10 novembre 2009 relative aux services de paiement ; la loi modifiée du 17 décembre 2010 concernant les organismes de placement collectif ; la loi modifiée du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs ; la loi modifiée du 7 décembre 2015 sur le secteur des assurances ; la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d’investissement ; la loi modifiée du 30 mai 2018 relative aux marchés d’instruments financiers. Les auteurs du présent projet de loi ayant respecté lors de la transposition le prescrit de la directive 2022/2256, le Conseil d’État n’a pas d’observations de principe à formuler. En ce qui concerne les modifications entreprises à l’endroit de l’article 60, paragraphe 1er, troisième phrase, de la loi précitée du 30 mai 2018 à travers l’article 24, point 2°, lettre a), du projet de loi sous revue, le Conseil d’État note que les auteurs ont omis de remplacer la notion de « plans de continuité des activités efficaces » figurant en début de phrase par celle de « mécanismes de continuité des activités efficaces » figurant dans la directive. Or, la notion de « plans en matière de continuité des activités » revient dans la suite du texte de la directive – le texte des modifications apportées à l’article 60, paragraphe 1er, troisième phrase, de la loi précitée du 30 mai 2018 la reprend d’ailleurs fidèlement – lorsque le contenu des « mécanismes de continuité des activités efficaces » visé par la directive est défini. Le Conseil d’État estime dès lors qu’il y aurait lieu de ne pas s’écarter, en l’occurrence, 3 du texte de la directive et de retenir comme notion englobante celle de « mécanismes de continuité des activités efficaces ». Article 25 L’article 25 introduit un nouveau chapitre 4quinquies composé des articles 20-21 à 20-25 dans la loi modifiée du 16 juillet 2019 relative à l’opérationnalisation de règlements européens dans le domaine des services financiers, loi qui est exclusivement consacrée à la mise en œuvre de règlements européens couvrant le secteur financier. Les dispositions en question sont destinées à assurer la mise en œuvre du règlement 2022/2554. L’article 20-21 ne donne pas lieu à des observations de la part du Conseil d’État. L’article 20-22 désigne, en son alinéa 1er, la Commission de surveillance du secteur financier (CSSF) et le Commissariat aux assurances (CAA) comme autorités compétentes chargées de veiller à l’application du règlement 2022/2554 et de la loi précitée du 16 juillet 2019, telle qu’elle résultera de la modification additionnelle opérée par le projet de loi sous avis. Comme le relèvent d’ailleurs les auteurs du projet de loi au commentaire de l’article 20-22, la désignation des autorités compétentes n’est en l’occurrence pas explicitement requise par le législateur européen qui, à l’article 46 du règlement 2022/2554 fait simplement référence aux autorités désignées en vertu d’un certain nombre de directives ou de règlements européens qui sont à la base de la désignation des autorités par les États membres dans les lois qui ont transposé les directives ou mis en œuvre les règlements européens visés. Il suffirait dès lors de formuler le texte de l’article 20-22 comme suit : « La CSSF et le CAA veillent à l’application du règlement (UE) 2022/2554 et du présent chapitre par les personnes visées au règlement précité et soumises à leur surveillance respective. » L’alinéa 2 désigne ensuite correctement les autorités compétentes concernées visées à l’article 32, paragraphe 5, du règlement 2022/2554, vu que la disposition en question du règlement européen invite explicitement les États membres à désigner les autorités compétentes en question. L’article 20-23 vise à mettre en œuvre l’article 50, paragraphes 2 et 4, lettres
10. c)et d), du règlement 2022/2554 en déterminant les pouvoirs de surveillance et d’enquête dont sont investis la CSSF et le CAA aux fins de l’application du règlement 2022/2554. Le paragraphe 2 de l’article 50 énumère de façon non limitative une série de pouvoirs dont les autorités disposent au minimum « pour s’acquitter des tâches qui leur incombent en vertu du présent règlement », laissant ainsi une certaine marge d’appréciation au législateur national pour mettre en œuvre le dispositif européen. Concernant le libellé des paragraphes 1er et 2 de l’article 20-23, le Conseil d’État note que les auteurs ont tenu compte des observations qu’il avait formulées dans son avis n° 53.028 du 12 mars 20191 portant sur le projet 1 Avis n° 53.028 du Conseil d’État du 12 mars 2019 relatif au projet de loi portant 1. mise en œuvre du règlement (UE) N° 345/2013 du Parlement européen et du Conseil du 17 avril 2013 relatif aux fonds de capital-risque européens ; 2. mise en œuvre du règlement (UE) N° 346/2013 du Parlement européen et du Conseil du 17 avril 2013 relatif aux fonds d'entrepreneuriat social européens ; 3. mise en œuvre du règlement (UE) 2015/760 du 4 de loi qui est devenu la loi précitée du 16 juillet 2019, et qui est modifiée par le présent projet de loi. Le Conseil d’État avait en effet demandé, sous peine d’opposition formelle, de définir de façon précise les pouvoirs accordés aux autorités de surveillance, ce à quoi les auteurs du projet de loi se sont employés en l’occurrence. Le Conseil d’État constate ensuite que les auteurs du présent projet de loi ont par ailleurs clairement distingué entre les pouvoirs qui sont accordés aux autorités compétentes et les sanctions qu’elles peuvent prononcer. Les dispositions de l’article 50, paragraphe 4, du règlement 2022/2554 qui sont censées énumérer les sanctions qui peuvent être prononcées en l’occurrence constituent un mélange de pouvoirs et de sanctions et les dispositions figurant sous les lettres
11. c)et
12. d)au titre des sanctions et mesures que peuvent prendre les autorités compétentes couvrent en fait des pouvoirs qui leur sont accordés. Les auteurs du projet de loi ont pour leur part fait le choix d’intégrer les dispositions en question dans l’énumération des pouvoirs, ce que le Conseil d’État ne peut qu’approuver. Il attire cependant l’attention des auteurs sur le caractère excessivement large du pouvoir désormais inclus sous le paragraphe 2, point 6, du projet de loi, qui permettra aux autorités compétentes, qui, rappelons-le, sont organisées sous la forme d’établissements publics, de « prendre les mesures appropriées pour faire en sorte que les entités financières continuent de se conformer aux dispositions du règlement (UE) 2022/2554 et des mesures prises pour son exécution ». L’article 129, paragraphe 1er, de la Constitution prévoit en effet que « la loi détermine l’objet, l’organisation et les compétences des établissements publics. » Les compétences de l’établissement public, en ce compris les pouvoirs dont il dispose le cas échéant pour exercer celles-ci, relevant d’une matière réservée à la loi, le Conseil d’État rappelle que, par arrêt du 3 mars 2023, la Cour constitutionnelle a considéré que, dans une matière réservée par la Constitution à la loi, « la fixation des objectifs des mesures d’exécution doit être clairement énoncée, de même que les conditions auxquelles elles sont, le cas échéant, soumises. » Les mesures que les établissements publics pourront prendre n’étant pas circonscrites, la disposition sous examen ne répond pas aux exigences de la Cour constitutionnelle. Partant, le Conseil d’État doit s’y opposer formellement. Les autres pouvoirs, et plus précisément les pouvoirs les plus délicats à manier, sont encadrés de façon à garantir leur utilisation de façon dissuasive, mais proportionnée, ce que le Conseil d’État approuve. L’article 20-24 a pour but de mettre en œuvre l’article 50, paragraphes 4 et 5, du règlement 2022/2554 en définissant les sanctions et mesures administratives que peuvent prendre la CSSF et le CAA en cas de violation des articles pertinents du règlement européen précité. Le Conseil d’État constate qu’en l’occurrence, une mise en œuvre des dispositions pertinentes du règlement 2022/2554 visées ci-dessus s’impose. Parlement européen et du Conseil du 29 avril 2015 relatif aux fonds européens d'investissement à long terme ; 4. mise en œuvre du règlement (UE) 2017/1131 du Parlement européen et du Conseil du 14 juin 2017 sur les fonds monétaires ; 5. mise en œuvre du règlement (UE) 2017/2402 du Parlement européen et du Conseil du 12 décembre 2017 créant un cadre général pour la titrisation ainsi qu'un cadre spécifique pour les titrisations simples, transparentes et standardisées, et modifiant les directives 2009/65/CE, 2009/138/CE et 2011/61/UE et les règlements (CE) n° 1060/2009 et (UE) n° 648/2012 ; 6. modification de la loi modifiée du 5 avril 1993 relative au secteur financier ; 7. modification de la loi du 23 juillet 2016 relative aux fonds d'investissement alternatifs réservés. 5 En effet, l’article 50, paragraphe 3, alinéa 1er, dudit règlement européen prévoit que « les États membres arrêtent des règles prévoyant des sanctions administratives et des mesures correctives appropriées en cas de violation du présent règlement et veillent à leur mise en œuvre effective ». Pour ce qui est des comportements qui pourront être sanctionnés, les auteurs du projet de loi sous avis proposent de se référer à une série d’articles du règlement 2022/2554 qui comportent des obligations sanctionnables dans le chef des acteurs du secteur financier concernés. Ce faisant, les auteurs indiquent répondre aux exigences du principe de la légalité des incriminations étant donné qu’il est renvoyé de manière précise aux différentes dispositions du règlement 2022/2554. Cette façon de procéder est calquée sur celle utilisée dans les autres chapitres de la loi précitée du 16 juillet 2019 et trouve l’accord du Conseil d’État. Pour ce qui est de la liste des sanctions qui peuvent être prononcées, et qui figure au paragraphe 2 de la disposition sous examen, le Conseil d’État note que les auteurs du projet de loi ont repris les sanctions qui, d’après l’article 50, paragraphe 4, du règlement 2022/2554, doivent au minimum pouvoir être appliquées par les autorités compétentes. Le Conseil d’État constate qu’en l’occurrence, une amende administrative d’un montant maximal pouvant aller jusqu’à 5 000 000 euros est prévue, et cela tant pour les personnes morales que pour les personnes physiques. Il relève que ce taux maximal se retrouve dans l’ensemble des dispositifs visés par la loi précitée du 16 juillet 2019, mais que, à part deux exceptions, les textes font une différence entre les personnes morales et les personnes physiques, ces dernières étant soumises à un régime de loin moins sévère. Cette divergence au niveau des régimes de sanctions ne s’imposant pas avec la clarté de l’évidence, le Conseil d’État recommande d’en harmoniser les termes. Article 26 Sans observation. Observations d’ordre légistique Intitulé L’intitulé du projet de loi sous avis prête à croire que le texte de la loi en projet sous revue comporte tant des dispositions autonomes que des dispositions modificatives. Or, comme la visée de la loi en projet est toutefois entièrement modificative et dans un souci de bien refléter la portée des modifications en projet, le Conseil d’État propose de conférer à la loi en projet l’intitulé suivant : « Projet de loi portant modification de : 1° la loi modifiée du 5 avril 1993 relative au secteur financier ; 2° la loi modifiée du 13 juillet 2005 relative aux institutions de retraite professionnelle sous forme de sepcav et assep ; 3° la loi modifiée du 10 novembre 2009 relative aux services de paiement ; 6 4° la loi modifiée du 17 décembre 2010 concernant les organismes de placement collectif ; 5° la loi modifiée du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs ; 6° la loi modifiée du 7 décembre 2015 sur le secteur des assurances ; 7° la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d’investissement ; 8° la loi modifiée du 30 mai 2018 relative aux marchés d’instruments financiers ; 9° la loi modifiée du 16 juillet 2019 relative à l’opérationnalisation de règlements européens dans le domaine des services financiers, en vue de la mise en œuvre du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 et de la transposition de la directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier ». Article 3 Au point 1°, il y a lieu d’écrire « Au paragraphe 3, deuxième phrase, les mots […] ». Article 4 Le terme « point » est à remplacer par le terme « sous ». Article 6 Pour caractériser l’énumération des modifications à effectuer, il est fait recours à des numéros suivis d’un exposant « ° » 1°, 2°, 3°, … Au point 2, le Conseil d’État suggère de remplacer les termes « l’expression » par les termes « les mots ». Article 10 Il y a lieu d’ajouter une virgule après les termes « de la même loi ». Cette observation vaut également pour l’article 24, phrase liminaire. Article 14 À l’article 105-1, paragraphe 1er, alinéa 1er, à insérer, il est signalé que les modifications doivent s’intégrer harmonieusement dans le texte originel, en en respectant le style initial. Partant, il convient d’écrire « visés à l’article 1er, points 37), i, ii), iv), vii) et viii), et 37quinquies) ». Cette observation vaut également pour l’article 15. 7 Article 21 À la phrase liminaire, le terme « Annexe » est à écrire avec une lettre initiale minuscule. Aux points 1° et 2°, phrases liminaires, le terme « Section » est à écrire avec une lettre initiale minuscule. Article 22 À la phrase liminaire, il convient d’ajouter une virgule avant les termes « est modifié comme suit ». Article 25 À l’article 20-23, paragraphe 3, alinéa 1er, deuxième phrase, à insérer, les termes « sur la demande » sont à supprimer. À l’article 20-23, paragraphe 3, à insérer, l’alinéa 3 est à terminer par un point final. À l’article 20-24, paragraphe 2, points 3 et 4, à insérer, il y a lieu d’écrire « 5 000 000 d’euros ». Ainsi délibéré en séance plénière et adopté à l’unanimité des 18 votants, le 27 février 2024. Le Secrétaire général, Le Président, s. Marc Besch s. Christophe Schiltz 8