ConformitéCompliance25 oct. 202625 Oct 20268 min de lecture
DORA au Luxembourg : ce que la résilience opérationnelle exige vraiment du secteur financierDORA in Luxembourg: what operational resilience really requires from the financial sector
Applicable depuis janvier 2025, DORA impose aux banques, PSF, assureurs et gestionnaires de fonds un cadre strict : gestion des risques TIC, incidents déclarés en 4 heures, tests et contrôle des prestataires.Applicable since January 2025, DORA imposes a strict framework on banks, PSFs, insurers and fund managers: ICT risk management, incidents reported within 4 hours, testing and third-party control.
Dësen Artikel ass op Franséisch an op Englesch verfügbar. Dir liest hei d'franséisch Versioun.
Le règlement DORA (Digital Operational Resilience Act, règlement (UE) 2022/2554) est applicable depuis le 17 janvier 2025. Contrairement à NIS2, c'est un règlement européen : il s'applique directement, sans transposition, et de façon identique dans tous les États membres. Pour la place financière luxembourgeoise, c'est un changement de nature : la résilience numérique n'est plus une bonne pratique encouragée par circulaire, c'est une obligation réglementaire contrôlée par la CSSF et, pour les assurances, par le Commissariat aux Assurances.
1. Qui est concerné au Luxembourg
Le périmètre est large : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d'investissement, sociétés de gestion et fonds d'investissement alternatifs, assureurs et réassureurs, intermédiaires d'assurance au-delà d'une certaine taille, prestataires de services sur crypto-actifs, et bien sûr les PSF. S'y ajoutent les prestataires tiers de services TIC qui servent ces entités : hébergeurs, éditeurs, intégrateurs, infogérants. Un prestataire informatique luxembourgeois qui compte une banque ou un fonds parmi ses clients est indirectement soumis à DORA par voie contractuelle.
DORA prévoit un principe de proportionnalité : une petite société de gestion n'a pas les mêmes obligations qu'une banque systémique. Mais la proportionnalité joue sur l'ampleur des mesures, pas sur leur existence.
2. Les cinq piliers
Gestion des risques TIC
L'entité doit disposer d'un cadre de gestion des risques informatiques documenté, approuvé par l'organe de direction, couvrant l'identification des actifs, la protection, la détection, la réponse et le rétablissement. Concrètement : un inventaire à jour des systèmes, une cartographie des dépendances, des politiques de sécurité, et un dispositif de détection des anomalies.
Gestion et déclaration des incidents TIC
C'est le pilier le plus contraignant au quotidien. Chaque incident doit être enregistré et classifié. Les incidents majeurs sont déclarés à l'autorité compétente selon un calendrier serré : notification initiale dans les 4 heures suivant la classification comme majeur, et au plus tard 24 heures après la détection ; rapport intermédiaire sous 72 heures ; rapport final sous un mois. Tenir 4 heures impose une chaîne de détection et de qualification qui fonctionne en dehors des heures de bureau.
Tests de résilience opérationnelle numérique
Toutes les entités doivent tester régulièrement leurs systèmes critiques : analyses de vulnérabilités, tests de configuration, scénarios de reprise. Les entités désignées par l'autorité doivent en plus conduire, tous les trois ans, des tests de pénétration fondés sur la menace (TLPT), réalisés par des testeurs qualifiés sur des systèmes en production.
Gestion du risque lié aux prestataires tiers
DORA impose de tenir un registre d'information de tous les contrats de services TIC, de distinguer ceux qui soutiennent des fonctions critiques, et d'y inclure des clauses précises : niveaux de service, localisation des données, droit d'audit, stratégie de sortie. Le registre est transmis à la CSSF. Pour une structure moyenne, revoir tous les contrats fournisseurs est souvent le chantier le plus long.
Partage d'information
Les entités sont encouragées à échanger entre elles des renseignements sur les menaces, dans un cadre de confiance. Au Luxembourg, le CIRCL et les plateformes sectorielles jouent ce rôle.
3. Ce que ça change pour une entité de taille moyenne
Les grandes banques disposaient déjà de l'essentiel. Pour une société de gestion de vingt personnes, un PSF de support ou un courtier, DORA crée trois besoins nouveaux :
Une détection qui tient les délais. Sans supervision des journaux de sécurité, la notification en 4 heures est impossible à tenir. Un service de supervision managé, qui surveille firewalls, accès distants et postes, qualifie les alertes et conserve la trace, répond à cette exigence sans construire un SOC interne.
Des preuves. DORA se contrôle sur pièces : registre des incidents, résultats des tests, registre des prestataires, procès-verbaux d'approbation par la direction. Chaque mesure technique doit laisser une trace exploitable lors d'une inspection.
Une maîtrise des fournisseurs. Savoir quel prestataire a accès à quoi, avec quel niveau de service et quelle clause de réversibilité. Cela commence par un inventaire des accès administrateurs externes sur vos équipements.
4. Un plan réaliste en 90 jours
Semaines 1 à 2 : cartographier. Fonctions critiques, systèmes qui les portent, prestataires impliqués. C'est la base du registre d'information.
Semaines 3 à 6 : auditer et corriger l'évident. Audit de configuration des équipements de sécurité, revue des accès distants, MFA partout où c'est possible. Chaque constat corrigé est une pièce pour le dossier.
Semaines 7 à 10 : outiller la détection et la déclaration. Supervision des journaux, procédure de classification des incidents, modèle de notification prêt à l'emploi avec les coordonnées de la CSSF.
Semaines 11 à 13 : formaliser. Cadre de gestion des risques TIC, approbation par la direction, plan de tests annuel, revue des contrats prioritaires.
Ce qu'il faut retenir
DORA ne récompense pas les grands discours sur la résilience ; il vérifie des délais, des registres et des tests. Pour une entité financière luxembourgeoise de taille moyenne, l'essentiel se joue sur deux choses : une détection capable de qualifier un incident en quelques heures, et une documentation que l'on peut présenter sans préparation à la CSSF.
The DORA regulation (Digital Operational Resilience Act, Regulation (EU) 2022/2554) has applied since 17 January 2025. Unlike NIS2, it is a European regulation: it applies directly, without transposition, and identically in all Member States. For the Luxembourg financial centre, this is a change in nature: digital resilience is no longer a good practice encouraged by circular, it is a regulatory obligation supervised by the CSSF and, for insurance, by the Commissariat aux Assurances.
1. Who is concerned in Luxembourg
The scope is broad: credit institutions, payment and e-money institutions, investment firms, management companies and alternative investment funds, insurers and reinsurers, insurance intermediaries above a certain size, crypto-asset service providers, and of course PSFs. Added to these are the ICT third-party service providers serving these entities: hosting providers, software vendors, integrators, managed service providers. A Luxembourg IT provider with a bank or a fund among its clients is indirectly subject to DORA through its contracts.
DORA includes a principle of proportionality: a small management company does not have the same obligations as a systemic bank. But proportionality affects the extent of the measures, not their existence.
2. The five pillars
ICT risk management
The entity must have a documented ICT risk management framework, approved by the management body, covering asset identification, protection, detection, response and recovery. In practice: an up-to-date inventory of systems, a map of dependencies, security policies, and a mechanism for detecting anomalies.
ICT incident management and reporting
This is the most demanding pillar on a daily basis. Every incident must be recorded and classified. Major incidents are reported to the competent authority on a tight schedule: initial notification within 4 hours of classification as major, and at the latest 24 hours after detection; intermediate report within 72 hours; final report within one month. Meeting 4 hours requires a detection and qualification chain that works outside office hours.
Digital operational resilience testing
All entities must regularly test their critical systems: vulnerability scans, configuration tests, recovery scenarios. Entities designated by the authority must additionally conduct, every three years, threat-led penetration tests (TLPT), carried out by qualified testers on production systems.
Third-party risk management
DORA requires maintaining a register of information of all ICT service contracts, distinguishing those supporting critical functions, and including precise clauses: service levels, data location, audit rights, exit strategy. The register is submitted to the CSSF. For a mid-sized structure, reviewing all supplier contracts is often the longest workstream.
Information sharing
Entities are encouraged to exchange threat intelligence with each other within a trusted framework. In Luxembourg, CIRCL and sector platforms play this role.
3. What it changes for a mid-sized entity
Large banks already had most of it. For a twenty-person management company, a support PSF or a broker, DORA creates three new needs:
Detection that meets the deadlines. Without monitoring of security logs, notification within 4 hours is impossible to achieve. A managed monitoring service that watches firewalls, remote access and endpoints, qualifies alerts and keeps the record meets this requirement without building an in-house SOC.
Evidence. DORA is checked on documents: incident register, test results, provider register, minutes of management approval. Every technical measure must leave a usable trace in the event of an inspection.
Control over suppliers. Knowing which provider has access to what, with which service level and which reversibility clause. It starts with an inventory of external administrator access on your equipment.
4. A realistic 90-day plan
Weeks 1 to 2: map. Critical functions, the systems that support them, the providers involved. This is the basis of the register of information.
Weeks 3 to 6: audit and fix the obvious. Configuration audit of security equipment, review of remote access, MFA wherever possible. Every corrected finding is a document for the file.
Weeks 7 to 10: equip detection and reporting. Log monitoring, incident classification procedure, ready-to-use notification template with the CSSF's contact details.
Weeks 11 to 13: formalise. ICT risk management framework, management approval, annual test plan, review of priority contracts.
Key takeaway
DORA does not reward grand speeches about resilience; it checks deadlines, registers and tests. For a mid-sized Luxembourg financial entity, the essentials come down to two things: detection capable of qualifying an incident within hours, and documentation you can present to the CSSF without preparation.
Détecter en minutes, déclarer dans les délais.Detect in minutes, report on time.
Notre supervision managée depuis le Luxembourg vous donne la détection et la traçabilité que DORA exige.Our managed monitoring from Luxembourg gives you the detection and traceability DORA requires.