Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
29 articles trouves · #cssf
CSSF 26/906 : gouvernance et sauvegardes immuables DORA avant le 30 juin
La CSSF 26/906 impose aux EP/EME de revoir gouvernance et gestion des risques d’ici au 30 juin 2026. Des sauvegardes immuables et isolées prouvent la résilience DORA face au ransomware.
Commission européenne: attaque cloud, le CSPM clé sous CSSF 22/806
Le 27 mars 2026, la Commission européenne a confirmé une intrusion et une exfiltration de données touchant l’infrastructure cloud d’Europa.eu. Comment un CSPM répond aux exigences CSSF 22/806 et évite ce scénario.
DORA — Succursales de pays tiers: registre TIC à remettre d’ici le 30 juin
Dernière ligne droite DORA au Luxembourg: les succursales de banques de pays tiers doivent soumettre leur registre d’informations TIC à la CSSF au plus tard le 30 juin 2026. Voici comment s’y prendre cette semaine.
CSSF — Axios contaminé (31/03/2026) : EDR/XDR pour détecter et notifier DORA
La CSSF alerte sur la compromission supply‑chain d’Axios et rappelle l’obligation de notifier un incident majeur TIC sous la circulaire 25/893 (DORA). Voici comment une pile EDR/XDR aide à détecter, circonscrire et notifier dans les délais.
Article 28 RGPD: l’APD sanctionne la SWDE — votre DPA doit être béton
Le 12 mai 2026, l’APD a infligé 86 000 € à la SWDE, dont 1 000 € pour absence de DPA conforme à l’article 28 RGPD. Enseignement clé: sans DPA complet, chaque traitement externalisé met le responsable en défaut.
CSSF 25/880 — la campagne PSP ICT Assessment 2026 exige un VM continu
La CSSF a lancé la campagne « PSD2 – PSP ICT Assessment » 2026: chaque PSP doit soumettre une évaluation TIC à jour via eDesk. Un vulnerability management continu répond NIS 2 art. 21 et DORA art. 25–27.
ANSSI — Analyse de risque chiffrement: actions RGPD art. 32 et CSSF 22/806
Le 27/05/2026, l’ANSSI publie une analyse de risque « chiffrement ». Voici comment traduire ces recommandations en une architecture “at‑rest” et “in‑transit” alignée RGPD art. 32 et CSSF 22/806, avec feuille de route post‑quantique.
DORA art. 28: la CSSF durcit le ton sur le registre des dépendances ICT
Au 16 mars 2026, seules 40% des entités avaient soumis leur registre DORA art. 28. La CSSF prévient: contrôles qualité par les AES, rejets possibles et corrections sous délais, avec un « best effort » au 30 juin pour certaines succursales.
CSSF: exigences du contrôle sur la valorisation d’actifs illiquides
Le 4 juin 2026, la CSSF publie un retour d’expérience sur la valorisation des actifs illiquides chez les IFM. Elle exige un benchmarking immédiat des pratiques et des mesures correctrices documentées.
CSSF — Circulaire 25/893 : alerte et reporting TIC durcis sous DORA
La CSSF durcit la classification et la notification des incidents TIC sous DORA via eDesk. Voici comment une pile EDR/XDR permet de détecter, qualifier et reporter dans les délais harmonisés.
CSSF 25/883 modifie 22/806: surveillance cloud continue
Le 9 avril 2025, la CSSF a ajusté 22/806 via 25/883 pour aligner l’externalisation TIC avec DORA. Voici comment un CSPM robuste prévient les fuites cloud et démontre la conformité.
CSSF: DORA prime et précise l’externalisation TIC (avril 2025)
La CSSF a acté la primauté de DORA dès le 17 janvier 2025 et publie la circulaire 25/882 pour encadrer l’usage de services TIC tiers, le registre d’informations (art. 28) et les notifications via eDesk.