Comment se conformer à l'article M.4 du CSSF 25/883 ?

Question

Je dois mettre mon organisation luxembourgeoise en conformité à l'article M.4 du CSSF 25/883 (CSSF 25/883). Quelles sont les exigences concretes a respecter, les sanctions encourues, et comment Luxgap peut-il m'accompagner ?

Accepted Answer

Le piège classiqueLa suppression des clauses cloud spécifiques de la 22/806 n'est pas un allegement : c'est un transfert de charge vers DORA. Le piège que la CSSF sanctionne, c'est l'entité financière qui croit que ses anciens contrats cloud restent valides parce que l'exigence EEA a disparu de 22/806, alors que les articles 28 et suivants de DORA imposent désormais un jeu de clauses contractuelles obligatoires plus strict (droits d'audit, stratégies de sortie, localisation des données, sous-traitance en chaîne). En pratique, la CSSF contrôle le registre des accords contractuels TIC et la présence effective des clauses DORA dans chaque contrat avec un fournisseur supportant une fonction critique ou importante.Ce qui change concrètement pour vos contrats cloudL'ancrage juridique EEA n'est plus une exigence 22/806, mais DORA impose la localisation et les conditions d'accès aux données comme élément contractuel obligatoire.Les clauses contractuelles deviennent identiques pour toutes les entités DORA, le cloud n'a plus de régime de faveur ni de régime aggrave spécifique.Chaque contrat supportant une fonction critique ou importante doit comporter les mentions de l'article 30 DORA : niveaux de service, droits d'audit et d'inspection, stratégies de sortie testables.Le registre des accords contractuels devient l'objet de contrôle prioritaire, son absence ou son incompletude est directement sanctionnable.La 25/883 doit être lue avec la CSSF 25/882 sur l'utilisation des services TIC tiers : c'est elle qui détaillé les attentes opérationnelles.Les sanctions ne sont pas creées par 25/883 elle-même. Le régime de la 22/806 reste applicable pour les entités hors DORA, et pour les exigences qui basculent sous DORA, ce sont les sanctions DORA qui s'appliquent (jusqu'à 1% du chiffre d'affaires journalier moyen par jour d'infraction pour les fournisseurs critiques).Comment Luxgap automatise ce risqueNotre Luxgap DORA Clause Auditor rend impossible le contrat cloud orphelin : un agent IA lit chaque contrat fournisseur TIC stocke dans votre DMS (M365 SharePoint, Odoo, eBRC vault) et détecte en quelques secondes les clauses article 30 DORA manquantes, sans que personne ne remplisse de formulaire. L'outil reconcilie automatiquement vos contrats réels avec votre registre des accords contractuels et signale les écarts entre l'ancien régime 22/806 et les exigences DORA harmonisées.Lit et classifie automatiquement chaque contrat cloud via un agent LLM spécialisé, en distinguant fonctions critiques ou importantes au sens de DORA.Détecte les clauses obligatoires manquantes (droits d'audit, stratégie de sortie testable, localisation des données, sous-traitance en chaîne) et propose le texte de remédiation aligne article 30 DORA.Reconcilie en temps réel vos contrats stockes dans M365 et Odoo avec votre registre des accords contractuels TIC et alerte sur les fournisseurs absents du registre.Identifié les anciennes clauses EEA devenues obsoletes au regard de la 22/806 amendée...

Modification 4, suppression des clauses contractuelles cloud specifiques

Ils nous font confiance

Avant de discuter