Le piège classique
Ce considérant rappelle l'origine de DORA : un avis technique conjoint des trois AES (ABE, AEAPP, AEMF) demandant une approche coherente et proportionnée du risque TIC. En pratique, la CSSF s'appuie sur cette intention pour refuser les approches a la carte : une banque privée ne peut pas inventer son propre référentiel maison en ignorant les normes techniques de réglementation (RTS) publiées par les AES. Le piège classique consiste a traiter DORA comme un projet IT isole, deconnecte des orientations EBA/EIOPA/ESMA déjà en vigueur (orientations EBA sur l'externalisation, orientations EBA sur la gestion du risque TIC et de la sécurité), alors que DORA les consolide et les rend contraignantes.
La proportionnalité : une arme a double tranchant
Le considérant 7 insiste sur le caractère proportionné du renforcement. Cette proportionnalité (reprise a l'article 4 de DORA) est souvent mal interpretée :
- Elle ne dispense aucune entité financière des obligations de base (gouvernance TIC, registre des prestataires tiers, gestion des incidents majeurs, tests de résilience).
- Elle module l'intensite des contrôles selon la taille, le profil de risque, la nature et la complexité des services, mais pas leur existence.
- Les microentreprises beneficient d'un régime allege explicite (article 16), mais une fintech de 20 personnes régulée CSSF reste pleinement soumise au socle.
- La CSSF attend une justification documentée de chaque arbitrage de proportionnalité : sans dossier écrit, l'argument tombe en contrôle.
L'articulation avec les orientations sectorielles preexistantes
Avant de relire vos politiques DORA, cartographiez ce que vous appliquez déjà : orientations EBA/GL/2019/02 sur l'externalisation, EBA/GL/2019/04 sur la gestion du risque TIC, circulaire CSSF 22/806 sur les arrangements d'externalisation, circulaire CSSF 20/750 sur le risque TIC et de sécurité. DORA absorbe et durcit ces textes : un mapping de votre conformité actuelle vers les articles de DORA evite de refaire deux fois le même travail.
Comment Luxgap automatise ce risque
Notre Luxgap DORA Proportionality Engine transforme la proportionnalité déclarative en argumentaire opposable a la CSSF. L'outil ingere votre bilan, votre RAS (risk appetite statement), votre cartographie SI et vos contrats d'externalisation depuis vos systèmes connectes (Sage BOB 50, M365, Active Directory, registres internes), puis calcule pour chaque exigence DORA le niveau d'application attendu avec son raisonnement juridique, en croisant DORA, les RTS publiées par les AES et les circulaires CSSF.
- Classe automatiquement votre entité (microentreprise, petite entité non interconnectée, entité standard, entité significative) selon les critères de l'article 16 et des RTS, avec recalcul mensuel des qu'un indicateur change.
- Mappe chaque politique TIC existante (circulaire CSSF 20/750, EBA/GL/2019/04, ISO 27001) vers l'article DORA correspondant et détecte les écarts a combler.
- Génère une note de proportionnalité par exigence, signée electroniquement, qui justifie chaque arbitrage avec citation des considérants et articles de DORA.
- Alerte en temps réel quand un nouveau RTS ou ITS est publie au JOUE et impacte votre dossier de proportionnalité.
- Produit un dossier PDF horodate, scelle cryptographiquement, remis a la CSSF lors d'un contrôle sur place pour démontrer la cohérence avec l'intention du legislateur européen.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur votre cartographie réelle, avec un audit blanc gratuit sous 48h pour mesurer votre exposition avant tout engagement.
