Loi du 1er juillet 2024 portant modification de : 1° la loi modifiée du 5 avril 1993 relative au secteur financier ; 2° la loi modifiée du 13 juillet 2005 relative aux institutions de retraite professionnelle sous forme de sepcav et assep ; 3° la loi modifiée du 10 novembre 2009 relative aux services de paiement ; 4° la loi modifiée du 17 décembre 2010 concernant les organismes de placement collectif ; 5° la loi modifiée du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs ; 6° la loi modifiée du 7 décembre 2015 sur le secteur des assurances ; 7° la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d’investissement ; 8° la loi modifiée du 30 mai 2018 relative aux marchés d’instruments financiers ; 9° la loi modifiée du 16 juillet 2019 relative à l’opérationnalisation de règlements européens dans le domaine des services financiers, en vue de la mise en œuvre du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 et de la transposition de la directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier

Nous Henri, Grand-Duc de Luxembourg, Duc de Nassau,

Le Conseil d’État entendu ;

Vu l’adoption par la Chambre des Députés ;

Vu la décision de la Chambre des Députés du 13 juin 2024 et celle du Conseil d’État du 25 juin 2024 portant qu’il n’y a pas lieu à second vote ;

Avons ordonné et ordonnons :

Chapitre 1^er Modification de la loi modifiée du 5 avril 1993 relative au secteur financier

Art. 1^er.

L’article 5, paragraphe 1bis, alinéa 1^er, de la loi modifiée du 5 avril 1993 relative au secteur financier, est modifié comme suit :

](/eli/reg_ue/2012/648/jo), (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011, ci-après le « règlement (UE) 2022/2554 » sont insérés entre les mots administratives et comptables saines et les mots et des politiques ;

Art. 2.

À l’article 17, paragraphe 1bis, de la même loi, les mots ainsi que des mécanismes de contrôle et de sécurité de ses systèmes informatiques sont supprimés.

Art. 3.

L’article 37-1 de la même loi est modifié comme suit :

Art. 4.

À l’article 53, paragraphe 2, lettre a), sous vi), de la même loi, le mot opérationnelles est remplacé par les mots , y compris, le cas échéant, les prestataires tiers de services TIC visés au chapitre V du règlement (UE) 2022/2554 .

Art. 5.

L’article 53-21, paragraphe 2, de la même loi prend la teneur suivante :

« (2)

Les établissements CRR disposent de politiques et de plans d’urgence et de poursuite de l’activité adéquats, y compris des politiques et des plans en matière de continuité des activités de TIC et des plans de réponse et de rétablissement des TIC concernant les technologies qu’ils utilisent pour la communication d’informations. Les établissements CRR établissent, gèrent et testent ces plans conformément à l’article 11 du règlement (UE) 2022/2554, afin qu’ils puissent poursuivre leurs activités en cas de grave perturbation de celles-ci et limiter les pertes subies à la suite d’une telle perturbation. ».

Art. 6.

L’article 53-25, paragraphe 1^er, de la même loi est modifié comme suit :

les risques mis en évidence par des tests de résilience opérationnelle numérique conformément au chapitre IV du règlement (UE) 2022/2554. ».

Art. 7.

À l’article 59-18, paragraphe 4, lettre p), de la même loi, les mots l’infrastructure et les services informatiques sont remplacés par les mots les réseaux et les systèmes d’information qui sont mis en place et gérés conformément au règlement (UE) 2022/2554 .

Chapitre 2 Modification de la loi modifiée du 13 juillet 2005 relative aux institutions de retraite professionnelle sous forme de sepcav et assep

Art. 8.

À l’article 57-1, paragraphe 5, de la loi modifiée du 13 juillet 2005 relative aux institutions de retraite professionnelle sous forme de sepcav et assep, les mots et, en particulier, mettent en place et gèrent des réseaux et des systèmes d’information conformément au règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011, le cas échéant sont ajoutés après les mots appropriés et proportionnés.

Chapitre 3 Modification de la loi modifiée du 10 novembre 2009 relative aux services de paiement

Art. 9.

À l’article 3, lettre j), de la loi modifiée du 10 novembre 2009 relative aux services de paiement, les mots et de la communication (ci-après « TIC ») sont insérés entre les mots technologies de l’information et les mots et la fourniture.

Art. 10.

L’article 8, paragraphe 1^er, de la même loi, est modifié comme suit :

1. L’alinéa 1^er est modifié comme suit :

À la lettre e), les mots ainsi que des dispositions relatives à l’utilisation des services TIC conformément au règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011, ci-après le « règlement (UE) 2022/2554 », sont insérés entres les mots du requérant, et les mots qui démontre ; À la lettre m), les mots en vertu de l’article 105-2 sont remplacés par les mots fixées au chapitre III du règlement (UE) 2022/2554 ; À la lettre o), les mots activités essentielles, des plans d’urgence appropriés et une procédure prévoyant de soumettre ces plans à des tests et de réexaminer périodiquement leur adéquation et leur efficience sont remplacés par les mots opérations critiques, une politique et des plans en matière de continuité des activités de TIC et des plans de réponse et de rétablissement des TIC efficaces, ainsi qu’une procédure prévoyant de tester et de réexaminer régulièrement le caractère adéquat et l’efficacité de ces plans conformément au règlement (UE) 2022/2554 ;

Art. 11.

À l’article 11, paragraphe 4, alinéa 2, de la même loi, le mot informatiques est remplacé par les mots de TIC.

Art. 12.

L’article 24-4 de la même loi est modifié comme suit :

1. L’alinéa 1^er est modifié comme suit :

À la lettre e), les mots ainsi que des dispositions relatives à l’utilisation des services TIC conformément au règlement (UE) 2022/2554, sont insérés entre les mots du requérant, et les mots qui démontre ; À la lettre m), les mots en vertu de l’article 105-2 sont remplacés par les mots fixées au chapitre III du règlement (UE) 2022/2554 ; À la lettre o), les mots activités essentielles, des plans d’urgence appropriés et une procédure prévoyant de soumettre ces plans à des tests et de réexaminer périodiquement leur adéquation et leur efficience sont remplacés par les mots opérations critiques, une politique et des plans en matière de continuité des activités de TIC et des plans de réponse et de rétablissement des TIC efficaces, ainsi qu’une procédure prévoyant de tester et de réexaminer régulièrement le caractère adéquat et l’efficacité de ces plans conformément au règlement (UE) 2022/2554 ;

Art. 13.

À l’article 24-7, paragraphe 4, alinéa 2, de la même loi, le mot informatiques est remplacé par les mots de TIC.

Art. 14.

À l’article 105-1, paragraphe 1^er, de la même loi, il est inséré un nouvel alinéa 2, libellé comme suit :

« L’alinéa 1^er est sans préjudice de l’application du chapitre II du règlement (UE) 2022/2554 aux prestataires de services de paiement visés à l’article 1^er, points 37), i), ii), iv), vii) et viii), et 37quinquies). ».

Art. 15.

À l’article 105-2 de la même loi, il est inséré à la suite du paragraphe 3, un nouveau paragraphe 4, libellé comme suit :

« (4)

Le paragraphe (1) ne s’applique pas aux prestataires de services de paiement visés à l’article 1^er, points 37), i), ii), iv), vii) et viii), et 37quinquies). ».

Chapitre 4 Modification de la loi modifiée du 17 décembre 2010 concernant les organismes de placement collectif

Art. 16.

À l’article 109, paragraphe 1^er, lettre a), de la loi modifiée du 17 décembre 2010 concernant les organismes de placement collectif, les mots sécurité dans le domaine informatique sont remplacés par les mots sauvegarde dans le domaine du traitement électronique des données, y compris en ce qui concerne les réseaux et les systèmes d’information qui sont mis en place et gérés conformément au règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, [(UE) n° 600/2014

](/eli/reg_ue/2014/600/jo), (UE) n° 909/2014 et (UE) 2016/1011 .

Chapitre 5 Modification de la loi modifiée du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs

Art. 17.

L’article 16, alinéa 2, de la loi modifiée du 12 juillet 2013 relative aux gestionnaires de fonds d’investissement alternatifs est modifié comme suit :

1. Les mots y compris en ce qui concerne les réseaux et les systèmes d’information qui sont mis en place et gérés conformément au règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011, sont insérés entre les mots traitement électronique des données, et les mots ainsi que des mécanismes ;

Chapitre 6 Modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances

Art. 18.

À l’article 71, paragraphe 4, deuxième phrase, de la loi modifiée du 7 décembre 2015 sur le secteur des assurances, les mots et, en particulier, de mettre en place et de gérer des réseaux et des systèmes d’information conformément au règlement (UE) 2022/2554 sont ajoutés après les mots appropriés et proportionnés.

Art. 19.

À l’article 256-22, paragraphe 6, deuxième phrase, de la même loi, les mots et, en particulier, de mettre en place et de gérer des réseaux et des systèmes d’information conformément au règlement (UE) 2022/2554, le cas échéant sont ajoutés après les mots appropriés et proportionnés.

Chapitre 7 Modification de la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d’investissement

Art. 20.

L’article 9, paragraphe 4, de la loi modifiée du 18 décembre 2015 relative à la défaillance des établissements de crédit et de certaines entreprises d’investissement, est modifié comme suit :

](/eli/reg_ue/2012/648/jo), (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011, ci-après le « règlement (UE) 2022/2554 ».

Art. 21.

L’annexe 1 de la même loi est modifiée comme suit :

Au point 14, les mots , ainsi que l’identification des prestataires tiers critiques de services TIC, tels qu’ils sont définis à l’article 3, point 23., du règlement (UE) 2022/2554 sont ajoutés après les mots activités fondamentales ; Il est inséré après le point 14, un nouveau point 14bis, libellé comme suit :

les résultats des tests de résilience opérationnelle numérique des établissements en vertu du règlement (UE) 2022/2554 ; » ; « 14bis.

Au point 4, les mots , y compris les accords contractuels relatifs à l’utilisation de services TIC, sont insérés entre les mots contrats de service et les mots que l’établissement, et les mots solides et sont insérés entre le mot sont et les mots pleinement applicables ; Il est inséré après le point 4, un nouveau point 4bis, libellé comme suit :

la résilience opérationnelle numérique des réseaux et des systèmes d’information qui soutiennent les fonctions critiques et les activités fondamentales de l’établissement, compte tenu des rapports sur les incidents majeurs liés aux TIC et des résultats des tests de résilience opérationnelle numérique en vertu du règlement (UE) 2022/2554 ; ».

« 4bis.

Chapitre 8 Modification de la loi modifiée du 30 mai 2018 relative aux marchés d’instruments financiers

Art. 22.

L’article 6, paragraphe 1^er, de la loi modifiée du 30 mai 2018 relative aux marchés d’instruments financiers, est modifié comme suit :

1. Au point 2, les mots y compris le risque lié aux TIC conformément au chapitre II du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, [(UE) n° 600/2014

](/eli/reg_ue/2014/600/jo), (UE) n° 909/2014 et (UE) 2016/1011, ci-après le « règlement (UE) 2022/2554 », sont insérés entre les mots ils sont exposés, et les mots de mettre en place ;

Art. 23.

L’article 7 de la même loi est modifié comme suit :

1. Le paragraphe 1^er est modifié comme suit :

Les mots disposent de systèmes, de procédures et de mécanismes efficaces sont remplacés par les mots mettent en place et maintiennent leur résilience opérationnelle conformément aux exigences fixées au chapitre II du règlement (UE) 2022/2554 ; Les mots , y compris une politique et des plans en matière de continuité des activités de TIC et des plans de réponse et de rétablissement des TIC mis en place conformément à l’article 11 du règlement (UE) 2022/2554, sont insérés entre les mots continuité des activités et le mot assurant ;

sont insérés entre les mots ces essais et les mots , pour garantir.

Art. 24.

L’article 60, paragraphe 1^er, de la même loi, est modifié comme suit :

**1. À la première phrase, les mots conformément aux exigences fixées au chapitre II du règlement (UE) 2022/2554 sont insérés entre les mots capacité suffisante et les mots , qu’ils sont soumis ;

Les mots , y compris d’une politique et de plans en matière de continuité des activités de TIC et de plans de réponse et de rétablissement des TIC mis en place conformément à l’article 11 du règlement (UE) 2022/2554, sont insérés entre les mots systèmes de négociation et les mots et veillent à ce que ; Les mots et aux exigences spécifiques fixées aux chapitres II et IV du règlement 2022/2554 sont ajoutés après les mots du présent paragraphe.**

Chapitre 9 Modification de la loi modifiée du 16 juillet 2019 relative à l’opérationnalisation de règlements européens dans le domaine des services financiers

Art. 25.

Après l’article 20-20 de la loi modifiée du 16 juillet 2019 relative à l’opérationnalisation de règlements européens dans le domaine des services financiers, il est inséré un nouveau chapitre 4quinquies, libellé comme suit :

« Chapitre 4quinquies

Mise en œuvre du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011

Art. 20-21.

Définitions

Les termes utilisés dans le présent chapitre ont la signification qui leur est attribuée par le règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014 , (UE) n° 909/2014 et (UE) 2016/1011, ci-après « règlement (UE) 2022/2554 ».

Art. 20-22.

Autorités compétentes au Luxembourg

La CSSF et le CAA sont les autorités compétentes au Luxembourg visées à l’article 46 du règlement (UE) 2022/2554 chargées de veiller à l’application dudit règlement et du présent chapitre par les personnes visées au règlement (UE) 2022/2554 et soumises à leur surveillance respective.

La CSSF et le CAA sont les autorités compétentes concernées visées à l’article 32, paragraphe 5, du règlement (UE) 2022/2554.

Art. 20-23.

Pouvoirs de la CSSF et du CAA

(1)

Aux fins de l’application du règlement (UE) 2022/2554, du présent chapitre et des mesures prises pour leur exécution, la CSSF et le CAA sont investis des pouvoirs de surveillance et d’enquête nécessaires à l’exercice de leurs fonctions, dans les limites définies par ledit règlement.

(2)

Les pouvoirs de la CSSF et du CAA sont les suivants :

accéder à tout document et à toute donnée, sous quelque forme que ce soit, et en recevoir ou en prendre une copie ; procéder auprès des personnes soumises à leur surveillance respective à des inspections sur place ou à des enquêtes ; convoquer les représentants des entités financières et leur demander de fournir oralement ou par écrit des explications sur des faits ou des documents en rapport avec l’objet et le but de l’enquête visée au point 2, et enregistrer leurs réponses ; interroger toute autre personne physique ou morale qui accepte de l’être aux fins de recueillir des informations concernant l’objet d’une enquête visée au point 2 ; sous réserve de l’autorisation judiciaire prévue au paragraphe 3, exiger les enregistrements de données relatives au trafic détenus par les fournisseurs de services de communications électroniques et les opérateurs de réseaux de communications publics, lorsqu’il existe des raisons de suspecter une violation et que de tels enregistrements peuvent se révéler utiles à la manifestation de la vérité dans le cadre d’une enquête relative à la violation des dispositions visées à l’article 20-24, paragraphe 1^er ; imposer des sanctions administratives et autres mesures administratives conformément à l’article 20-24 ; transmettre des informations au procureur d’État en vue de poursuites pénales.

(3)

La CSSF n’exerce le pouvoir prévu au paragraphe 2, point 5, qu’après autorisation préalable par ordonnance du juge d’instruction près le tribunal d’arrondissement de et à Luxembourg. L’ordonnance est rendue sur requête motivée de la CSSF. Le juge d’instruction directeur ou en cas d’empêchement le magistrat qui le remplace désigne, pour chaque requête de la CSSF, le juge qui en sera chargé.

Le juge d’instruction vérifie que la demande motivée de la CSSF qui lui est soumise est justifiée et proportionnée au but recherché. La demande comporte tous les éléments d’information de nature à justifier l’autorisation demandée.

L’ordonnance visée à l’alinéa 1^er est susceptible des voies de recours comme en matière d’ordonnances du juge d’instruction. Les voies de recours ne sont pas suspensives.

Art. 20-24.

Sanctions administratives et autres mesures administratives

(1)

La CSSF et le CAA ont le pouvoir d’infliger les sanctions administratives et autres mesures administratives visées au paragraphe 2 en cas de violation de l’article 4, paragraphes 1^er et 2, de l’article 5, de l’article 6, paragraphes 1^er à 8 et paragraphe 10, deuxième phrase, des articles 7 à 10, de l’article 11, paragraphes 1^er à 10, des articles 12 à 14, de l’article 16, paragraphe 1^er, alinéa 2 et paragraphe 2, de l’article 17, de l’article 18, paragraphes 1^er et 2, de l’article 19, paragraphe 1^er, alinéas 1^er, 3, 4, 5 et paragraphes 3 à 5, deuxième phrase, des articles 23 à 25, de l’article 26, paragraphes 1^er à 3, paragraphes 5 et 6, paragraphe 7, deuxième phrase et paragraphe 8, alinéas 1^er et 2, de l’article 27, de l’article 28, paragraphes 1^er à 8, de l’article 29, de l’article 30, paragraphes 1^er à 4, de l’article 31, paragraphe 12, de l’article 42, paragraphe 3, alinéa 2 , et de l’article 45 du règlement (UE) 2022/2554.

Lorsque les dispositions visées à l’alinéa 1^er s’appliquent à des personnes morales, la CSSF et le CAA ont le pouvoir d’infliger, dans les limites de leurs compétences respectives, les sanctions administratives et autres mesures administratives visées au paragraphe 2 à l’égard des membres de l’organe de direction et de toute autre personne responsable de la violation.

(2)

La CSSF et le CAA peuvent prononcer, dans les limites de leurs compétences respectives, contre les personnes soumises à leur surveillance respective, pour les cas visés au paragraphe 1^er :

une injonction ordonnant à la personne responsable de la violation de mettre un terme au comportement en cause et de s’abstenir de le réitérer ; la cessation temporaire ou définitive de toute pratique jugée par l’autorité compétente contraire aux dispositions du règlement (UE) 2022/2554 ; dans le cas d’une personne physique, une amende administrative d’un montant maximal de 5 000 000 euros ; dans le cas d’une personne morale, une amende administrative d’un montant maximal de 5 000 000 euros ou jusqu’à 10 pour cent du chiffre d’affaires annuel total selon les derniers comptes disponibles approuvés par l’organe de direction, de surveillance ou d’administration. Lorsque la personne morale est une entreprise mère ou une filiale d’une entreprise mère qui est tenue d’établir des comptes consolidés conformément à la directive 2013/34/UE, le chiffre d’affaires annuel total à prendre en considération est le chiffre d’affaires annuel total, tel qu’il ressort des derniers comptes consolidés disponibles approuvés par l’organe de direction de l’entreprise mère ultime ; une déclaration publique précisant l’identité de la personne responsable et la nature de la violation, conformément à l’article 54 du règlement (UE) 2022/2554.

(3)

La CSSF et le CAA peuvent prononcer une amende d’ordre de 250 à 250 000 euros contre ceux qui font obstacle à l’exercice de leurs pouvoirs de surveillance et d’enquête, qui ne donnent pas suite à leurs injonctions prononcées en vertu du paragraphe 2, point 1, ou qui leur ont sciemment donné des informations inexactes ou incomplètes suite à des demandes basées sur l’article 20-23, paragraphe 2, points 1 à 4.

(4)

Les décisions prises par la CSSF et le CAA dans l’exercice de leurs pouvoirs de sanctions sont motivées.

Art. 20-25.

Droit de recours

Les décisions prises par la CSSF ou le CAA en vertu du présent chapitre ou du règlement (UE) 2022/2554 peuvent être déférées dans le délai d’un mois, sous peine de forclusion, au tribunal administratif qui statue comme juge du fond. ».

Chapitre 10 Entrée en vigueur

Art. 26.

La présente loi entre en vigueur le 17 janvier 2025.

Mandons et ordonnons que la présente loi soit insérée au Journal officiel du Grand-Duché de Luxembourg pour être exécutée et observée par tous ceux que la chose concerne.

Le Ministre des Finances, Gilles Roth

Cabasson, le 1^er juillet 2024. Henri