Digital··4 min
DORA : les succursales de pays tiers au Luxembourg dans le champ d'application
La CSSF a confirmé le 27 août 2026 que les succursales luxembourgeoises de banques, entreprises d'investissement, PSAN ou établissements de paiement dont le siège est hors UE peuvent tomber dans le champ de DORA. Les responsables compliance concernés ont jusqu'au 30 juin 2026 pour déposer leur premier registre d'information.
La CSSF a confirmé le 27 août 2026 que les succursales luxembourgeoises d'entités financières dont le siège social est établi hors de l'Union européenne, banques, entreprises d'investissement, PSAN ou établissements de paiement, peuvent être soumises au règlement DORA sur la résilience opérationnelle numérique. Si votre structure luxembourgeoise est une succursale d'un groupe suisse, britannique, américain ou asiatique, ce point mérite une vérification rapide avec votre conseil réglementaire.
Le test à appliquer : votre siège serait-il une entité DORA dans son pays d'origine ?
Selon la CSSF, une succursale de pays tiers établie au Luxembourg entre dans le champ de DORA si, dans le pays où son siège social est situé, elle se qualifierait comme une des entités listées à l'article 2(1)(a) à (t) du règlement, c'est à dire la liste des entités financières couvertes par le texte (banques, entreprises d'investissement, prestataires de services sur crypto-actifs, établissements de paiement, entre autres). Concrètement, ce n'est pas le statut juridique luxembourgeois de la succursale qui compte, mais la nature de l'activité exercée par le siège dans son pays d'origine. Cette clarification s'appuie sur un avis rendu par la Commission européenne le 17 décembre 2025 sur le champ d'application territorial de DORA aux succursales de pays tiers, selon la CSSF.
Ce que change la circulaire CSSF 26/915
La CSSF a publié le 27 août 2026 la circulaire 26/915, consacrée précisément à l'applicabilité de DORA aux succursales de pays tiers opérant au Luxembourg. À cette occasion, elle a modifié sept circulaires existantes (20/750, 22/806, 25/881, 25/882, 25/883, 25/892 et 25/893) pour intégrer cette lecture. Pour un responsable compliance, cela signifie que le sujet n'est plus une zone grise : la doctrine de l'autorité de surveillance luxembourgeoise est désormais fixée par un texte opposable. Les obligations qui en découlent sont celles du corps général de DORA : tenue d'un registre d'information sur les contrats avec les prestataires ICT, cadre de gestion des risques liés aux technologies de l'information et de la communication, et déclaration des incidents majeurs à la CSSF.
Le calendrier de dépôt du registre d'information
Le dépôt du registre d'information suit en principe un calendrier annuel, avec une fenêtre de soumission via eDesk. Mais la CSSF a distingué un cas particulier pour les succursales de pays tiers d'établissements de crédit, en raison du calendrier serré créé par la publication tardive, en décembre 2025, de la clarification européenne (Q&A DORA102 3097).
| Type d'entité | Échéance de dépôt | Source |
|---|---|---|
| Entités financières soumises à DORA, cas général | 31 mars 2026 (fenêtre eDesk du 11 février au 31 mars 2026) | Calendrier standard CSSF |
| Succursales de pays tiers d'établissements de crédit | 30 juin 2026, sur base des meilleurs efforts | Communiqué CSSF du 17 février 2026 |
Si votre succursale est celle d'une banque de pays tiers, retenez le 30 juin 2026 comme échéance de tolérance pour le premier dépôt du registre d'information, et non le 31 mars. Pour les autres catégories d'entités concernées par la circulaire 26/915, il convient de vérifier au cas par cas avec son conseil réglementaire quelle échéance s'applique, la CSSF n'ayant communiqué un report explicite que pour les établissements de crédit.
Un marché qui a pris du retard sur DORA
Le contexte renforce l'urgence d'agir tôt. Au 16 mars 2026, seules 40% des entités financières concernées avaient déposé leur registre d'information auprès de la CSSF, ce qui a conduit l'autorité à inviter publiquement les entités à accélérer leurs déclarations, selon des articles concordants de Paperjam et Delano. Ce taux de dépôt montre que le sujet DORA reste sous-anticipé sur la place luxembourgeoise, y compris par des entités qui savaient déjà être dans le champ du règlement. Pour les succursales de pays tiers, qui viennent seulement d'obtenir une confirmation officielle de leur assujettissement, le risque de découvrir le sujet trop tard est réel.
Checklist pour votre responsable compliance
Avant de vous poser la question du format du registre, la première étape consiste à déterminer si votre succursale luxembourgeoise entre dans le champ de DORA au regard du statut de son siège dans son pays d'origine. Voici les points à vérifier :
- Identifier le statut réglementaire du siège social dans son pays tiers d'origine et le comparer à la liste des entités de l'article 2(1)(a) à (t) de DORA
- Lire la circulaire CSSF 26/915 et les circulaires modifiées (20/750, 22/806, 25/881, 25/882, 25/883, 25/892, 25/893) pour situer votre catégorie d'entité
- Vérifier si votre succursale relève du report au 30 juin 2026 (établissements de crédit de pays tiers) ou de l'échéance générale du 31 mars
- Lancer, si ce n'est pas fait, l'inventaire des contrats avec les prestataires ICT en vue du registre d'information
- Documenter le cadre de gestion des risques ICT et la procédure de déclaration des incidents majeurs
Ce contenu a une visée informative et ne constitue pas un conseil juridique : la qualification de votre succursale au regard de DORA et le calendrier applicable doivent être validés avec votre conseil réglementaire, au vu des textes de la CSSF sur l'application de DORA aux succursales de pays tiers et de la circulaire CSSF 26/915.
