Application of the Digital Operational Resilience Act (DORA) to third-country branches in Luxembourg

Die CSSF hat klargestellt, dass der Digital Operational Resilience Act (DORA) auch für Zweigniederlassungen aus Drittländern (TCBs) in Luxemburg gilt. Dies wurde durch eine offizielle DORA Q&A der Europäischen Kommission am 17. Dezember 2025 bestätigt, sofern die TCBs im Herkunftsland als Finanzunternehmen gemäß Artikel 2 Absatz 1 Buchstabe a bis t der DORA-Verordnung gelten würden.

Infolgedessen wurden mehrere Rundschreiben der CSSF aktualisiert, um TCBs in den Anwendungsbereich der DORA-bezogenen Vorschriften aufzunehmen. Gleichzeitig wurden TCBs aus dem Geltungsbereich älterer Rundschreiben zu ICT- und Sicherheitsrisikomanagement sowie Auslagerungsvereinbarungen entfernt. Die CSSF präzisiert zudem die Meldung schwerwiegender ICT-bezogener Vorfälle und Cyber-Bedrohungen, falls der vorgeschriebene Kommunikationskanal nicht genutzt werden kann.

Die Bestimmungen der DORA-Verordnung sind seit dem 17. Januar 2025 für die von der CSSF beaufsichtigten Finanzunternehmen anwendbar. Die Änderungen sind in der Grafik der Mitteilung visuell hervorgehoben.