R a p p o rt d 'a ctiv ité s 2 0 0 7 Rapport d'activités 2007 - paperJam

CHAPITRE VIII
En ce qui concerne les réunions nationales, le service chargé de la surveillance informatique
représente la CSSF au sein des comités, commissions, associations ou groupes de travail suivants :
- La Commission Moyens de Paiement de l’ABBL à laquelle la CSSF participe en tant qu’observateur.
Y sont traités les thèmes en rapport avec les systèmes de paiement et de compensation, les cartes
bancaires, les systèmes de domiciliations des créances et principalement le chantier européen
du SEPA (Single European Payment Area) coordonné par l’EPC (European Payment Council).
Les aspects des vulnérabilités spécifiques à l’utilisation de services financiers par Internet y sont
également abordés.
- Le Fonds National de la Recherche (FNR). La CSSF est associée à l’initiative Foresight du FNR. Le
service en charge de la surveillance informatique participe à la définition des axes de programmes
de recherche à moyen terme dans le domaine de l’informatique.
- Le CRP Henri Tudor. En 2007, le CRP a initié un programme de recherche INNOFinance qui se situe
dans le contexte économique et politique actuel prônant l’identification et la promotion de services
sur lesquels la place financière luxembourgeoise veut afficher l’excellence. Cette promotion de
l’excellence de services à l’international vise à entraîner des décisions d’insourcing, c’est-à-dire
de concentration d’activités de services à Luxembourg. La CSSF est impliquée dans l’orientation
stratégique des projets d’INNOFinance. Elle participe également aux comités d’accompagnement
stratégique dans les domaines de la sécurité des systèmes d’informations et de la qualité des
services.
- ANSIL/CNLSI/CNLQSI. L’Association de Normalisation pour la Société de l’Information Luxembourg
(ANSIL) travaille à la normalisation en matière de qualité et sécurité des systèmes d’informations.
Elle fédère les initiatives de normalisation de deux groupes de travail, à savoir le CNLSI qui travaille
sur les normes ISO/IEC du groupe SC27 et le CNLQSI qui s’occupe de la qualité (groupe SC7 de
l’ISO).
- L’Operational Crisis Prevention Group for the financial sector (OCPG) sous l’égide de la Banque
centrale du Luxembourg. La mission de l’OCPG consiste à identifier les risques supportés par le
secteur financier au regard des infrastructures critiques, afin de proposer des mesures permettant
de prévenir une éventuelle crise opérationnelle qui perturberait le fonctionnement des
professionnels financiers et mettrait notamment en danger le bon déroulement des opérations
monétaires.
1.2. Collaboration internationale
Le service chargé de la surveillance prudentielle des systèmes d’informations participe à la
conférence internationale Supervisory Group on IT (ITSG) qui réunit chaque année les responsables
de la surveillance prudentielle des systèmes d’informations des différentes autorités.
Ce groupe a pour objectif de favoriser l’échange d’informations concernant les enjeux technologiques
du moment et couvre des aspects comme les plans de continuité d’activités, l’electronic banking,
les parades au phénomène de phishing et, d’une manière générale, les vulnérabilités spécifiques à
l’informatique bancaire ainsi que la surveillance de la sous-traitance informatique transfrontalière.
Tout au long de l’année, les membres du groupe échangent des informations concernant les fraudes
liées à l’informatique et à Internet, les attaques de systèmes d’informations et le vol d’identité
ou encore les faiblesses de certains systèmes. En 2007, le groupe s’est penché sur la sécurité de
l’authentification des clients de services bancaires par Internet, notamment en raison des vagues de
phishing et de tentatives de vol d’identité par Trojan qui ont été constatées durant l’été 2007.
1.3. Evolution du cadre réglementaire
La directive 2004/39/CE du 21 avril 2004 concernant les marchés d’instruments financiers (MiFID) et
l’article 52 de la directive 2006/73/CE du 10 août 2006 portant mesures d’exécution de la directive
2004/39/CE, ont été transposés par la loi du 13 juillet 2007, appelée également «loi MiFID».
147