La Circulaire CSSF 21/769 introduit des conditions cumulatives pour définir la notion de télétravail :
Le travail doit être fournis dans le cadre de l’activité normale de la société. Toute tâche effectuée dans le cadre de l’activation d’un BCP/DRP ou dans des circonstances exceptionnelles (telles que la pandémie de la Covid-19) n’entre pas dans la définition de télétravail et n’est donc pas concernée par la Circulaire CSSF 21/769.
Afin de respecter les exigences en matière d’administration centrale :
L’entité surveillée doit effectuer une analyse des risques afin d’identifier les risques inhérents à la mise en œuvre du télétravail. Elle doit également mettre en œuvre des mesures d’atténuation visant à maintenir les risques résiduels dans des limites acceptables en fonction de son appétit au risque (Risk Appetite). L’analyse des risques et la mise en place des mesures d’atténuation doivent être formalisées et régulièrement revues par l’entité.
Le Conseil d’Administration doit formaliser une politique relative au télétravail qui doit être revue annuellement sur base de l’analyse des risques. Le point 32 de la Circulaire CSSF 21/769 indique une liste de minimis devant se retrouver dans cette politique.
L’entité doit formaliser une politique de sécurité qui définit les principes et règles applicables dans le cadre du télétravail afin de protéger la confidentialité, l’intégrité et la disponibilité des données, informations et TIC. Cette politique doit être approuvée par le Conseil d’Administration.
Les droits d’accès accordés aux télétravailleurs doivent être en phase avec l’analyse de risques et la politique de sécurité. Ces droits d’accès doivent être revus au moins annuellement (semestriellement pour les utilisateurs privilégiés).
De plus, l’entité doit s’assurer qu’elle garde le contrôle sur les dispositifs permettant de se connecter à distance aux systèmes de TIC. Dans ce cadre, l’utilisation de dispositifs personnels doit être réservée aux activités à faible risque et doit faire l’objet d’une analyse de risques spécifique.
Les composants de l’infrastructure télétravail doivent, à tout moment, être sécurisés et contrôlés. Ainsi, des mécanismes doivent être mis en place par l’entité afin de détecter et bloquer toute connexion anormale. Une authentification à deux facteurs doit être également mise en place afin de se connecter à distance aux systèmes de TIC de la société.
L’entité doit conserver l’ensemble des éléments permettant de contrôler la conformité à la politique télétravail ainsi qu’à la Circulaire CSSF 21/769. Ces informations devront être mises à disposition de la CSSF sur demande.
Les fonctions de contrôle interne (compliance, gestion des risques, audit interne…) doivent inclure la revue de la conformité aux exigences relatives au télétravail au sein de leurs plans de travail pluriannuels. De plus, les rapports annuels de synthèse doivent inclure des éléments statistiques sur l’utilisation du télétravail ainsi qu’une mention des incidents significatifs qui ont eu lieu.
Le bon fonctionnement de la chaîne de communication entre le dispositif distant et l’infrastructure de l’entreprise ainsi que l’efficacité des mesures de sécurité mises en œuvre doivent être examinés par une fonction de contrôle de sécurité indépendante (responsable de la sécurité de l’information, audit interne ou tiers externe spécialisé) avant le lancement du télétravail et régulièrement par la suite. Des scan tests et des pénétration tests doivent également être effectués régulièrement.
De plus, l’entité doit mettre en place un processus de journalisation (logging) afin de s’assurer que toutes les connexions ainsi que les informations techniques relatives au télétravail sont enregistrées à des fins de contrôle de sécurité.
La sensibilisation du personnel aux risques et aux bonnes pratiques relatifs au télétravail doit également être assurée par l’entité via des formations périodiques, des newsletters ou d’autres communications.
Découvrez nos autres publications :
La CSSF a publié son rapport sur les activités et initiatives effectuées durant l’année 2021. Cet article résume la section relative aux Gestionnaires de fonds d’investissement (GFI).
La CSSF a publié son rapport sur les activités et initiatives effectuées durant l’année 2021. Cet article résume la section relative aux PSF spécialisés et de support.
La Circulaire CSSF 22/806 consiste à mettre en application les lignes directrices de l’EBA relatives aux accords d’externalisation
French 
English