Le 1er septembre 2026, la CRF a publié des lignes directrices relatives aux déclarations d’opérations suspectes, aux demandes d’information de la CRF et aux instructions de blocage, remplaçant les lignes directrices précédentes du 6 janvier 2026 portant sur les mêmes sujets.

Ces lignes directrices précisent les obligations de coopération des professionnels assujettis avec la CRF en vertu de la Loi modifiée du 12 novembre 2004 relative à la lutte contre le blanchiment et le financement du terrorisme (ci‑après la « Loi LBC/FT »). Elles visent également à préparer les professionnels aux nouvelles obligations découlant du Règlement (UE) 2024/1624 et de la Directive (UE) 2024/1640, dont la date d’application ou de transposition est fixée au 10 juillet 2027.

Les lignes directrices s’appliquent à l’ensemble des professionnels soumis à la Loi LBC/FT (article 2, paragraphe 1), y compris les succursales luxembourgeoises de professionnels étrangers et les professionnels étrangers fournissant des services au Luxembourg sans y disposer d’une succursale. Leur champ couvre tant les établissements financiers que les professions non financières. Le champ géographique est limité au Luxembourg.

Les lignes directrices définissent trois obligations distinctes:

• Déclaration d’opérations suspectes (obligation de coopération active) : tous les professionnels doivent déclarer, sans délai et de leur propre initiative, à la CRF tout soupçon de blanchiment, d’infraction principale associée ou de financement du terrorisme, quel que soit le montant en jeu et sans qu’il soit nécessaire de qualifier juridiquement l’infraction sous‑jacente. Les déclarations doivent être soumises exclusivement via la plateforme goAML Web (formulaire en ligne ou dépôt XML). La publication insiste fortement sur la qualité, l’exactitude et l’exhaustivité des déclarations. La CRF a introduit des catalogues d’indicateurs de soupçon disponibles sur goAML pour assister les entités déclarante.
• Réponse aux demandes d’information de la CRF (obligation de coopération passive) : les entités assujetties doivent répondre à toute demande de la CRF dans un délai de cinq jours ouvrables (délai standard) ou de 24 heures (en cas d’urgence), voire moins de 24 heures dans des cas spécifiques dûment justifiés. Ces délais sont tirés de l’article 69, paragraphe 1, du Règlement (UE) 2024/1624 (applicable à partir du 10 juillet 2027) et sont appliqués de manière anticipée par la CRF avec effet immédiat. Les réponses doivent être transmises via les formulaires RIRA/RIRT sur goAML Web.
• Exécution des instructions de blocage : la CRF peut à tout moment ordonner le blocage d’opérations ou d’une relation d’affaires entière. Le blocage peut être total ou partiel et n’est pas limité dans le temps. Les entités assujetties ne peuvent pas mettre fin à une relation d’affaires tant qu’un blocage est en vigueur. La notification peut intervenir par téléphone (à confirmer par écrit dans les trois jours), via goAML ou par courrier postal.

Les lignes directrices traitent également des droits et obligations des entités déclarante : interdiction de divulgation (tipping‑off), immunité en cas de déclaration de bonne foi, confidentialité de l’identité du déclarant, et sanctions pénales en cas de non‑respect (amendes correctionnelles de 12 500 € à 5 000 000 €).

Dans l’ensemble, ces lignes directrices renforcent et clarifient les obligations de coopération des entités assujetties avec la CRF, tout en anticipant certaines exigences du cadre européen LBC/FT avant son application en juillet 2027.

Le 15 septembre 2026, la CRF a publié un avis informant les entités déclarantes que le cadre des indicateurs disponibles dans le système goAML a été mis à jour.
Deux nouveaux indicateurs ont été ajoutés à la catégorie « Déclencheur de soupçon »:

• Notification CRF (Signalement CRF)
• Communication relative à une transaction

Une documentation de guidance mise à jour est disponible sur le site de la CRF.

Cette mise à jour s’applique à toutes les entités déclarantes soumises aux obligations LBC/FT luxembourgeoises qui utilisent le système goAML pour transmettre des déclarations d’opérations suspectes (DOS) à la CRF. Elle couvre notamment l’ensemble des professionnels du secteur financier supervisés par la CSSF, ainsi que les autres entités assujetties à la Loi du 12 novembre 2004 relative à la lutte contre le blanchiment et contre le financement du terrorisme.

Le 9 septembre 2026, le Luxembourg Business Registers (LBR) a publié un avis annonçant le lancement de la phase de sanction de sa procédure de contrôle et de conformité des données enregistrées au Registre de commerce et des sociétés (RCS) et au Registre des bénéficiaires effectifs (RBE), avec effet au 21 septembre 2026. Cette procédure est mise en œuvre sur la base de la loi du 23 janvier 2025, qui a renforcé les responsabilités du LBR en matière de contrôle et de mise en conformité des données inscrites aux registres. La phase de sanction intervient après environ sept mois de mesures de prévention, d’information et d’accompagnement, durant lesquels les entités ont pu identifier et corriger volontairement leurs non‑conformités.

La phase de sanction s’applique à toutes les entités inscrites au RCS ou au RBE dont le dossier comporte une ou plusieurs situations de non‑conformité, notamment des informations inexactes, obsolètes, incohérentes ou manquantes, ou encore le non‑accomplissement d’une formalité obligatoire. Les associations sans but lucratif (ASBL) et les fondations sont explicitement exclues, à ce stade, de la phase de sanction, des actions de sensibilisation étant encore en cours à leur égard.

Principales exigences - Procédure de sanction graduée:

Pour chaque entité non conforme, le LBR envoie un courrier recommandé identifiant les cas de non‑conformité. La date d’envoi de ce courrier constitue la « date T » à partir de laquelle courent tous les délais ultérieurs.

Si les non‑conformités ne sont pas corrigées dans les 30 jours suivant la « date T » , un avertissement est affiché sur le portail du LBR à chaque consultation publique du dossier de l’entité. À compter de T + 60 jours, toute non‑conformité demeurant non résolue est mentionnée sur les extraits et certificats délivrés par le LBR, en plus de l’avertissement déjà affiché, ce qui a des conséquences directes pour les diligences de contrepartie et les processus KYC fondés sur la documentation officielle du LBR.

Si la situation n’est toujours pas régularisée à T + 7 mois, le LBR impose une astreinte journalière de 40 EUR pour une durée maximale de 90 jours, soit une astreinte cumulée maximale de 3 600 EUR.
Si l’entité reste en défaut à T + 12 mois, le LBR procède à sa radiation d’office du registre. Cette radiation n’entraîne pas la dissolution de l’entité ni la perte de sa personnalité juridique, mais emporte des conséquences pratiques importantes sur son statut officiel et ses relations avec les tiers.

Après une radiation d’office, si les non‑conformités ne sont toujours pas corrigées, le dossier est transmis au Procureur d’État. Lorsque les conditions légales sont remplies, l’entité peut en outre faire l’objet d’une procédure de dissolution administrative sans liquidation (PDAL).

L’entité peut régulariser son dossier à tout moment de la procédure. La correction complète met fin à la procédure et entraîne la levée des mesures appliquées, conformément aux dispositions légales applicables, sans préjudice des conséquences financières des mesures déjà exécutées.

Le 23 septembre 2026, la CSSF a publié un communiqué attirant l’attention des participants au marché sur l’entrée en application, à compter du 27 septembre 2026, des nouvelles règles introduites par la Directive (UE) 2024/825.

La Directive (UE) 2024/825 du 28 février 2024 (« Directive ECGT », « Empowering Consumers for the Green Transition ») modifie les Directives 2005/29/CE et 2011/83/UE afin d’offrir aux consommateurs une meilleure protection contre les pratiques déloyales et une meilleure information. Elle a été transposée au Luxembourg par la loi du 9 juin 2026 modifiant le Code de la consommation.

La communication s’adresse de manière générale aux « participants aux marchés financiers ». Elle ne vise pas de catégories d’entités spécifiques. Elle concerne les communications relatives à la durabilité adressées aux consommateurs.

Principales exigences:

• Allégations de durabilité: Les allégations relatives à la durabilité à destination des consommateurs doivent être claires, exactes et dûment étayées.
• Exigences légales: Les obligations imposées par la loi ne doivent pas être présentées comme une caractéristique distinctive en matière de durabilité.
• Attentes vis-à-vis de la supervision: La CSSF s’attend à ce que les participants aux marchés financiers tiennent dûment compte des nouvelles exigences introduites par la Directive ECGT.

Dans l’ensemble, ces nouvelles règles renforcent le cadre applicable aux communications relatives à la durabilité à destination des consommateurs et imposent aux participants aux marchés financiers de veiller à ce que leurs allégations de durabilité soient claires, exactes et justifiées.

Le 15 septembre 2026, la CSSF a publié la Circulaire CSSF 26/916, informant les établissements moins significatifs (LSI) et les entreprises d’investissement CRR constitués en droit luxembourgeois, qu’elles appliquent les Lignes directrices de l’EBA sur les méthodes proportionnées de diversification des expositions de détail au titre de l’article 123, paragraphe 1, du Règlement (UE) n° 575/2013 (EBA/GL/2026/02), publiées par l’ABE le 5 février 2026. La CSSF a intégré ces Lignes directrices dans sa pratique administrative et son approche réglementaire afin de promouvoir la convergence de la surveillance au niveau européen. La circulaire est d’application immédiate.

La circulaire s’applique aux établissements moins significatifs (au sens SSM) et aux entreprises d’investissement CRR constituées en droit luxembourgeois. Les établissements significatifs supervisés directement par la BCE sont renvoyés aux règles pertinentes de la BCE. Les Lignes directrices s’appliquent conformément au champ de l’article 123, paragraphe 1, CRR, c’est‑à‑dire aux établissements utilisant l’Approche standardisée pour le risque de crédit qui détiennent des expositions de détail et souhaitent appliquer la pondération préférentielle de 75 % (sous réserve d’exceptions spécifiques pour certaines expositions « transactors » à 45 % et certains prêts adossés à des pensions/salaires à 35 %).

Principales exigences:

Les Lignes directrices précisent la manière dont les établissements doivent évaluer si leur portefeuille de détail est suffisamment diversifié pour bénéficier de la pondération préférentielle prévue à l’article 123, paragraphe 1, point c), CRR, au moyen d’un test de diversification proportionné, non itératif et en une seule étape, fondé sur des informations facilement disponibles.

Selon le critère de granularité de Bâle III, aucune exposition agrégée sur une contrepartie ne peut dépasser 0,2 % du portefeuille global de détail réglementaire. Les Lignes directrices introduisent une alternative proportionnée permettant à des portefeuilles moins granulaires de continuer à bénéficier de la pondération préférentielle, sous réserve de satisfaire le test de diversification suivant : le ratio entre (i) la somme des valeurs d’exposition de toutes les grandes expositions de détail éligibles (c’est‑à‑dire les expositions sur un client ou un groupe de clients liés (GCC) dont la valeur d’exposition dépasse 0,2 % de la somme de toutes les expositions de détail éligibles) et (ii) la somme de toutes les expositions de détail éligibles ne doit pas excéder 10 %. Le seuil de 0,2 % et le test de 10 % sont tous deux calculés par rapport au portefeuille initial (avant toute exclusion) — approche non itérative.

Lorsque le portefeuille complet échoue au test de 10 %, les établissements peuvent exclure une ou plusieurs grandes expositions de détail éligibles du portefeuille et refaire le test. Les expositions exclues ne bénéficient pas de la pondération préférentielle et doivent être pondérées conformément à l’article 123, paragraphe 4, CRR. Les expositions de détail en défaut sont exclues de l’évaluation. Le test est réalisé à chaque date de référence, tant au niveau individuel qu’au niveau consolidé, en ligne avec le niveau auquel les exigences minimales de fonds propres sont calculées. L’identification des GCC — déjà requise par l’article 123, paragraphe 1, point b), CRR — constitue l’unité d’analyse pertinente ; aucune charge d’identification supplémentaire n’est créée.

Pour les établissements impliqués dans des titrisations adossées à des expositions de détail, l’évaluation de la diversification doit être réalisée séparément pour trois sous‑portefeuilles. Pour les expositions non titrisées, le numérateur et le dénominateur incluent uniquement les expositions de détail éligibles non titrisées. Pour les expositions titrisées lorsque l’établissement est l’originateur, l’évaluation porte sur le portefeuille combiné des expositions sous‑jacentes titrisées et de toutes les expositions de détail éligibles non titrisées. Pour les expositions titrisées lorsque l’établissement est investisseur, l’évaluation est effectuée exclusivement sur les expositions sous‑jacentes titrisées. À titre de dérogation visant à réduire la charge opérationnelle, les établissements investisseurs peuvent considérer que la condition de diversification est automatiquement remplie lorsque les informations sur le débiteur et la valeur d’exposition ne figurent pas dans les modèles de transparisation requis par l’article 7, paragraphe 4, du Règlement (UE) 2017/2402 — cette dérogation s’applique uniquement tant que ces modèles ne prévoient pas de telles informations.

L’ABE a retenu l’approche non itérative (en une étape) avec un seuil de 10 % à l’issue de la consultation publique, s’écartant de la méthode itérative et du seuil de 5 % initialement proposés, en réponse aux commentaires du secteur mettant en avant la simplicité opérationnelle et l’impact disproportionné sur les établissements de petite et moyenne taille.

Le 28 septembre 2026, l’ANSSI (via le HCPN), la CSSF, le CIRCL, GOVCERT.LU, le HCPN et l’ILR ont publié conjointement le document « Operational Guidance for Incident Handling » (version 1.0, TLP: CLEAR), qui fournit des guides pratiques (« rulebooks ») destinés aux entités confrontées à un incident de cybersécurité et souhaitant obtenir l’assistance des autorités compétentes et des CSIRT.

• Cette guidance a été élaborée par une équipe conjointe d’experts dans le cadre de l’article 14, paragraphe 5, de la loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité (la « Loi NIS2 ») et des missions du HCPN en tant qu’ANSSI.
• Il s’agit d’un document purement pratique qui ne remplace pas les politiques et procédures internes des entités. Les autorités déclinent toute responsabilité quant à son utilisation.
• Il ne traite pas des obligations légales des entités concernées (par exemple le dépôt de plainte ou la notification d’incident à la CSSF, à l’ILR ou à la CNPD).
• Les erreurs humaines et les défaillances techniques sont hors champ ; seuls les cyber‑attaques malveillantes sont couvertes.
• La guidance s’adresse à toute entité confrontée à un incident de cybersécurité. Elle ne vise pas de types d’entités spécifiques. Elle n’est pas contraignante et ne mentionne NIS2, DORA et les règles sectorielles qu’en tant que déclencheurs des délais de notification.

Principaux éléments:

La guidance ne pose pas d’obligations contraignantes. Elle fournit un « rulebook » de triage et huit guides spécifiques par type d’incident, suivant tous le même déroulé : détection typique, réponse immédiate (confinement), investigation, remédiation, conservation des preuves, activités post‑incident, communication et points de vigilance clés.

• Rulebook 0: triage et orientation:
• Désigner les rôles (leader, secrétaire, analystes, responsable communication) et séparer les canaux de communication de ceux utilisés par les équipes de résolution.
• Ouvrir un journal de cas et une chaîne de custodie (hachage SHA‑256, stockage des originaux en lecture seule).
• Classer l’incident et l’orienter vers le(s) rulebook(s) pertinent(s), en réévaluant la qualification au fur et à mesure de l’apparition de nouveaux éléments.
• Démarrer immédiatement les « clocks » de notification réglementaire obligatoires (NIS2, DORA et autres règles sectorielles applicables).
• Rulebooks 1 à 8 – types d’incidents couverts:
• DoS / DDoS : filtrage via le FAI, services anti‑DDoS, analyse du trafic, recours à un CDN pour la diversion du trafic.
• Malware (y compris ransomware): isolation des systèmes, préservation des preuves, restauration à partir de sauvegardes de confiance. Les entités ne devraient pas payer de rançon.
• Exploitation des canaux de communication: phishing, smishing, vishing, fraude au président/BEC. Purger les e‑mails malveillants, réinitialiser identifiants et sessions.
• Vol d’identifiants et compromission de comptes: forcer la déconnexion et la réinitialisation, révoquer les jetons, vérifier la persistance de l’attaque.
• Exploitation de vulnérabilités: isoler les systèmes, déployer des règles WAF, rechercher des web shells, et présumer l’exfiltration de données jusqu’à preuve du contraire.
• Menace interne (insider threat): application stricte du principe du moindre privilège, suspension des accès, implication des RH et du service juridique.
• Exfiltration de données: bloquer ou surveiller les canaux d’exfiltration, coordonner avec le DPO lorsque des données à caractère personnel sont concernées.
• Compromission de paquet et attaque de chaîne d’approvisionnement: geler les déploiements, mettre en quarantaine les agents de build, faire tourner les secrets, contacter les fournisseurs.

Le 29 septembre 2026, la CSSF a publié une communication relative aux instructions opérationnelles des Autorités européennes de surveillance (AES/ESAs) concernant la notification des incidents majeurs liés aux TIC au titre de DORA. Elle attire l’attention des entités financières sur ces instructions et y ajoute ses propres consignes complémentaires, que les entités sont tenues de prendre en compte. Cette entrée couvre également les deux documents d’instructions liés dans le communiqué.

La communication s’adresse aux entités financières relevant du champ d’application de DORA et supervisées par la CSSF. Les instructions se réfèrent aux modèles de notification prévus par le Règlement d’exécution (UE) 2025/302 et aux critères de classification définis par le Règlement délégué (UE) 2024/1772.

Dans le cadre de DORA (Règlement (UE) 2022/2554), les entités financières notifient les incidents majeurs liés aux TIC à leur autorité compétente, qui les transmet ensuite aux AES en anglais au moyen de modèles prédéfinis. Les AES (ABE/EBA, AEAPP/EIOPA, AEMF/ESMA) ont publié des instructions opérationnelles datées du 16 septembre 2026, visant à soutenir les autorités compétentes, améliorer la qualité des données et promouvoir la cohérence entre juridictions. Les AES les fournissent sur une base de « best efforts » : il ne s’agit ni d’une interprétation juridique ni d’une position officielle des AES, et ces instructions seront mises à jour régulièrement.

Le 18 septembre 2026, la CSSF a publié un communiqué à l’attention de l’industrie des fonds d’investissement annonçant l’extension du module « LMT activation » dans la plateforme eDesk afin d’y inclure les notifications d’activation et de désactivation des suspensions de rachats (uniquement) en vertu des dispositions de droit national. Ce communiqué fait suite au communiqué de la CSSF du 10 avril 2026, qui avait introduit le module « LMT activation » pour les notifications d’activation et de désactivation des outils de gestion de la liquidité (LMT) requis par la Loi du 3 mars 2026 (la « Loi de 2026 ») transposant la Directive (UE) 2024/927 du 13 mars 2024 (AIFMD II).

Le communiqué s’applique à trois catégories de fonds domiciliés au Luxembourg:

• Les fonds soumis à la Loi du 17 décembre 2010 relative aux organismes de placement collectif (la « Loi de 2010 ») ;
• Les fonds d’investissement spécialisés régis par la Loi du 13 février 2007 (la « Loi de 2007 ») ; et
• Les sociétés d’investissement en capital à risque régies par la Loi du 15 juin 2004 (la « Loi de 2004 »).

Principales exigences:

À partir du 21 septembre 2026, l’activation et la désactivation d’une suspension de rachats uniquement (sans suspension des souscriptions) doivent être notifiées via le module « LMT activation » dans eDesk. La CSSF précise qu’une suspension de rachats uniquement ne constitue pas un LMT au sens de la Loi de 2026, mais qu’elle a été intégrée dans le module « LMT activation » afin de simplifier les procédures de notification. Les exigences administratives sous‑jacentes, y compris la transmission de la documentation justificative, demeurent inchangées et doivent continuer à être remplies via les canaux de communication habituels.

Pour les fonds de la Partie II de la Loi de 2010 qui ne sont pas gérés par un FIAIF luxembourgeois autorisé, ainsi que pour les fonds soumis aux Lois de 2007 et de 2004 qui ne qualifient pas comme FIA ou ne sont pas gérés par un FIAIF luxembourgeois autorisé, le module « LMT activation » doit également être utilisé pour notifier l’activation ou la désactivation :

• des suspensions de souscriptions, de rachats et de remboursements ; et
• de la création de « side pockets » préalablement approuvée par la CSSF.

La CSSF rappelle en outre qu’en vertu de la Loi de 2026, la sélection, l’activation et la désactivation des LMT via la procédure eDesk sont obligatoires pour:

• les compartiments existants à partir du 16 avril 2026 ; et
• les nouveaux compartiments à compter de leur date de création.

Des informations complémentaires sur le module « LMT selection » et le module « LMT activation » sont disponibles dans les communiqués de la CSSF des 18 mars 2026 et 10 avril 2026, respectivement.

Le 1er septembre 2026, la CSSF a publié une communication annonçant le lancement d’eRegister by eDesk, une nouvelle passerelle centralisée offrant un accès public aux données réglementaires détenues par la CSSF.

Dans le cadre de son engagement déclaré à simplifier l’accès à l’information publique, la CSSF a introduit eRegister by eDesk, présenté comme un point d’entrée centralisé, rationalisé et universellement accessible aux données publiques détenues par la CSSF.

La publication s’adresse de manière large à l’ensemble des professionnels et entités supervisés ou enregistrés par la CSSF au Luxembourg.

La CSSF énumère explicitement les types d’entités suivants comme étant concernés:

• Dépositaires centraux de titres (CSD),
• Établissements de crédit, gestionnaires de crédits,
• Prestataires de services de financement participatif,
• Prestataires de services sur crypto‑actifs (CASP),
• Prestataires de services de déclaration de données (DRSP),
• Entreprises d’investissement,
• Gestionnaires de fonds d’investissement,
• Fonds et véhicules d’investissement,
• Émetteurs de jetons,
• Intermédiaires de crédit hypothécaire,
• Établissements de paiement / établissements de monnaie électronique / AISPs,
• Contrôle public de la profession de l’audit,
• Organismes de titrisation,
• PSF spécialisés et PSF de support.

La fonctionnalité initiale d’eRegister permet d’accéder, via une interface API, aux données d’identification des fonds, sous‑fonds et compartiments. L’accès n’est pas librement ouvert : il nécessite la signature préalable d’une convention entre la CSSF et le demandeur (qu’il s’agisse d’une personne physique ou morale). Les parties intéressées doivent adresser une demande d’accès à itcompliance@cssf.lu. Les détails techniques et les spécifications des données ne sont fournis qu’après la signature de la convention.

Le 29 septembre 2026, le Conseil de résolution de la CSSF a publié la Circulaire CSSF‑CODERES 26/22, qui lance la collecte des données nécessaires au Conseil de résolution unique (SRB) pour le calcul des contributions ex‑ante 2027 au Fonds de résolution unique (SRF).

Le SRF est régi par le Règlement (UE) n° 806/2014 établissant le mécanisme de résolution unique (SRMR). La méthodologie de calcul des contributions est fixée par le Règlement délégué (UE) 2015/63 et le Règlement d’exécution (UE) 2015/81. Une fois la période initiale achevée, des contributions ne sont prélevées que si les moyens financiers disponibles du SRF tombent en dessous de 1 % des dépôts couverts dans l’Union bancaire. Le SRB vérifiera ce point au premier trimestre 2027 et décidera ensuite s’il convient de calculer et de collecter des contributions pour 2027. Les données collectées sont nécessaires pour cette décision.

La circulaire s’applique à tous les établissements de crédit établis au Luxembourg qui sont soumis au SRMR. Les succursales d’établissements de crédit de pays tiers (non‑UE) sont exclues, car elles relèvent du Fonds de résolution luxembourgeois. Les succursales d’établissements ayant leur siège dans un autre État membre relèvent de leur siège.

Principales exigences:

• Formulaire de déclaration de données (DRF) à soumettre au format XBRL via la solution API (S3) ou le portail eDesk, après vérification de sa conformité avec les règles de validation de la taxonomie XBRL.
• Assurance complémentaire (rapport de procédures convenues, AUP) pour les établissements directement supervisés par la BCE, seuls ou au sein d’un groupe, sauf lorsqu’ils s’acquittent de la contribution forfaitaire et n’ont pas opté pour la contribution alternative. Pour les données 2027, cette exigence ne s’applique que lorsque la CSSF a notifié que le SRB a décidé de collecter des contributions.
• Les retraitements d’années antérieures doivent être annoncés à l’avance. Pour les établissements supervisés par la BCE, un document d’assurance complémentaire est requis indépendamment de cette condition. Pour les périodes 2016–2023, un rapport AUP ou un « sign‑off form » peut être utilisé, et un nouveau rapport AUP n’est pas requis lorsqu’un rapport d’audit antérieur a déjà identifié le champ erroné et la valeur corrigée.
• Les constatations doivent préciser le champ concerné et le montant qui aurait dû être déclaré.
• Convention de nommage: « MFI_LEI_AUP_YEAR » ou « MFI_LEI_SOF_YEAR ».

Le 10 septembre 2026, la CSSF a publié une communication annonçant un projet de modernisation du cadre de reporting prudentiel applicable aux établissements de paiement (EP), établissements de monnaie électronique (EME) et prestataires de services sur crypto‑actifs autorisés en vertu de l’article 63 de MiCAR (CASP). Le processus actuel de soumission fondé sur des fichiers Excel sera remplacé par un module de reporting intégré dans la plateforme eDesk de la CSSF.

Une circulaire de la CSSF, qui sera publiée, remplacera les Circulaires CSSF 11/511 et 11/522 existantes et introduira des obligations de reporting spécifiques pour les CASP.

Le nouveau cadre de reporting introduit les changements suivants:

• Canal de reporting: eDesk devient le seul canal officiel de soumission à partir du 1er avril 2027, en remplacement du processus actuel basé sur Excel. Deux modes de soumission seront possibles : saisie manuelle via l’interface eDesk ou soumission automatisée via le protocole S3 au moyen d’un fichier JSON.
• Fréquence de reporting: reporting trimestriel pour les informations financières et les ressources humaines (y compris les ressources des fonctions de contrôle) ; reporting mensuel maintenu uniquement pour la ségrégation des fonds ; section annuelle couvrant la structure actionnariale, les succursales, agents et distributeurs (auparavant collectée de manière ad hoc).
• Fonctionnalités avancées: formules automatiques et reports de données ; contrôles automatisés d’intégrité en temps réel ; champs de commentaires qualitatifs ; possibilité de connexion API avec les systèmes internes des entités pour l’alimentation automatisée des données quantitatives.
• Communication centralisée: les communications récurrentes sur le reporting périodique et les questions de suivi seront gérées directement dans eDesk, en remplacement des échanges par e‑mail.
• Guidance préparatoire: l’Annexe 1 (publiée sous forme de fichier Excel) énumère l’ensemble des données à rapporter dans le nouveau cadre et fournit une guidance à destination des entités, afin de leur permettre de se préparer à l’avance. De légères évolutions des libellés/guidances restent possibles avant la finalisation .

Le 14 septembre 2026, le Luxembourg Business Registers (LBR) a publié la Circulaire LBR 26/02, qui explique la procédure de mise en conformité visant à maintenir à jour le Registre de commerce et des sociétés (RCS) et le Registre des bénéficiaires effectifs (RBE), ainsi que les mesures administratives et sanctions applicables pendant la phase de sanction.

La circulaire met en œuvre la loi du 23 janvier 2025, qui a modifié la loi du 19 décembre 2002 sur le RCS et la loi du 13 janvier 2019 instituant le RBE. Les données inscrites au RCS et au RBE doivent être adéquates, exactes et à jour. Depuis janvier 2026, le LBR exploite un processus automatisé de contrôle des deux bases afin de détecter les données incorrectes ou obsolètes, les informations légalement requises manquantes ou l’absence de dépôt d’un acte. Une phase initiale de communication et d’assistance a permis aux entités de corriger volontairement leurs dossiers, au moyen de rappels automatiques par e‑mail et de messages sur le portail du LBR.

La circulaire s’applique aux entités immatriculées au RCS et au RBE. Les associations sans but lucratif (ASBL) et les fondations sont exclues du lancement de la phase de sanction, des actions de sensibilisation étant encore en cours. La circulaire ne vise pas spécifiquement les institutions financières.

Principales exigences:

• Déclenchement: lorsque le LBR constate des informations manquantes, obsolètes ou incorrectes, ou l’absence de dépôt d’un acte, il adresse une demande de mise à jour du dossier par courrier recommandé. L’entité dispose de 30 jours à compter de la date d’envoi de cette demande pour se mettre en conformité.
• Notification: le courrier est envoyé à l’adresse du siège social. Un échec de distribution n’interrompt pas la procédure et ne suspend pas les délais ; l’absence de siège social effectif constitue elle‑même un cas de non‑conformité supplémentaire.
• Mesures progressives (délais calculés à partir de la date d’envoi de la demande):

Après 30 jours: un avertissement est affiché sur le portail du LBR, visible par les tiers.
Après 2 mois: les cas de non‑conformité non résolus sont mentionnés sur les extraits RCS/RBE et sur le portail.
Après 7 mois: une astreinte journalière de 40 € est infligée, plafonnée à 3 600 € (90 jours). Le LBR notifie le montant définitif par courrier recommandé ; cette notification constitue un titre exécutoire et un huissier procède au recouvrement forcé en cas de non‑paiement.
Après 12 mois: radiation d’office du dossier de l’entité au RCS et au RBE. Cette radiation est réversible et n’emporte pas dissolution de l’entité.
Après radiation: transmission du dossier au Procureur d’État.

• Régularisation: si le dossier est intégralement mis en conformité, la procédure prend fin et les mesures sont levées, à l’exception de l’astreinte qui reste due. Une mise en conformité partielle ne met pas fin à la procédure, et tout nouveau cas de non‑conformité est ajouté à la procédure en cours.
• Recours: les décisions du LBR peuvent être contestées devant le Tribunal administratif dans un délai de trois mois.

BACKGROUND

Le 4 septembre 2026, la Commission de Surveillance du Secteur Financier (CSSF) a publié son rapport annuel 2025. Le rapport offre un aperçu complet de la gouvernance, des activités de supervision et des priorités stratégiques du CSSF dans le secteur financier luxembourgeois réglementé, incluant les banques, les sociétés d’investissement, les professionnels du secteur financier (PFS), les institutions de paiement et monnaie électronique, les gestionnaires de fonds d’investissement, les UCI, les entreprises de titrisation, les fonds de pension, les infrastructures de marché, les auditeurs et les prestataires de services crypto-actifs. Il décrit le rôle du CSSF au sein de l’architecture de supervision européenne et internationale (SSM, ESMA, EBA, EIOPA, ESRB, IOSCO, Comité de Bâle, AMLA), et présente les évolutions dans les cadres clés de l’UE tels que CRR3/CRD VI, MiFID II/MiFIR, EMIR, CSDR, SFTR, DORA, MiCA, PSD2 et le paquet évolutif EU AML/CFT. Le rapport s’adresse aux entités supervisées, aux autorités publiques et aux parties prenantes du marché, et couvre la supervision prudentielle, la conduite et la protection des consommateurs, la LBC/CFT, la résolution, ainsi que la protection des déposants et des investisseurs.

WHAT'S NEW?

Gouvernance, ressources et numérisation:

La CSSF détaille les évolutions de sa structure de gouvernance, notamment la composition de son Conseil, de son Comité de direction, de son Conseil de résolution, du CPDI et de ses comités consultatifs. Les effectifs ont augmenté pour atteindre 1 007 personnes (924,88 ETP), avec un renforcement des expertises en informatique, LBC/FT, fonds d’investissement et paiements. Le rapport décrit la stratégie de transformation numérique « CSSF 5.0 » et le lancement de SKAI, une plateforme d’IA sécurisée (modules SKAI Open, Private, Agent, Help) utilisée pour l’analyse documentaire et des agents intelligents, accompagnée d’un renforcement de la surveillance en cybersécurité et de la détection d’anomalies fondée sur l’IA.

Mise en œuvre de la réglementation prudentielle et de marché de l’UE:

Le rapport présente l’application du CRR3 à compter du 1er janvier 2025 (avec le risque de marché/FRTB reporté à 2027), la transposition nationale en cours de la CRD VI (y compris la gestion des risques ESG, les succursales de pays tiers et les pouvoirs de surveillance), ainsi que les mesures macroprudentielles (coussin contracyclique et limites LTV basées sur l’emprunteur). Il couvre les travaux de la CSSF dans le cadre des CSA pilotées par l’ESMA, les nouveaux RTS et lignes directrices UCITS/AIFMD sur les outils de gestion de la liquidité, les projets de données de fonds de l’ESMA, la revue par les pairs des dépositaires et la mise en œuvre du SFDR et de la Taxonomie, incluant les lignes directrices de l’ESMA sur les dénominations de fonds et l’application du règlement EuGB.

DORA, NIS2/CER et risque TIC:

DORA est devenu applicable le 17 janvier 2025 ; la CSSF décrit son cadre de surveillance du risque TIC, la notification des incidents, les prestataires TIC tiers (y compris les prestataires TIC critiques désignés au niveau de l’UE et l’alignement TLPT/TIBER‑LU), ainsi que la coordination avec le HCNP et l’ILR au titre de NIS2/CER. Le rapport présente les thèmes des inspections IT sur place et les principales constatations en matière de gouvernance, de gestion des accès, de traitement des vulnérabilités et de continuité.

MiCA, CASP et tokenisation:

Le rapport expose la mise en œuvre de MiCA : émission et offre de EMT et d’ART par les établissements de crédit et de monnaie électronique ; autorisation et supervision des CASP (liste des services, LBC/FT, DORA, exigences de conduite et de conservation) ; et les dispositions transitoires pour les PSAV jusqu’au 1er juillet 2026. Il décrit la hausse des projets de tokenisation (notamment de fonds), la « Loi Blockchain IV » et les activités du Innovation Hub de la CSSF sur les crypto‑actifs, la tokenisation, le RegTech et l’IA, incluant un dialogue structuré avec le secteur.

Risque opérationnel, LBC/FT et outils de surveillance:

Le Rapport annuel explique les travaux macroprudentiels sur les liens entre banques et NBFI et sur la liquidité des fonds, les exercices internes de tests de résistance des fonds et des fonds monétaires, ainsi que la supervision détaillée en matière de LBC/FT (questionnaires sur pièces, collèges, revues thématiques sur le financement du terrorisme, les TCSP, les comptes bloqués, le financement de la prolifération, la Travel Rule et les sanctions). Il résume la mise en place d’un département dédié à la « Lutte contre la criminalité financière », la mise en œuvre de la Loi sur les lanceurs d’alerte, ainsi que les statistiques relatives aux sanctions administratives, injonctions et résolution, à la protection des déposants et aux activations du SIIL.

WHAT'S NEXT?

La CSSF fixe les priorités de supervision 2026 pour le secteur des fonds d’investissement (fonctions de gouvernance, mise en œuvre de DORA, risque de liquidité et LMT, évaluation des actifs incluant actifs privés et fonds de continuation, révision de l’alignement du SFDR, coûts et frais, et AML/CFT). Il indique la participation continue aux travaux réglementaires de l’UE (AMLA RTS et directives, révision SFDR, phases de mise en service ESAP, réformes PSD2/PSR) et d’autres revues thématiques (risque de crédit, IRRBB, risque opérationnel, fonds semi-liquides). Le rapport note les calendriers à venir, notamment la transposition nationale CRD VI (2026, avec règles d’agences tierces à partir du 11 janvier 2027), le RTS du compte actif EMIR, la transmission de données ESAP à partir de juillet 2026, et la prochaine évaluation GAFI du Luxembourg prévue pour 2029–2031.