Documentation NIS2 au Luxembourg : l'ensemble avant le premier document

Les cinq domaines documentaires forment un seul ensemble

La plupart des dirigeants abordent NIS2 par la question « quel document dois-je rédiger ? ». C'est la mauvaise entrée. La loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (transposition de la directive (UE) 2022/2555) ne demande pas un document isolé : elle décrit un ensemble cohérent de mesures techniques, opérationnelles et organisationnelles, dont la documentation est la trace.

L'article 12, paragraphe 2, de la loi énumère les mesures fondées sur une approche « tous risques » que les entités doivent au minimum prendre. Cinq domaines en constituent le cœur documentaire :

1. Politique d'analyse des risques et de sécurité des systèmes d'information (art. 12, par. 2, point 1° ; art 21(2)(a) de la directive) 2. Gestion des incidents (art. 12, par. 2, point 2° ; art 21(2)(b)) 3. Continuité des activités — gestion des sauvegardes, reprise des activités et gestion des crises (art. 12, par. 2, point 3° ; art 21(2)(c)) 4. Sécurité de la chaîne d'approvisionnement (art. 12, par. 2, point 4° ; art 21(2)(d)) 5. Responsabilité de la direction et formation (art. 13 de la loi ; art 20 de la directive, ainsi que la formation à la cybersécurité visée à l'art. 12, par. 2, point 7°)

Voir ces cinq domaines ensemble, dès le départ, évite le scénario le plus fréquent : rédiger un beau document, puis découvrir six mois plus tard que quatre autres domaines restent vides.

Ce que contient chaque domaine

1. Analyse des risques et sécurité des systèmes d'information. L'article 12, paragraphe 1er, impose des mesures appropriées et proportionnées pour gérer les risques pesant sur les réseaux et systèmes d'information utilisés dans l'activité, ainsi que pour éliminer ou réduire les conséquences des incidents sur les destinataires des services. Le niveau de sécurité doit être adapté au risque existant, en tenant compte de l'état des connaissances, des normes européennes et internationales applicables et du coût de mise en œuvre. Pour identifier les risques, l'entité utilise un cadre d'analyse de risques approprié, qui peut être précisé par l'autorité compétente par voie de règlement ou de circulaire.

2. Gestion des incidents. Le document décrit comment un événement est détecté, qualifié, traité et clôturé. Il s'articule avec l'article 14 : une notification préliminaire dans les vingt-quatre heures après avoir eu connaissance de l'incident important, une notification d'incident dans les soixante-douze heures, puis un rapport final au plus tard un mois après cette notification d'incident. Un incident est important s'il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières, ou s'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables (art. 14, par. 3).

3. Continuité des activités. L'article 12, paragraphe 2, point 3°, cite expressément la gestion des sauvegardes, la reprise des activités et la gestion des crises. Il ne s'agit donc pas seulement d'un plan de sauvegarde technique, mais aussi des règles de reprise et du fonctionnement de la cellule de crise.

4. Sécurité de la chaîne d'approvisionnement. Le point 4° vise les aspects de sécurité dans les relations entre l'entité et ses fournisseurs ou prestataires de services directs. L'article 12, paragraphe 4, précise que l'entité tient compte des vulnérabilités propres à chaque fournisseur et prestataire direct, de la qualité globale de leurs produits et pratiques de cybersécurité, y compris de leurs procédures de développement sécurisé, ainsi que des résultats des évaluations coordonnées des risques pour la sécurité des chaînes d'approvisionnement critiques.

5. Responsabilité de la direction et formation. Selon l'article 13, les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables de la violation de l'article 12. Leurs membres suivent régulièrement une formation, et l'entité offre régulièrement une formation similaire à son personnel.

Le premier pas naturel : la politique de gestion des risques

Une fois l'ensemble en tête, l'ordre devient évident. Le premier document à écrire est la politique d'analyse des risques et de sécurité des systèmes d'information — le point 1° de la liste, celui sur lequel les quatre autres s'appuient.

Pourquoi ce document d'abord ?

• Il fixe le périmètre : quels systèmes, quels services, quels actifs sont concernés. Sans cela, un plan de continuité ne sait pas ce qu'il doit remettre en service.
• Il fixe le niveau de risque accepté, qui détermine ensuite ce qui constitue un incident à traiter en priorité.
• Il fixe les critères d'exigence envers les fournisseurs : on ne peut évaluer un prestataire qu'au regard de risques déjà identifiés.
• Il est le document que les organes de direction approuvent au sens de l'article 13 — l'acte d'approbation formalise le reste.

Les autres domaines s'écrivent ensuite plus vite, parce qu'ils reprennent le périmètre et les critères déjà posés. Il ne s'agit pas d'un raccourci : les cinq domaines restent exigés par l'article 12.

L'autorité et les clients regardent l'ensemble, pas une pièce isolée

L'Institut luxembourgeois de régulation (ILR) est l'autorité compétente chargée de la cybersécurité pour les secteurs visés aux annexes I et II, ainsi que des tâches de supervision et d'exécution visées au chapitre 6 de la loi. Par dérogation, la Commission de surveillance du secteur financier est l'autorité compétente pour le secteur bancaire et celui des infrastructures des marchés financiers (art. 3).

Deux éléments montrent que c'est bien l'ensemble qui est regardé, et non un document unique :

• Les mesures prises par les entités essentielles sur la base de l'article 12, paragraphes 1er et 2, sont notifiées à l'autorité compétente ; les modalités, le format et le délai de cette notification sont déterminés par l'autorité concernée par voie de règlement ou de circulaire (art. 12, par. 3). La notification porte sur les mesures, au pluriel, telles que listées aux points 1° à 10°.
• Lorsqu'une entité constate qu'elle ne se conforme pas aux mesures prévues au paragraphe 2, elle prend sans retard injustifié toutes les mesures correctives nécessaires, appropriées et proportionnées (art. 12, par. 5). Cette obligation suppose de connaître l'état de chacun des domaines.

Pour le détail des pouvoirs de supervision (audits, demandes d'informations) et des modalités pratiques, veuillez consulter les publications de l'Institut luxembourgeois de régulation (source officielle).

L'anneau de la chaîne d'approvisionnement : pourquoi les demandes arrivent aussi chez les fournisseurs

C'est le point que beaucoup de PME découvrent tardivement. Les entités relevant du champ d'application de la loi doivent gérer la sécurité de leur chaîne d'approvisionnement, y compris les aspects de sécurité dans leurs relations avec leurs fournisseurs ou prestataires de services directs (art. 12, par. 2, point 4°, équivalent national de l'art 21(2)(d) de la directive (UE) 2022/2555). Elles doivent en outre tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité globale de ses produits et pratiques de cybersécurité (art. 12, par. 4).

Conséquence factuelle : une entreprise qui n'est elle-même ni entité essentielle ni entité importante peut recevoir, de la part de ses clients concernés, des demandes de preuves documentaires — politique de sécurité, traitement des incidents, dispositions de continuité. L'obligation légale pèse sur le client ; la demande, elle, arrive chez le fournisseur.

Une auto-évaluation structurée, domaine par domaine, permet de savoir ce qui existe déjà, ce qui manque, et ce qui peut être présenté à un client demandeur — sans attendre le prochain appel d'offres pour s'en apercevoir.

Rappel de cadrage : sont considérées comme entité essentielle notamment les entités d'un type visé à l'annexe I qui dépassent les plafonds applicables aux moyennes entreprises, ainsi que d'autres catégories énumérées à l'article 11, paragraphe 1er ; les entités d'un type visé à l'annexe I ou II qui ne sont pas des entités essentielles sont considérées comme entité importante (art. 11, par. 2).