NIS2 au Luxembourg : amendes administratives, sanctions et responsabilité de la direction

Le cadre légal et l'autorité compétente

La transposition luxembourgeoise de la directive (UE) 2022/2555 (NIS2) est assurée par la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité. Cette loi fixe les obligations des entreprises concernées ainsi que le régime des sanctions applicable en cas de manquement.

Selon l'art. 3, l'Institut luxembourgeois de régulation (ILR) est l'autorité compétente chargée de la cybersécurité pour les secteurs visés aux annexes I et II. Pour le secteur bancaire et les infrastructures des marchés financiers, l'autorité compétente est la Commission de surveillance du secteur financier.

La loi distingue deux catégories d'assujettis (art. 11) :

• l'entité essentielle ;
• l'entité importante.

Cette classification n'est pas seulement administrative : elle détermine directement le plafond des amendes qui peuvent vous être imposées.

Montants maximaux des amendes administratives (art. 26)

L'art. 26 prévoit que les amendes administratives doivent être « effectives, proportionnées et dissuasives ». Le montant maximal dépend de la classification de l'entité.

Deux points sont essentiels à retenir :

• Le pourcentage se calcule sur le chiffre d'affaires annuel mondial total de l'entreprise à laquelle l'entité appartient — et non uniquement sur l'activité luxembourgeoise.
• C'est toujours le montant le plus élevé entre la somme fixe et le pourcentage qui s'applique.

Astreintes et mesures complémentaires

Au-delà de l'amende, l'art. 26 dote les autorités compétentes de pouvoirs coercitifs complémentaires.

Astreinte (art. 26, paragraphe 7) : les autorités compétentes peuvent assortir leur décision de sanction d'une astreinte pour contraindre une entité essentielle ou importante à mettre fin à une violation de la loi. Les plafonds sont précis :

• 1 250 euros maximum par jour à raison du manquement constaté ;
• 25 000 euros au maximum au total pour un même manquement constaté.

Amendes en complément d'autres mesures (art. 26, paragraphe 2) : les amendes administratives sont imposées en complément de l'une ou l'autre des mesures prévues à l'article 22, paragraphe 4, points 1° à 8°, à l'article 22, paragraphe 5, et à l'article 23, paragraphe 4, points 1° à 7°.

Au moment de décider s'il y a lieu d'imposer une amende et d'en fixer le montant, l'autorité tient dûment compte, au minimum, des éléments prévus à l'article 22, paragraphe 7 (art. 26, paragraphe 3).

Quels manquements déclenchent ces amendes ?

Les amendes des paragraphes 4 et 5 de l'art. 26 sanctionnent spécifiquement la violation de deux séries d'obligations.

Article 12 — mesures de gestion des risques. Les entités essentielles et importantes doivent prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, fondées sur une approche « tous risques ». L'art. 12, paragraphe 2, énumère au minimum :

• les politiques d'analyse des risques et de sécurité des systèmes d'information ;
• la gestion des incidents ;
• la continuité des activités et la gestion des crises ;
• la sécurité de la chaîne d'approvisionnement ;
• la sécurité de l'acquisition, du développement et de la maintenance des systèmes ;
• les pratiques de cyberhygiène et la formation ;
• la cryptographie et le chiffrement ;
• le contrôle d'accès et la gestion des actifs ;
• l'authentification à plusieurs facteurs, le cas échéant.

Article 14, paragraphes 1er à 4 — notification des incidents importants. Les délais sont stricts :

• une notification préliminaire dans les 24 heures après avoir eu connaissance de l'incident important ;
• une notification d'incident dans les 72 heures ;
• un rapport final au plus tard un mois après la notification d'incident.

Le non-respect de ces obligations expose directement l'entité aux amendes de l'art. 26.

La dimension de responsabilité de la direction

La NIS2 introduit une responsabilisation des organes de direction. Conformément à l'article 20, paragraphe 1, de la directive (UE) 2022/2555, les organes de direction des entités essentielles et importantes doivent approuver les mesures de gestion des risques en matière de cybersécurité, superviser leur mise en œuvre et peuvent être tenus responsables des infractions à ces obligations commises par les entités.

Concrètement, la cybersécurité cesse d'être un sujet purement technique : elle devient une responsabilité de gouvernance au plus haut niveau de l'entreprise.

La portée précise des règles de responsabilité personnelle des dirigeants dans le droit luxembourgeois d'application de la loi du 5 mai 2026 doit être vérifiée au cas par cas : [TÄPSUSTAB PARTNER-JURIST].

Pour savoir si votre organisation est classée comme entité essentielle ou entité importante et évaluer votre exposition aux sanctions, utilisez notre outil gratuit de cadrage et d'analyse d'écart (gap).