NIS2 au Luxembourg : délais et obligation de notification des incidents

L'obligation de notification en bref

La loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité transpose la directive (UE) 2022/2555 (NIS2) au Luxembourg. Elle impose aux entités concernées de signaler les incidents graves affectant leurs services.

Selon l'art. 14, les entités essentielles et les entités importantes doivent notifier, sans retard injustifié, à l'autorité compétente concernée tout incident ayant un impact important sur la fourniture de leurs services (dit « incident important »).

Un incident est considéré comme important si (art. 14, paragraphe 3) :

• il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité ;
• il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

À noter : le simple fait de notifier un incident n'accroît pas la responsabilité de l'entité à l'origine de la notification (art. 14, paragraphe 1).

Les délais exacts : 24 heures, 72 heures, un mois

L'art. 14, paragraphe 4 fixe un processus de notification en plusieurs étapes. Chaque échéance court à partir du moment où l'entité a eu connaissance de l'incident important :

Cas d'incident encore en cours : si l'incident est toujours en cours au moment du rapport final, l'entité fournit un rapport d'avancement, puis un rapport final dans un délai d'un mois à compter de la gestion de l'incident (art. 14, paragraphe 4, point 5°).

Cas particulier des prestataires de services de confiance : pour les incidents importants affectant leurs services de confiance, ils notifient à l'autorité compétente sans retard injustifié et en tout état de cause dans les 24 heures (art. 14, paragraphe 4).

Quelle autorité reçoit la notification au Luxembourg ?

L'art. 3 désigne l'autorité compétente en matière de cybersécurité :

• Institut luxembourgeois de régulation (ILR) : autorité compétente pour les secteurs visés aux annexes I et II ainsi que pour les entités critiques.
• Commission de surveillance du secteur financier : autorité compétente pour le secteur bancaire et le secteur des infrastructures des marchés financiers, ainsi que pour certaines activités des infrastructures numériques et de la gestion des services TIC relevant de sa surveillance.

La notification est adressée à l'autorité compétente concernée. Celle-ci transmet la notification au CSIRT concerné et au point de contact unique dès qu'elle la reçoit (art. 14, paragraphe 1).

En retour, l'autorité compétente fournit, sans retard injustifié et si possible dans les 24 heures suivant la réception de la notification préliminaire, une réponse à l'entité, incluant un retour d'information initial et, à la demande de l'entité, des orientations ou des conseils opérationnels. Le CSIRT fournit un soutien technique supplémentaire si l'entité le demande (art. 14, paragraphe 5).

Point d'attention pratique : le canal électronique exact d'enregistrement et de notification auprès de l'ILR ou du CSIRT compétent n'est pas fixé de manière univoque par le texte de loi. [TÄPSUSTAB PARTNER-JURIST]

Enregistrement préalable et sanctions en cas de manquement

Avant même toute notification d'incident, les entités doivent être identifiées. L'art. 11 distingue entité essentielle et entité importante : les entités de type visé à l'annexe I qui dépassent les plafonds des moyennes entreprises sont notamment des entités essentielles, tandis que les autres entités des annexes I ou II sont des entités importantes.

Les entités communiquent à l'autorité compétente, dans un délai de deux mois à compter de l'entrée en vigueur de la loi, les informations d'enregistrement (nom, coordonnées actualisées, secteur, taille). Toute modification est notifiée dans un délai de deux semaines à compter de la date de la modification (art. 11, paragraphe 4). L'autorité compétente confirme la désignation en tant qu'entité essentielle ou importante.

Sanctions (art. 26) en cas de violation de l'article 12 ou de l'article 14, paragraphes 1er à 4 :

• Entités essentielles : amende administrative d'un montant maximal de 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
• Entités importantes : amende administrative d'un montant maximal de 7 000 000 EUR ou 1,4 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu.

Une astreinte peut également s'ajouter, d'un montant maximal de 1 250 euros par jour, sans dépasser 25 000 euros au total pour le manquement constaté (art. 26, paragraphe 7).

Vous n'êtes pas sûr d'être concerné ? Utilisez notre outil gratuit de cadrage (scoping) et d'analyse d'écart pour évaluer votre statut et votre préparation à la notification d'incidents.