Les 10 mesures de gestion des risques NIS2 (article 21) et leur transposition au Luxembourg

De l'article 21 de la directive à l'article 12 de la loi luxembourgeoise

La directive (UE) 2022/2555 (directive SRI 2) impose, à son article 21, paragraphe 1er, que les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité de leurs réseaux et systèmes d'information.

Au Luxembourg, cette obligation est transposée par la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, à son article 12. Le texte national reprend fidèlement l'exigence : les mesures doivent garantir un niveau de sécurité adapté au risque existant, en tenant compte de l'état des connaissances, des normes européennes et internationales applicables et du coût de mise en œuvre.

Lors de l'évaluation de la proportionnalité, il convient de tenir compte :

• du degré d'exposition de l'entité aux risques ;
• de la taille de l'entité ;
• de la probabilité de survenance d'incidents et de leur gravité, y compris leurs conséquences sociétales et économiques.

L'autorité compétente est l'Institut luxembourgeois de régulation (ILR) pour les secteurs des annexes I et II ; pour le secteur bancaire et les infrastructures des marchés financiers, c'est la Commission de surveillance du secteur financier (art. 3).

L'approche « tous risques » : le socle de l'article 12

Les mesures prévues à l'article 12, paragraphe 2 de la loi du 5 mai 2026 reposent sur une approche « tous risques » (all-hazards). Cette approche vise à protéger non seulement les réseaux et systèmes d'information, mais aussi leur environnement physique, contre les incidents.

Autrement dit, il ne s'agit pas de se concentrer uniquement sur les cyberattaques, mais de couvrir l'ensemble des menaces susceptibles d'affecter la disponibilité, l'intégrité et la confidentialité des systèmes.

Pour identifier ces risques, les entités doivent utiliser un cadre d'analyse de risques approprié, qui peut être précisé par l'autorité compétente par voie de règlement ou de circulaire (art. 12, paragraphe 1er).

Les 10 mesures obligatoires : votre checklist pratique

L'article 12, paragraphe 2 de la loi du 5 mai 2026 énumère les mesures minimales, en transposition directe de l'article 21, paragraphe 2, points (a) à (j) de la directive. Voici la checklist des dix domaines à couvrir :

Focus chaîne d'approvisionnement (mesure 4) : selon l'article 12, paragraphe 4, lorsqu'elles examinent les mesures appropriées, les entités tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct, de la qualité globale de leurs produits et pratiques de cybersécurité, ainsi que des résultats des évaluations coordonnées des risques pour les chaînes d'approvisionnement critiques.

Gouvernance, notification et mesures correctives

Au-delà de la checklist technique, plusieurs obligations encadrent la mise en œuvre :

• Approbation par la direction : la directive (UE) 2022/2555 prévoit à son article 20, paragraphe 1er que les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et peuvent être tenus responsables des infractions.
• Notification des mesures pour les entités essentielles : les mesures prises par les entités essentielles au titre de l'article 12 sont notifiées à l'autorité compétente ; les modalités, le format et le délai sont déterminés par l'autorité compétente par voie de règlement ou de circulaire (art. 12, paragraphe 3).
• Mesures correctives : lorsqu'une entité constate qu'elle ne se conforme pas aux mesures prévues, elle doit prendre sans retard injustifié toutes les mesures correctives nécessaires, appropriées et proportionnées (art. 12, paragraphe 5).

Rappelons que le non-respect de l'article 12 est passible de sanctions. Selon l'article 26, les entités essentielles encourent des amendes administratives d'un montant maximal de 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total (le montant le plus élevé étant retenu), et les entités importantes de 7 000 000 EUR ou 1,4 % du chiffre d'affaires annuel mondial total.

Comment démarrer votre mise en conformité

Pour transformer ces dix mesures en un plan d'action concret :

1. Confirmez votre classification : êtes-vous une entité essentielle ou une entité importante au sens de l'article 11 ? 2. Réalisez un enregistrement auprès de l'autorité compétente. Les entités communiquent les informations requises dans un délai de deux mois à compter de l'entrée en vigueur de la loi et notifient toute modification dans un délai de deux semaines (art. 11, paragraphes 3 et 4). 3. Menez une analyse d'écart (gap analysis) sur les dix domaines de l'article 12(2). 4. Formalisez la gouvernance et l'approbation par la direction.

Notre outil gratuit de cadrage et d'analyse d'écart vous aide à évaluer, mesure par mesure, votre niveau de conformité aux exigences de l'article 12. Le canal électronique exact d'enregistrement et de notification auprès de l'ILR ou du CSIRT compétent [TÄPSUSTAB PARTNER-JURIST].