Votre document NIS2 est-il juridiquement solide au Luxembourg — et comment le vérifier

Traçabilité : chaque obligation doit renvoyer à un article précis de la loi nationale

Au Luxembourg, la référence applicable est la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, qui transpose la directive (UE) 2022/2555. C'est ce texte national — et non la directive seule — qui fixe les obligations opposables aux entreprises visées aux annexes I et II.

Un document interne (politique de sécurité, procédure de gestion des incidents, registre des mesures) n'est vérifiable que si chaque affirmation juridique qu'il contient peut être rapprochée d'une disposition identifiable. Concrètement, ouvrez votre document et posez-vous trois questions :

• Chaque obligation énoncée est-elle suivie d'une référence du type « art. 12, paragraphe 2, point 4° » ou « art. 13, paragraphe 1er » ?
• Ces références visent-elles la loi du 5 mai 2026, ou seulement la directive (UE) 2022/2555 ?
• Une personne extérieure pourrait-elle, en quelques minutes, ouvrir le texte officiel et retrouver la phrase citée ?

Un document qui ne cite que la directive, ou qui ne cite rien du tout, n'est pas faux par nature — il est simplement invérifiable. Personne, à l'intérieur comme à l'extérieur de l'entreprise, ne peut contrôler si la phrase reflète le droit luxembourgeois en vigueur.

Voici à quoi ressemble une référence contrôlable. Le texte national dispose :

« Les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité prises par ces entités afin de se conformer à l'article 12, supervisent leur mise en œuvre et peuvent être tenus responsables de la violation dudit article par ces entités. »

— loi du 5 mai 2026, art. 13, paragraphe 1er.

Une citation littérale suivie de sa référence exacte peut être vérifiée par n'importe qui. Une reformulation sans référence ne le peut pas.

Couverture : les dix domaines de mesures de l'article 12

L'article 12, paragraphe 1er, de la loi du 5 mai 2026 impose aux entités essentielles et importantes de prendre « les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées » pour gérer les risques pesant sur leurs réseaux et systèmes d'information.

Le paragraphe 2 précise que ces mesures reposent sur une approche « tous risques » et comprennent au moins les dix domaines suivants :

1. les politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information ;
2. la gestion des incidents ;
3. la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises ;
4. la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ;
5. la sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information, y compris le traitement et la divulgation des vulnérabilités ;
6. des politiques et des procédures pour évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité ;
7. les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ;
8. des politiques et des procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement ;
9. la sécurité des ressources humaines, des politiques de contrôle d'accès et la gestion des actifs ;
10. l'utilisation de solutions d'authentification à plusieurs facteurs ou d'authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d'urgence au sein de l'entité, selon les besoins.

Le test de couverture est mécanique : dressez la liste des dix points, puis notez en face de chacun la page ou la section de votre document qui le traite. Les lignes restées vides sont vos angles morts. Le niveau de détail attendu, lui, dépend de la proportionnalité : l'article 12, paragraphe 1er, demande de tenir compte du degré d'exposition aux risques, de la taille de l'entité et de la probabilité et de la gravité des incidents.

Formulation : comparer phrase par phrase avec le texte officiel

Une obligation reformulée trop librement peut dire autre chose que la loi. Le contrôle se fait phrase par phrase :

• Isolez une phrase de votre document qui énonce une obligation (« nous devons… », « l'entreprise est tenue de… »).
• Ouvrez le texte de la loi du 5 mai 2026 à l'article cité et lisez la phrase correspondante.
• Comparez les verbes et les compléments : « au moins », « sans retard injustifié », « appropriées et proportionnées », « le cas échéant » ne sont pas des ornements, ils délimitent la portée de l'obligation.

Exemples de dérives fréquentes :

Lorsque votre document reformule, la reformulation doit rester accompagnée de la référence, afin que la comparaison avec le texte officiel reste possible.

Approbation par la direction : sans elle, le dossier est incomplet

L'article 13, paragraphe 1er, cité plus haut, place trois obligations sur l'organe de direction : approuver les mesures de gestion des risques prises pour se conformer à l'article 12, superviser leur mise en œuvre, et la possibilité d'être tenu responsable de la violation de cet article par l'entité.

Un document qui n'a jamais été soumis à la direction ne remplit donc pas cette étape, quelle que soit sa qualité technique. Points à vérifier dans vos archives :

• une décision ou un procès-verbal daté par lequel l'organe de direction approuve les mesures ;
• la trace du réexamen périodique et du suivi de la mise en œuvre ;
• la formation : l'article 13, paragraphe 2, prévoit que les membres des organes de direction suivent régulièrement une formation et que les entités offrent régulièrement une formation similaire aux membres de leur personnel.

L'article 12, paragraphe 5, ajoute que lorsqu'une entité constate qu'elle ne se conforme pas aux mesures prévues au paragraphe 2, elle prend « sans retard injustifié » les mesures correctives nécessaires, appropriées et proportionnées. Constater un manque et le documenter fait donc partie du processus normal.

Ce que regardent l'autorité et vos clients

L'autorité. Selon l'article 3, l'Institut luxembourgeois de régulation est l'autorité compétente chargée de la cybersécurité dans le cadre de la loi et des tâches de supervision et d'exécution visées au chapitre 6, pour les secteurs des annexes I et II. Pour le secteur bancaire et celui des infrastructures des marchés financiers, cette compétence revient à la Commission de surveillance du secteur financier. L'article 12, paragraphe 3, prévoit en outre que les mesures prises par les entités essentielles sur la base des paragraphes 1er et 2 sont notifiées à l'autorité compétente, selon des modalités, un format et un délai déterminés par cette autorité par voie de règlement ou de circulaire. Votre documentation doit donc pouvoir être présentée, pas seulement exister.

Les amendes administratives figurent à l'article 26 : pour une violation de l'article 12 ou de l'article 14, paragraphes 1er à 4, jusqu'à 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent pour une entité essentielle, le montant le plus élevé étant retenu, et jusqu'à 7 000 000 EUR ou 1,4 % pour une entité importante.

Vos clients. L'article 12, paragraphe 2, point 4°, couvre la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs et prestataires de services directs. Le paragraphe 4 précise que les entités tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct ainsi que de la qualité globale de leurs produits et pratiques de cybersécurité, y compris de leurs procédures de développement sécurisé. C'est pourquoi un donneur d'ordre soumis à la loi vous interrogera sur vos mesures — même si vous n'êtes pas vous-même visé par les annexes.

Pour les modalités pratiques que le texte ne fixe pas de manière univoque (canal d'enregistrement, format de notification), référez-vous aux règlements, circulaires et orientations publiés par l'Institut luxembourgeois de régulation, source officielle en la matière.