NIS2 et la loi luxembourgeoise de transposition : ce que votre entreprise doit savoir

De la directive NIS2 à la loi luxembourgeoise

La directive européenne (UE) 2022/2555 — connue sous le nom de directive SRI 2 (NIS2) — fixe un cadre commun pour renforcer la cybersécurité dans l'ensemble de l'Union. Une directive n'est cependant pas directement applicable : chaque État membre doit la transposer dans son droit national.

Au Luxembourg, cette transposition est assurée par la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (transposition de la directive (UE) 2022/2555 — NIS2), ci-après « loi du 5 mai 2026 ».

Concrètement, cela signifie que vos obligations de cybersécurité découlent désormais du texte luxembourgeois, tout en s'inscrivant dans le cadre européen. Les grands principes de la directive — gestion des risques, gouvernance et notification des incidents — se retrouvent dans la loi nationale, souvent presque mot pour mot.

Qui est l'autorité compétente au Luxembourg ?

La loi du 5 mai 2026 désigne clairement les autorités de supervision (art. 3) :

• L'Institut luxembourgeois de régulation (ILR) est l'autorité compétente chargée de la cybersécurité pour les secteurs visés aux annexes I et II ainsi que pour les entités critiques.
• Par dérogation, la Commission de surveillance du secteur financier (CSSF) est l'autorité compétente pour le secteur bancaire et le secteur des infrastructures des marchés financiers (points 3° et 4° de l'annexe I). La CSSF est également compétente pour les secteurs des infrastructures numériques et de la gestion des services TIC (points 8° et 9°) dans la mesure où les activités relèvent de sa surveillance.

Au-delà de l'autorité compétente, le dispositif luxembourgeois s'appuie sur un point de contact unique (le Haut-Commissariat à la Protection nationale) et sur des CSIRT (GOVCERT.LU / CIRCL), qui reçoivent les listes d'entités et les notifications d'incidents transmises par l'autorité compétente.

> À noter : le canal électronique exact d'enregistrement et de notification auprès de l'ILR ou du CSIRT compétent n'est pas fixé de manière univoque par le texte de loi. [TÄPSUSTAB PARTNER-JURIST]

Êtes-vous une entité essentielle ou importante ?

La loi reprend la classification de la directive en deux catégories statutaires (art. 11) :

• Entité essentielle : notamment les entités d'un type visé à l'annexe I qui dépassent les plafonds applicables aux moyennes entreprises, les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS (quelle que soit leur taille), ainsi que certaines entités de l'administration publique.
• Entité importante : les entités d'un type visé à l'annexe I ou II qui ne constituent pas des entités essentielles.

Obligation d'enregistrement. Les entités visées doivent communiquer à l'autorité compétente, dans un délai de deux mois à compter de l'entrée en vigueur de la loi, au moins :

• le nom de l'entité ;
• l'adresse et les coordonnées actualisées (courriels, plages d'IP, numéros de téléphone) ;
• le cas échéant, le secteur et le sous-secteur concernés ;
• le cas échéant, la liste des États membres où des services sont fournis ;
• la taille de l'entité (et, le cas échéant, du groupe).

Toute modification doit être notifiée dans un délai de deux semaines. L'autorité compétente met en place des mécanismes d'auto-enregistrement et confirme la désignation en tant qu'entité essentielle ou importante (art. 11, paragraphes 3 et 4).

Ce que la loi ajoute : mesures de gestion des risques et notification

Mesures de gestion des risques (art. 12). Les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles proportionnées, fondées sur une approche « tous risques », comprenant au moins :

• les politiques d'analyse des risques et de sécurité des systèmes d'information ;
• la gestion des incidents ;
• la continuité des activités (sauvegardes, reprise, gestion de crise) ;
• la sécurité de la chaîne d'approvisionnement ;
• la sécurité de l'acquisition, du développement et de la maintenance des systèmes ;
• l'évaluation de l'efficacité des mesures ;
• la cyberhygiène et la formation ;
• la cryptographie et le chiffrement ;
• la sécurité RH, le contrôle d'accès et la gestion des actifs ;
• l'authentification à plusieurs facteurs et les communications sécurisées.

Une spécificité de la loi luxembourgeoise : les mesures prises par les entités essentielles doivent être notifiées à l'autorité compétente, selon des modalités déterminées par règlement ou circulaire (art. 12, paragraphe 3).

Notification des incidents importants (art. 14). Un incident est important s'il a causé (ou est susceptible de causer) une perturbation opérationnelle grave ou des pertes financières, ou s'il affecte d'autres personnes par des dommages considérables. Les délais sont :

Les prestataires de services de confiance notifient dans les 24 heures.

Sanctions en cas de non-conformité

La loi prévoit des amendes administratives effectives, proportionnées et dissuasives (art. 26) :

• Entités essentielles : en cas de violation de l'article 12 ou de l'article 14, paragraphes 1er à 4, amende maximale de 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent — le montant le plus élevé étant retenu.
• Entités importantes : amende maximale de 7 000 000 EUR ou 1,4 % du chiffre d'affaires annuel mondial total — le montant le plus élevé étant retenu.

L'autorité compétente peut en outre assortir sa décision d'une astreinte ne pouvant dépasser 1 250 euros par jour, dans la limite totale de 25 000 euros.

Au vu de ces montants et des délais serrés, il est prudent d'évaluer dès maintenant votre périmètre et vos écarts de conformité. Notre outil gratuit de cadrage (scoping) et d'analyse des écarts vous aide à faire un premier état des lieux en quelques minutes.