NIS2 au Luxembourg : ce que la loi du 5 mai 2026 demande concrètement de produire

Le texte applicable et les entités concernées

Le cadre national est la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (transposition de la directive (UE) 2022/2555 — NIS2). Elle ne se contente pas de principes : elle désigne une autorité, définit qui est concerné et énumère ce que l'entreprise doit mettre en place et pouvoir montrer.

L'article 3 confie la compétence en matière de cybersécurité à l'Institut luxembourgeois de régulation (ILR) pour les secteurs des annexes I et II, avec les tâches de supervision et d'exécution visées au chapitre 6. Par dérogation, la Commission de surveillance du secteur financier est l'autorité compétente pour le secteur bancaire et le secteur des infrastructures des marchés financiers (points 3° et 4° du tableau de l'annexe I).

L'article 11 distingue deux statuts. Sont entités essentielles notamment les entités d'un type visé à l'annexe I qui dépassent les plafonds applicables aux moyennes entreprises au sens de la recommandation 2003/361/CE, ainsi que les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS, quelle que soit leur taille. Les entités d'un type visé à l'annexe I ou II qui ne sont pas essentielles sont des entités importantes.

S'y ajoute une obligation pratique souvent oubliée : communiquer à l'autorité compétente, dans un délai de deux mois à compter de l'entrée en vigueur de la loi, le nom, les coordonnées actualisées, le secteur et sous-secteur concernés, les États membres où des services sont fournis et la taille de l'entité ; toute modification est notifiée dans un délai de deux semaines (art. 11, paragraphe 4).

Les mesures de gestion des risques : un ensemble unique, cinq piliers

L'article 12 est le cœur du dispositif. Les entités essentielles et importantes prennent des mesures « techniques, opérationnelles et organisationnelles appropriées et proportionnées », fondées sur une approche « tous risques », comprenant au moins dix domaines. Ce n'est pas une liste de projets séparés : c'est un dossier cohérent que l'entreprise doit pouvoir présenter. Voici les cinq piliers qui structurent le reste.

1. Politique d'analyse des risques et de sécurité des systèmes d'information (art. 12, paragraphe 2, point 1°). C'est le document fondateur : il décrit les actifs, les menaces, l'appréciation du risque et les décisions prises. L'article 12, paragraphe 1er, précise que les entités utilisent « un cadre d'analyse de risques approprié pouvant être précisé par l'autorité compétente concernée par voie de règlement ou de circulaire ». Sans cette politique, les autres mesures n'ont pas de référentiel commun.

2. Gestion des incidents (art. 12, paragraphe 2, point 2°). Il faut une procédure écrite : détection, qualification, escalade, rôles, journalisation. Elle est directement reliée à l'obligation de notification de l'article 14, car les délais courent à partir du moment où l'entité a connaissance de l'incident important.

3. Continuité des activités (art. 12, paragraphe 2, point 3°). Le texte cite « la gestion des sauvegardes et la reprise des activités, et la gestion des crises ». Concrètement : plan de reprise, sauvegardes testées, scénarios de crise et responsabilités clairement attribuées.

4. Sécurité de la chaîne d'approvisionnement (art. 12, paragraphe 2, point 4°). La loi vise « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs » (loi du 5 mai 2026, art. 12, paragraphe 2, point 4°). L'article 12, paragraphe 4, ajoute que les entités tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale de leurs produits et pratiques de cybersécurité, y compris leurs procédures de développement sécurisé.

5. Responsabilité de la direction (art. 13). L'approbation et la supervision des mesures relèvent des organes de direction, et non uniquement de l'informatique. C'est ce qui transforme le dossier technique en décision d'entreprise datée et traçable.

Notifier un incident important : trois étapes, une chronologie

Un incident est important si, selon l'article 14, paragraphe 3, il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité, ou s'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

La notification se fait à l'autorité compétente concernée, sans retard injustifié (art. 14, paragraphe 1er), selon la séquence de l'article 14, paragraphe 4 :

Le rapport final comprend une description détaillée de l'incident, le type de menace ou la cause profonde, les mesures d'atténuation appliquées et en cours et, le cas échéant, l'impact transfrontière. Le simple fait de notifier un incident n'accroît pas la responsabilité de l'entité qui est à l'origine de la notification (art. 14, paragraphe 1er).

Approbation par la direction et formation obligatoire

La loi luxembourgeoise dit ceci, mot pour mot :

> « Les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité prises par ces entités afin de se conformer à l'article 12, supervisent leur mise en œuvre et peuvent être tenus responsables de la violation dudit article par ces entités. »

— loi du 5 mai 2026, art. 13, paragraphe 1er.

Deux conséquences pratiques. D'abord, l'approbation doit exister quelque part : décision, procès-verbal, validation datée. Ensuite, l'article 13, paragraphe 2, impose que les membres des organes de direction suivent régulièrement une formation, et que l'entité offre régulièrement une formation similaire aux membres de son personnel, afin d'acquérir des connaissances suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques et leur impact sur les services fournis.

À noter également : les mesures prises par les entités essentielles sur base de l'article 12, paragraphes 1er et 2, sont notifiées à l'autorité compétente, dont le règlement ou la circulaire fixe les modalités, le format et le délai (art. 12, paragraphe 3).

L'effet de chaîne : même hors du champ d'application, on vous demandera des preuves

C'est un fait et non une hypothèse : puisque leurs clients couverts par la loi doivent gérer la sécurité de leurs fournisseurs ou prestataires de services directs (art. 12, paragraphe 2, point 4°), ces clients répercutent l'exigence en aval. Une entreprise qui n'est elle-même ni entité essentielle ni entité importante reçoit donc des questionnaires fournisseurs, des clauses contractuelles de sécurité et des demandes de justificatifs.

Ce qui est demandé ressemble beaucoup au dossier de l'article 12 : politique de sécurité, procédure de gestion des incidents, plan de continuité et de sauvegarde, gestion des accès, preuve de sensibilisation du personnel. Les entreprises qui n'ont rien d'écrit répondent lentement, au cas par cas, et perdent du temps commercial. Celles qui disposent d'un jeu de documents à jour répondent en réutilisant l'existant.

Rien dans la loi ne transforme ces entreprises en entités soumises à l'obligation légale — c'est la relation contractuelle qui crée la demande. Mais l'effet est réel et croissant à mesure que les entités couvertes appliquent l'article 12, paragraphe 4.

Supervision, sanctions et le premier document à produire

La supervision ne porte pas sur une mesure isolée : elle vise l'ensemble documenté. L'article 3 attribue à l'autorité compétente les tâches de supervision et d'exécution visées au chapitre 6, et l'article 12, paragraphe 5, prévoit que l'entité qui constate qu'elle ne se conforme pas aux mesures du paragraphe 2 prend, sans retard injustifié, toutes les mesures correctives nécessaires appropriées et proportionnées. Autrement dit, ce sont la cohérence et la tenue à jour du dossier qui sont examinées, pas seulement l'existence d'un outil technique.

Côté sanctions, l'article 26 prévoit, pour les violations de l'article 12 ou de l'article 14, paragraphes 1er à 4 :

• entité essentielle : amende administrative d'un montant maximal de 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle elle appartient, le montant le plus élevé étant retenu (art. 26, paragraphe 4) ;
• entité importante : 7 000 000 EUR ou 1,4 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu (art. 26, paragraphe 5) ;
• une astreinte peut s'ajouter : au maximum 1 250 euros par jour, sans que le total imposé à raison du manquement constaté ne puisse dépasser 25 000 euros (art. 26, paragraphe 7).

Par où commencer ? Par le premier des cinq piliers : la politique de gestion des risques et de sécurité des systèmes d'information (art. 12, paragraphe 2, point 1°). C'est le document sur lequel les autres s'appuient — la procédure d'incident y puise ses critères, le plan de continuité ses priorités, l'évaluation des fournisseurs ses exigences, et l'approbation par la direction son objet. Pour les modalités pratiques (canal d'enregistrement, format des notifications), référez-vous aux règlements et circulaires publiés par l'Institut luxembourgeois de régulation, source officielle en la matière.