Notification d'incident NIS2 au Luxembourg : le guide pratique étape par étape

1. Quand l'obligation de notification est-elle déclenchée ?

Au Luxembourg, l'obligation de notification découle de l'article 14 de la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (transposition de la directive (UE) 2022/2555 — NIS 2).

La règle de base : une entité essentielle ou une entité importante notifie, *sans retard injustifié*, à l'autorité compétente concernée tout incident ayant un impact important sur sa fourniture de services — la loi parle d'« incident important » (art. 14, paragraphe 1er).

Un incident est considéré comme important si (art. 14, paragraphe 3) :

• il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité concernée ;
• il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

Deux points pratiques importants :

• Le critère est potentiel (« susceptible de causer ») : il ne faut pas attendre la confirmation définitive du dommage pour déclencher la procédure.
• L'autorité compétente concernée peut préciser, par voie de règlement ou de circulaire, les paramètres et les modalités des notifications (art. 14, paragraphe 3). Il faut donc vérifier si un tel texte sectoriel existe pour votre secteur : à défaut, seuls les critères légaux ci-dessus s'appliquent.

Enfin, l'article 14, paragraphe 1er, prévoit aussi que, le cas échéant, l'entité notifie sans retard injustifié aux destinataires de ses services les incidents importants susceptibles de nuire à la fourniture de ces services. Et en cas de cybermenace importante, l'entité communique aux destinataires potentiellement affectés les mesures ou corrections qu'ils peuvent appliquer (art. 14, paragraphe 2).

2. À qui notifier : autorité compétente, CSIRT et point de contact unique

C'est ici que le droit luxembourgeois se distingue du texte européen, et il faut le savoir avant l'incident.

Le destinataire de la notification est l'autorité compétente, et non directement le CSIRT (art. 14, paragraphe 1er). C'est l'autorité compétente qui transmet la notification au CSIRT concerné et au point de contact unique dès qu'elle la reçoit.

À noter : la directive (UE) 2022/2555, art. 23, paragraphe 1er, laisse au niveau européen le choix entre le CSIRT « ou, le cas échéant, l'autorité compétente ». Le législateur luxembourgeois a tranché en faveur de l'autorité compétente ; c'est donc l'article 14 de la loi du 5 mai 2026 qui s'applique.

Quelle autorité compétente ? Selon l'article 3 de la loi du 5 mai 2026 :

Le rôle du point de contact unique (assuré au niveau national par le Haut-Commissariat à la Protection nationale) est de coordination transfrontière : il informe sans retard injustifié les autres États membres touchés et l'ENISA lorsque l'incident important concerne deux États membres ou plus (art. 14, paragraphe 6) et transmet les notifications aux points de contact uniques concernés à la demande de l'autorité compétente (art. 14, paragraphe 8).

Le CSIRT concerné (fonctions assurées au niveau opérationnel national par GOVCERT.LU et CIRCL) intervient en appui : l'orientation opérationnelle est émise par l'autorité compétente en coopération avec le CSIRT concerné, et le CSIRT fournit un soutien technique supplémentaire si l'entité le demande (art. 14, paragraphe 5).

Canal de notification : le texte de la loi ne fixe pas de manière univoque le canal électronique, le portail ou le formulaire exact à utiliser auprès de l'ILR, de la CSSF ou du CSIRT. Ce point est à confirmer : [Vérifiez ce point: Institut luxembourgeois de régulation (ILR) (source officielle).]. En pratique, identifiez et testez ce canal avant l'incident, et consignez-le dans votre procédure de gestion des incidents (art. 12, paragraphe 2, point 2°).

3. Sous quelle forme et en combien d'étapes ?

L'article 14, paragraphe 4, de la loi du 5 mai 2026 prévoit une notification par étapes. Chaque étape a son propre contenu minimal :

Étape 1 — Notification préliminaire. Elle indique, le cas échéant, si l'on suspecte l'incident important d'avoir été causé par des actes illicites ou malveillants ou s'il pourrait avoir un impact transfrontière (point 1°).

Étape 2 — Notification d'incident. Elle met à jour les informations de la notification préliminaire et fournit une évaluation initiale de l'incident important, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission, lorsqu'ils sont disponibles (point 2°).

Étape 3 — Rapport intermédiaire. Il n'est pas automatique : il est fourni à la demande d'un CSIRT ou, selon le cas, de l'autorité compétente, et porte sur les mises à jour pertinentes de la situation (point 3°).

Étape 4 — Rapport final. Il comprend (point 4°) :

• une description détaillée de l'incident, y compris de sa gravité et de son impact ;
• le type de menace ou la cause profonde qui a probablement déclenché l'incident ;
• les mesures d'atténuation appliquées et en cours ;
• le cas échéant, l'impact transfrontière de l'incident.

Cas de l'incident encore en cours. Si l'incident est toujours en cours au moment où le rapport final serait dû, l'entité fournit à ce moment-là un rapport d'avancement, puis un rapport final (point 5°).

À retenir également : les notifications doivent comporter, entre autres, toute information permettant à l'autorité compétente de déterminer si l'incident a un impact transfrontière, et le simple fait de notifier n'accroît pas la responsabilité de l'entité qui notifie (art. 14, paragraphe 1er).

4. Les délais exacts, tels qu'ils figurent dans la loi

Dérogation pour les prestataires de services de confiance : pour les incidents importants ayant un impact sur la fourniture de leurs services de confiance, la notification à l'autorité compétente intervient sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l'incident important (art. 14, paragraphe 4, dernier alinéa).

Ce que vous recevez en retour : l'autorité compétente fournit une réponse sans retard injustifié et si possible dans les 24 heures suivant la réception de la notification préliminaire, avec un retour d'information initial et, à la demande de l'entité, des orientations ou conseils opérationnels sur les mesures d'atténuation (art. 14, paragraphe 5). Si l'incident est susceptible d'être de nature criminelle, le CSIRT ou l'autorité compétente fournit également des orientations sur les modalités de notification aux autorités répressives.

5. Ce que vous risquez, et comment vous préparer dès maintenant

La notification n'est pas une formalité : l'article 26 de la loi du 5 mai 2026 prévoit des amendes administratives spécifiquement en cas de violation de l'article 14, paragraphes 1er à 4 :

• entité essentielle : jusqu'à 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle l'entité appartient, le montant le plus élevé étant retenu (art. 26, paragraphe 4) ;
• entité importante : jusqu'à 7 000 000 EUR ou 1,4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu (art. 26, paragraphe 5).

S'y ajoute la possibilité d'une astreinte : au maximum 1 250 EUR par jour, sans que le total imposé à raison du manquement constaté puisse dépasser 25 000 EUR (art. 26, paragraphe 7).

Checklist de préparation (à faire avant l'incident) :

• désignez l'autorité compétente qui vous concerne (ILR ou Commission de surveillance du secteur financier, art. 3) et documentez-le ;
• identifiez et testez le canal de notification effectif, ainsi que les coordonnées de secours ;
• définissez qui, en interne, déclare l'« avoir eu connaissance » de l'incident — c'est ce moment qui fait courir les 24 heures et les 72 heures ;
• préparez trois modèles écrits (notification préliminaire, notification d'incident, rapport final) reprenant exactement les éléments de l'article 14, paragraphe 4 ;
• prévoyez le volet « destinataires des services » (art. 14, paragraphes 1er et 2) et l'hypothèse d'une information du public (art. 14, paragraphe 7) ;
• vérifiez que votre gestion des incidents est bien intégrée aux mesures de gestion des risques de l'article 12, paragraphe 2, point 2°.

Vous ne savez pas si vous êtes une entité essentielle ou une entité importante, ni quelle autorité vous supervise ? Utilisez notre outil gratuit de cadrage et d'analyse d'écarts NIS2 : quelques minutes suffisent pour obtenir votre classification probable au titre de l'article 11 et la liste de vos obligations de notification prioritaires.