NIS2 au Luxembourg : l'obligation d'enregistrement des entités essentielles et importantes

Qu'est-ce que l'obligation d'enregistrement NIS2 ?

La loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité transpose au Luxembourg la directive (UE) 2022/2555 (NIS2). L'un de ses premiers volets pratiques est l'obligation d'enregistrement : les entreprises concernées doivent se faire connaître de l'autorité compétente afin de figurer sur une liste officielle des entités essentielles et importantes.

Concrètement, l'article 11, paragraphe 3, prévoit que les autorités compétentes établissent une liste des entités essentielles et importantes, ainsi que des entités fournissant des services d'enregistrement de noms de domaine. Cette liste est réexaminée et, le cas échéant, mise à jour régulièrement et au moins tous les deux ans. Pour alimenter cette liste, chaque entité doit communiquer un minimum d'informations dans un délai précis (voir plus bas).

S'enregistrer n'est donc pas une formalité facultative : c'est le point de départ qui déclenche votre entrée dans le champ de la surveillance en matière de cybersécurité et confirme votre statut auprès de l'autorité.

Qui doit s'enregistrer au Luxembourg ?

L'obligation vise les entités essentielles et les entités importantes au sens de l'article 11.

Sont considérées comme des entités essentielles notamment (art. 11, paragraphe 1) :

• les entités d'un type visé à l'annexe I qui dépassent les plafonds applicables aux moyennes entreprises (recommandation 2003/361/CE) ;
• les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS, quelle que soit leur taille ;
• les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public qui constituent des moyennes entreprises ;
• les entités de l'administration publique visées à l'article 1er, paragraphe 2, point 6° ;
• les entités recensées en tant qu'entités critiques en vertu de la loi du 5 mai 2026 sur la résilience des entités critiques ;
• les entités identifiées avant l'entrée en vigueur de la loi comme opérateurs de services essentiels sous la loi du 28 mai 2019.

Sont considérées comme des entités importantes (art. 11, paragraphe 2) : les entités d'un type visé à l'annexe I ou II qui ne sont pas des entités essentielles, y compris celles identifiées comme importantes par l'autorité compétente.

En pratique, si votre activité relève d'un secteur listé aux annexes I ou II, il est essentiel de vérifier votre classification. L'autorité compétente confirme ensuite à l'entité sa désignation en tant qu'entité essentielle ou entité importante.

Auprès de quelle autorité et avec quelles informations ?

L'Institut luxembourgeois de régulation (ILR) est l'autorité compétente chargée de la cybersécurité pour les secteurs visés aux annexes I et II (art. 3).

Par dérogation, la Commission de surveillance du secteur financier (CSSF) est l'autorité compétente pour le secteur bancaire et les infrastructures des marchés financiers (points 3° et 4° de l'annexe I), ainsi que, dans certains cas, pour les infrastructures numériques et la gestion des services TIC relevant de sa surveillance (points 8° et 9°).

Les autorités compétentes mettent en place des mécanismes nationaux permettant aux entités de s'enregistrer elles-mêmes (art. 11, paragraphe 4).

Les informations à communiquer sont au minimum (art. 11, paragraphe 4) :

• le nom de l'entité ;
• l'adresse et les coordonnées actualisées, y compris les adresses électroniques, les plages d'IP et les numéros de téléphone ;
• le cas échéant, le secteur et le sous-secteur concernés (annexe I ou II) ;
• le cas échéant, la liste des États membres de l'Union européenne dans lesquels l'entité fournit des services relevant de la loi ;
• la taille de l'entité et, le cas échéant, celle du groupe auquel elle appartient.

Toute modification de ces informations doit être notifiée sans tarder et, en tout état de cause, dans un délai de deux semaines à compter de la date de la modification.

À noter : le canal électronique exact d'enregistrement (portail précis) auprès de l'ILR ou du CSIRT compétent n'est pas fixé de manière univoque par le texte de loi. [TÄPSUSTAB PARTNER-JURIST]

Dans quel délai s'enregistrer ?

Le délai est explicite dans la loi : les entités concernées communiquent les informations d'enregistrement à l'autorité compétente dans un délai de deux mois à compter de l'entrée en vigueur de la présente loi (art. 11, paragraphe 4).

En résumé :

Anticiper ces délais est important : identifier son statut, rassembler les informations requises et déterminer l'autorité compétente prennent du temps. Un état des lieux (scoping) réalisé en amont vous permet d'être prêt dès l'entrée en vigueur.

Au-delà de l'enregistrement, la loi impose aussi des mesures de gestion des risques (art. 12) et la notification des incidents importants — notification préliminaire dans les 24 heures, notification d'incident dans les 72 heures et rapport final au plus tard un mois après (art. 14).