NIS2 au Luxembourg : la responsabilité des dirigeants n'est pas qu'une affaire d'IT

La cybersécurité NIS2 : un devoir de l'organe de direction

Beaucoup de dirigeants pensent encore que la cybersécurité est un sujet purement technique, à déléguer entièrement au service informatique. La directive (UE) 2022/2555 (NIS2) rompt clairement avec cette idée.

Selon l'article 20(1) de la directive, les États membres veillent à ce que les organes de direction des entités essentielles et importantes :

• approuvent les mesures de gestion des risques en matière de cybersécurité prises par l'entité pour se conformer à ses obligations ;
• supervisent la mise en œuvre de ces mesures ;
• puissent être tenus responsables des violations commises par l'entité.

Autrement dit, l'approbation et le contrôle des mesures de cybersécurité relèvent d'une décision de gouvernance, au plus haut niveau. Le dirigeant ne peut pas se contenter de recevoir un rapport annuel : il doit valider la stratégie de risque et suivre activement son exécution.

Au Luxembourg, la mise en œuvre de la cybersécurité s'inscrit dans le cadre de la loi du 5 mai 2026 transposant la directive NIS2.

Quelles mesures les dirigeants doivent-ils approuver ?

L'article 12 de la loi du 5 mai 2026 précise les mesures que les entités essentielles et importantes doivent adopter. C'est le contenu concret que la direction est appelée à approuver et à superviser. Il s'agit d'une approche « tous risques » comprenant au moins :

1. les politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information ; 2. la gestion des incidents ; 3. la continuité des activités (sauvegardes, reprise d'activité, gestion de crise) ; 4. la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs directs ; 5. la sécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris le traitement des vulnérabilités ; 6. des politiques pour évaluer l'efficacité des mesures ; 7. les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ; 8. des politiques relatives à la cryptographie et, le cas échéant, au chiffrement ; 9. la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs ; 10. l'authentification à plusieurs facteurs et les communications sécurisées, selon les besoins.

Ces mesures doivent être appropriées et proportionnées au risque, à la taille de l'entité et à la probabilité et gravité des incidents (art. 12, paragraphe 1er). Lorsqu'une entité constate qu'elle n'est pas conforme, elle doit prendre sans retard injustifié toutes les mesures correctives nécessaires (art. 12, paragraphe 5).

Le devoir de formation : les dirigeants aussi doivent se former

La formation n'est pas réservée aux équipes techniques. L'article 12, paragraphe 2, point 7° de la loi du 5 mai 2026 range explicitement parmi les mesures obligatoires les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité.

Combinée à l'obligation de l'article 20(1) de la directive, cette exigence implique que l'organe de direction :

• acquière une compréhension suffisante des risques pour pouvoir approuver les mesures en connaissance de cause ;
• organise et soutienne la formation à la cybersécurité au sein de l'entité ;
• inscrive la cyberhygiène dans la culture de l'organisation, du sommet vers la base.

Un dirigeant qui approuve des mesures sans les comprendre ne remplit pas réellement son devoir de supervision. La formation est donc un préalable pratique à l'exercice de la responsabilité de gouvernance.

Responsabilité personnelle et sanctions : ce que dit le texte

L'article 20(1) de la directive prévoit que les organes de direction peuvent être tenus responsables des violations commises par l'entité. Ce principe de responsabilité de la direction est au cœur du dispositif NIS2.

Au niveau des sanctions financières, la loi du 5 mai 2026 fixe à l'article 26 les amendes administratives applicables aux entités en cas de violation de l'article 12 ou de l'article 14, paragraphes 1er à 4 :

L'autorité compétente peut également assortir sa décision d'une astreinte (au maximum 1 250 EUR par jour, sans dépasser 25 000 EUR au total) pour contraindre l'entité à mettre fin à une violation (art. 26, paragraphe 7).

Au Luxembourg, l'autorité compétente en matière de cybersécurité est l'Institut luxembourgeois de régulation (ILR) ; pour le secteur bancaire et les infrastructures des marchés financiers, c'est la Commission de surveillance du secteur financier (art. 3).

Les conséquences précises de la responsabilité personnelle des dirigeants au titre du droit national, au-delà de la transposition du principe de l'article 20(1), doivent être vérifiées au cas par cas : [TÄPSUSTAB PARTNER-JURIST].

Que faire concrètement en tant que dirigeant ?

Pour transformer ces obligations en actions, la direction peut suivre une démarche structurée :

• Vérifier la classification de l'entité (essentielle ou importante) et son enregistrement auprès de l'autorité compétente. Les entités doivent communiquer les informations requises dans un délai de deux mois à compter de l'entrée en vigueur de la loi et notifier toute modification dans un délai de deux semaines (art. 11, paragraphes 3 et 4).
• Faire cartographier les risques et comparer les mesures existantes aux dix domaines de l'article 12.
• Approuver formellement les mesures de gestion des risques et documenter cette approbation.
• Mettre en place un suivi périodique de la mise en œuvre auprès de l'organe de direction.
• Planifier la formation de la direction et des équipes.
• Préparer le processus de notification des incidents importants (préliminaire dans les 24 heures, notification dans les 72 heures, rapport final dans le mois — art. 14).

Un outil gratuit de cadrage (« scoping ») et d'analyse d'écarts peut vous aider à évaluer rapidement votre situation par rapport à ces exigences et à identifier les priorités.