NIS2 au Luxembourg : supervision et exécution par l'autorité compétente

Qui supervise l'application de NIS2 au Luxembourg ?

La loi du 5 mai 2026 (transposition de la directive (UE) 2022/2555 — NIS2) désigne l'Institut luxembourgeois de régulation (ILR) comme autorité compétente chargée de la cybersécurité et des tâches de supervision et d'exécution pour les secteurs visés aux annexes I et II, ainsi que pour les entités critiques (art. 3).

Par dérogation, la Commission de surveillance du secteur financier (CSSF) est l'autorité compétente pour le secteur bancaire et le secteur des infrastructures des marchés financiers. La CSSF est également compétente pour le secteur des infrastructures numériques et le secteur de la gestion des services TIC, pour les activités qui tombent sous sa surveillance (art. 3).

Pour bien situer votre organisation face à la supervision, deux notions statutaires sont centrales :

• entité essentielle
• entité importante

La distinction découle de l'article 11 : les entités qui dépassent les plafonds des moyennes entreprises et certaines catégories spécifiques (prestataires de services de confiance qualifiés, registres de domaines de premier niveau, fournisseurs DNS, administrations publiques visées, etc.) sont des entités essentielles ; les autres entités relevant des annexes I ou II sont des entités importantes (art. 11, paragraphes 1er et 2).

L'obligation d'enregistrement : le premier contact avec l'autorité

La supervision commence par la connaissance des entités concernées. En pratique, la relation avec l'autorité compétente débute par l'enregistrement.

Selon l'article 11, les entités communiquent à l'autorité compétente, dans un délai de deux mois à compter de l'entrée en vigueur de la loi, au moins :

• le nom de l'entité ;
• l'adresse et les coordonnées actualisées (adresses électroniques, plages d'IP, numéros de téléphone) ;
• le cas échéant, le secteur et le sous-secteur concernés ;
• le cas échéant, la liste des États membres où des services sont fournis ;
• la taille de l'entité et, le cas échéant, celle du groupe.

Toute modification doit être notifiée sans tarder, dans un délai de deux semaines à compter de la modification (art. 11, paragraphe 4).

L'autorité compétente établit une liste des entités essentielles et importantes, la réexamine et la met à jour au moins tous les deux ans. Elle met en place des mécanismes nationaux d'auto-enregistrement et confirme à chaque entité sa désignation en tant qu'entité essentielle ou importante (art. 11, paragraphes 3 et 4).

À noter : le canal électronique exact d'enregistrement et de notification auprès de l'ILR ou du CSIRT compétent n'est pas fixé de manière univoque par le texte de loi. [TÄPSUSTAB PARTNER-JURIST]

Ce que l'autorité surveille : mesures de gestion des risques et notification d'incidents

La supervision porte principalement sur deux blocs d'obligations que l'autorité peut contrôler.

1. Les mesures de gestion des risques (art. 12). Les entités essentielles et importantes doivent prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, fondées sur une approche « tous risques ». Elles comprennent au moins :

• les politiques d'analyse des risques et de sécurité des systèmes d'information ;
• la gestion des incidents ;
• la continuité des activités et la gestion des crises ;
• la sécurité de la chaîne d'approvisionnement ;
• la sécurité de l'acquisition, du développement et de la maintenance ;
• des procédures d'évaluation de l'efficacité des mesures ;
• les pratiques de cyberhygiène et la formation ;
• des politiques de cryptographie et de chiffrement ;
• la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs ;
• l'authentification à plusieurs facteurs et les communications sécurisées.

Point clé de supervision : les mesures prises par les entités essentielles sont notifiées à l'autorité compétente, selon des modalités, un format et un délai fixés par voie de règlement ou de circulaire (art. 12, paragraphe 3). L'autorité peut aussi préciser par règlement ou circulaire le cadre d'analyse de risques à utiliser (art. 12, paragraphe 1er). Lorsqu'une entité constate un manquement, elle doit prendre sans retard injustifié les mesures correctives (art. 12, paragraphe 5).

2. La notification des incidents importants (art. 14). Tout incident important est notifié sans retard injustifié à l'autorité compétente, avec un calendrier strict :

Les prestataires de services de confiance notifient les incidents importants dans les 24 heures (art. 14, paragraphe 4). L'autorité fournit, si possible dans les 24 heures suivant la notification préliminaire, un retour d'information initial et, sur demande, des orientations opérationnelles (art. 14, paragraphe 5).

Mesures d'exécution et amendes : ce qu'une entité risque

Lorsque l'autorité constate une violation, elle peut ordonner à l'entité de mettre un terme au manquement et l'assortir de mesures. Selon l'article 26, les amendes administratives sont effectives, proportionnées et dissuasives, appréciées au cas par cas.

Les montants maximaux dépendent de la classification de l'entité, en cas de violation de l'article 12 ou de l'article 14, paragraphes 1er à 4 :

Cette différence de plafond reflète la distinction de régime entre entités essentielles et importantes. Les amendes sont imposées en complément d'autres mesures prévues par la loi (art. 26, paragraphe 2).

En outre, l'autorité peut assortir sa décision de sanction d'une astreinte pour contraindre l'entité à cesser la violation : le montant par jour ne peut dépasser 1 250 euros, sans que le total imposé ne dépasse 25 000 euros (art. 26, paragraphe 7).

En pratique, une entité devrait s'attendre à devoir démontrer, documents à l'appui, la mise en œuvre de ses mesures de gestion des risques et le respect des délais de notification. Un état des lieux (scoping et analyse d'écart) permet d'identifier à l'avance les lacunes avant tout contrôle. Utilisez notre outil gratuit de scoping et d'analyse d'écart NIS2 pour évaluer votre position.