NIS2 au Luxembourg : ce que doit contenir la politique de gestion des risques de cybersécurité

Le point de départ : l'article 12 de la loi du 5 mai 2026

La loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (transposition de la directive (UE) 2022/2555 — NIS2) ne décrit pas un formulaire à remplir. Elle décrit un résultat documenté : l'entreprise doit pouvoir montrer quelles mesures techniques, opérationnelles et organisationnelles elle a retenues, et pourquoi.

L'article 12, paragraphe 1er, pose l'obligation : les entités concernées prennent « les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information » qu'elles utilisent dans le cadre de leurs activités ou de la fourniture de leurs services. Le même paragraphe précise que, pour identifier les risques, les entités utilisent un cadre d'analyse de risques approprié, qui peut être précisé par l'autorité compétente concernée par voie de règlement ou de circulaire (art. 12, paragraphe 1er).

Concrètement, la politique doit donc dire, noir sur blanc : quel cadre d'analyse est utilisé, quels risques ont été identifiés, quelles mesures y répondent, et qui en est responsable.

Les dix rubriques de contenu prévues à l'article 12, paragraphe 2

La loi cite textuellement le socle minimal : « Les mesures visées au paragraphe 1er sont fondées sur une approche « tous risques » qui vise à protéger les réseaux et les systèmes d'information ainsi que leur environnement physique contre les incidents, et elles comprennent au moins » (art. 12, paragraphe 2).

Chaque point ci-dessous mérite sa propre section dans le document, avec sa référence :

Deux précisions utiles pour la rédaction du point 4° : l'article 12, paragraphe 4, indique que l'entité tient compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale de leurs produits et pratiques de cybersécurité, y compris de leurs procédures de développement sécurisé. Et l'article 12, paragraphe 5, prévoit que, lorsqu'une entité constate qu'elle ne se conforme pas aux mesures du paragraphe 2, elle prend sans retard injustifié les mesures correctives nécessaires, appropriées et proportionnées — ce qui suppose un mécanisme de suivi décrit dans le document.

« Tous risques » et proportionnalité : pourquoi deux politiques diffèrent légitimement

L'approche « tous risques » signifie que le document ne se limite pas aux attaques informatiques : il couvre aussi l'environnement physique des réseaux et systèmes d'information (art. 12, paragraphe 2).

Le volume et la profondeur, eux, varient. La loi le dit expressément : « Lors de l'évaluation de la proportionnalité de ces mesures, il convient de tenir dûment compte du degré d'exposition de l'entité aux risques, de la taille de l'entité et de la probabilité de survenance d'incidents et de leur gravité, y compris leurs conséquences sociétales et économiques » (art. 12, paragraphe 1er). Le même paragraphe ajoute la prise en compte de l'état des connaissances, s'il y a lieu des normes européennes et internationales applicables, ainsi que du coût de mise en œuvre.

Une PME de vingt personnes et un opérateur national traitent donc les mêmes dix rubriques, mais avec des mesures d'ampleur différente. Ce qui n'est pas négociable, c'est que chaque rubrique soit traitée et que le choix soit justifié par le risque.

Ce qui dépend du profil de votre entreprise

Quatre éléments déterminent la manière dont la politique est écrite :

• Le secteur et le sous-secteur. Les annexes I (secteurs hautement critiques) et II (autres secteurs critiques) déterminent si l'entreprise entre dans le champ et sous quel type d'entité.
• La taille. L'article 11, paragraphe 1er, point 1°, vise les entités d'un type visé à l'annexe I qui dépassent les plafonds applicables aux moyennes entreprises prévus à l'article 2, paragraphe 1er, de l'annexe de la recommandation 2003/361/CE. Certains types d'entités relèvent du régime quelle que soit leur taille (par exemple les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS, art. 11, paragraphe 1er, point 2°).
• La classification statutaire. Une entité essentielle et une entité importante partagent les obligations de l'article 12, mais l'article 12, paragraphe 3, ajoute pour les entités essentielles la notification à l'autorité compétente des mesures prises sur base des paragraphes 1er et 2, selon des modalités, un format et un délai déterminés par l'autorité compétente concernée par voie de règlement ou de circulaire. L'entité importante est définie par défaut (art. 11, paragraphe 2).
• Les services et dépendances. La politique doit refléter les services réellement fournis et les prestataires directs dont ils dépendent (art. 12, paragraphe 2, point 4°).

Côté supervision : l'Institut luxembourgeois de régulation est l'autorité compétente chargée de la cybersécurité pour les secteurs des annexes I et II ; par dérogation, la Commission de surveillance du secteur financier l'est pour le secteur bancaire et le secteur des infrastructures des marchés financiers (art. 3).

Approbation par l'organe de direction et formation

Une politique non approuvée reste un projet. Le texte est explicite : « Les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité prises par ces entités afin de se conformer à l'article 12, supervisent leur mise en œuvre et peuvent être tenus responsables de la violation dudit article par ces entités » (art. 13, paragraphe 1er).

À prévoir dans le document :

• la trace de l'approbation (date, organe, version approuvée) ;
• le mécanisme de supervision de la mise en œuvre, avec sa fréquence ;
• la formation. L'article 13, paragraphe 2, impose aux membres des organes de direction de suivre régulièrement une formation ; les entités offrent régulièrement une formation similaire aux membres de leur personnel, afin d'acquérir des connaissances et compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques et leur impact sur les services fournis.

Rendre la politique vérifiable

Un document vérifiable est un document dont chaque exigence porte sa référence exacte. En pratique :

1. Une colonne « base légale » en face de chaque chapitre : art. 12, paragraphe 2, point 1° à 10°, art. 12, paragraphes 4 et 5, art. 13, paragraphes 1er et 2.
2. Une trace de la décision de proportionnalité : exposition aux risques, taille, probabilité et gravité des incidents (art. 12, paragraphe 1er).
3. Un journal des versions et des approbations par l'organe de direction.
4. Un renvoi vers le cadre d'analyse de risques retenu (art. 12, paragraphe 1er).
5. Un lien vers les procédures de notification d'incident prévues à l'article 14, avec la notification préliminaire dans les vingt-quatre heures et la notification d'incident dans les soixante-douze heures après avoir eu connaissance de l'incident important, ainsi que le rapport final au plus tard un mois après la notification d'incident.

Une revue structurée, rubrique par rubrique, permet de voir rapidement quelles sections du document existent, lesquelles sont à écrire et lesquelles doivent être approfondies au vu du profil de l'entreprise. Pour toute question d'interprétation, référez-vous au texte publié au Journal officiel et aux règlements ou circulaires publiés par l'autorité compétente : Institut luxembourgeois de régulation (source officielle).