Comment NIS2Europe rédige et vérifie vos documents

1. La source légale : la loi du 5 mai 2026 et l'article qui définit le contenu

Au Luxembourg, la NIS2 est transposée par la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (transposition de la directive (UE) 2022/2555 — NIS2). C'est ce texte, et non la directive seule, qui sert de référence à une documentation exploitable devant l'autorité luxembourgeoise.

La disposition qui détermine ce que la documentation doit contenir est l'article 12. Son paragraphe 1er énonce l'obligation de base :

« Les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services » — loi du 5 mai 2026, art. 12, paragraphe 1er.

Le paragraphe 2 du même article fixe l'ossature minimale du dossier, fondée sur une approche « tous risques » : politiques d'analyse des risques et de sécurité des systèmes d'information ; gestion des incidents ; continuité des activités, sauvegardes, reprise et gestion des crises ; sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs et prestataires de services directs ; sécurité de l'acquisition, du développement et de la maintenance, traitement et divulgation des vulnérabilités ; procédures d'évaluation de l'efficacité des mesures ; cyberhygiène et formation ; cryptographie et, le cas échéant, chiffrement ; sécurité des ressources humaines, contrôle d'accès, gestion des actifs ; authentification à plusieurs facteurs ou continue et communications sécurisées, selon les besoins.

S'y ajoute l'article 13 : « Les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité prises par ces entités afin de se conformer à l’article 12, supervisent leur mise en œuvre et peuvent être tenus responsables de la violation dudit article par ces entités. » — loi du 5 mai 2026, art. 13, paragraphe 1er. La trace de cette approbation fait donc partie du dossier.

2. L'autorité compétente et les délais de notification

L'Institut luxembourgeois de régulation (ILR) est l'autorité compétente chargée de la cybersécurité pour les secteurs visés aux annexes I et II (art. 3). Par dérogation, la Commission de surveillance du secteur financier est l'autorité compétente pour le secteur bancaire et le secteur des infrastructures des marchés financiers, ainsi que, pour les infrastructures numériques et la gestion des services TIC, en ce qui concerne les activités relevant de sa surveillance (art. 3). Le point de contact unique est le Haut-Commissariat à la Protection nationale ; les CSIRT concernés sont GOVCERT.LU / CIRCL.

Les délais de l'article 14, paragraphe 4 sont repris dans la documentation, chacun séparément :

• une notification préliminaire sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l'incident important ;
• une notification d'incident sans retard injustifié et en tout état de cause dans les soixante-douze heures après avoir eu connaissance de l'incident important ;
• à la demande d'un CSIRT ou de l'autorité compétente, un rapport intermédiaire sur les mises à jour pertinentes de la situation ;
• un rapport final au plus tard un mois après la présentation de la notification d'incident ;
• si l'incident est encore en cours à ce moment, un rapport d'avancement puis un rapport final dans un délai d'un mois à compter de la gestion de l'incident.

Pour un prestataire de services de confiance, la notification des incidents importants ayant un impact sur ses services de confiance intervient dans les vingt-quatre heures (art. 14, paragraphe 4).

Le canal électronique exact d'enregistrement et de notification n'est pas fixé de manière univoque par le texte de loi : à confirmer auprès des informations et actes publiés par l'Institut luxembourgeois de régulation (source officielle).

3. Ce que décide le profil de l'entreprise

Le contenu du dossier n'est pas identique d'une entreprise à l'autre. Trois éléments le déterminent.

Le secteur. Le type d'entité doit correspondre à une ligne de l'annexe I (secteurs hautement critiques) ou de l'annexe II (autres secteurs critiques) de la loi.

La taille. L'article 11, paragraphe 1er, point 1°, retient les entités d'un type visé à l'annexe I qui dépassent les plafonds applicables aux moyennes entreprises prévus à l'article 2, paragraphe 1er, de l'annexe de la recommandation 2003/361/CE. Certains types d'entités relèvent du régime quelle que soit leur taille (prestataires de services de confiance qualifiés, registres de noms de domaine de premier niveau, fournisseurs de services DNS).

La classification statutaire. L'article 11 distingue l'entité essentielle et l'entité importante : les entités d'un type visé à l'annexe I ou II qui ne sont pas essentielles au sens du paragraphe 1er sont considérées comme des entités importantes. Cette qualification a des effets documentaires directs : les mesures prises par les entités essentielles sur base des paragraphes 1er et 2 de l'article 12 sont notifiées à l'autorité compétente, dont les modalités, le format et le délai sont déterminés par voie de règlement ou de circulaire (art. 12, paragraphe 3).

Enfin, les informations d'enregistrement listées à l'article 11, paragraphe 4, sont communiquées dans un délai de deux mois à compter de l'entrée en vigueur de la loi, et toute modification est notifiée dans un délai de deux semaines. L'autorité compétente confirme la désignation en tant qu'entité essentielle ou importante.

4. Comment chaque exigence est recontrôlée sur le texte légal

La méthode de contrôle est mécanique : chaque affirmation du document est mise en regard de la disposition qu'elle prétend mettre en œuvre.

• Un chapitre sur les sauvegardes et la reprise est confronté à l'article 12, paragraphe 2, point 3° ; un chapitre fournisseurs à l'article 12, paragraphe 2, point 4° ; un chapitre authentification à l'article 12, paragraphe 2, point 10°.
• Les délais de réaction sont confrontés à l'article 14, paragraphe 4, mot pour mot, sans arrondi ni raccourci.
• Les rôles sont confrontés à l'article 3 : l'autorité destinataire dépend du secteur.
• La qualification est confrontée à l'article 11.
• Le critère d'incident important est confronté à l'article 14, paragraphe 3.

Toute phrase qu'aucune disposition ne soutient est corrigée ou retirée avant l'utilisation du document. C'est aussi la logique de l'article 12, paragraphe 5 : lorsqu'une entité constate qu'elle ne se conforme pas aux mesures prévues au paragraphe 2, elle prend, sans retard injustifié, toutes les mesures correctives nécessaires appropriées et proportionnées. L'écart constaté est donc consigné et traité, non dissimulé.

Le cadre d'analyse de risques utilisé doit être approprié et peut être précisé par l'autorité compétente concernée par voie de règlement ou de circulaire (art. 12, paragraphe 1er) : la version de ce cadre est indiquée dans le dossier.

5. Ce qui reste vérifiable ensuite

Un dossier n'a de valeur probante que si un tiers peut le recontrôler sans explication orale. En pratique, cela signifie : à côté de chaque exigence figurent le nom exact de l'acte et la disposition précise — par exemple « loi du 5 mai 2026, art. 12, paragraphe 2, point 7° » ou « loi du 5 mai 2026, art. 14, paragraphe 4, point 2° ». Le lecteur — agent de l'autorité de supervision, auditeur interne, client dans une procédure d'achat — ouvre le texte officiel et vérifie une affirmation isolée.

Ce repérage rend aussi les enjeux lisibles. L'article 26 prévoit, pour la violation de l'article 12 ou de l'article 14, paragraphes 1er à 4, des amendes administratives d'un montant maximal s'élevant à 10 000 000 EUR ou à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle l'entité essentielle appartient, le montant le plus élevé étant retenu ; et, pour l'entité importante, à 7 000 000 EUR ou à 1,4 %, le montant le plus élevé étant retenu. Les autorités compétentes peuvent assortir leur décision d'une astreinte d'un maximum de 1 250 euros par jour, sans que le total dépasse 25 000 euros (art. 26, paragraphe 7).

Aucun document ne produit à lui seul un résultat devant l'autorité : ce sont les mesures réellement mises en œuvre et notifiées dans les délais légaux qui sont examinées. Le rôle du dossier est de rendre chacune de ces mesures traçable jusqu'à la disposition qui la fonde. Pour les points que le texte ne tranche pas, la référence utile est constituée des règlements, circulaires et informations publiés par l'autorité compétente (source officielle).