Loi NIS2 au Luxembourg : le guide complet pour dirigeants

1. Qu'est-ce que la loi NIS2 luxembourgeoise ?

La loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité constitue la transposition nationale de la directive (UE) 2022/2555 (dite « directive SRI 2 » ou NIS2). Elle fixe pour les entreprises luxembourgeoises un cadre de gestion des risques cyber, des obligations d'enregistrement, des devoirs de notification des incidents, ainsi qu'un régime de supervision et de sanctions.

Cette loi remplace le cadre issu de la loi du 28 mai 2019 (transposition de la directive (UE) 2016/1148, dite NIS1) : les entités déjà identifiées comme opérateurs de services essentiels sous l'ancien régime sont directement considérées comme des entités essentielles au sens de la nouvelle loi (art. 11).

En pratique, pour un dirigeant, cela signifie trois questions à trancher rapidement :

• Mon entreprise est-elle dans le champ d'application ?
• Suis-je une entité essentielle ou une entité importante ?
• Quelles échéances et quelles obligations concrètes s'imposent à moi ?

Ce guide répond à chacune de ces questions à partir du texte de la loi.

> Le canal électronique exact d'enregistrement et de notification auprès de l'ILR ou du CSIRT compétent n'est pas fixé de manière univoque par le texte de loi. [TÄPSUSTAB PARTNER-JURIST]

2. Qui est concerné : entités essentielles et importantes

La loi distingue deux statuts, avec des conséquences différentes en matière de supervision et d'amendes.

Entités essentielles (art. 11, paragraphe 1er) — notamment :

• les entités d'un type visé à l'annexe I qui dépassent les plafonds applicables aux moyennes entreprises au sens de l'article 2, paragraphe 1er, de la recommandation 2003/361/CE ;
• les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS, quelle que soit leur taille ;
• les fournisseurs de réseaux ou services de communications électroniques publics constituant des moyennes entreprises ;
• certaines entités de l'administration publique ;
• les entités recensées comme entités critiques au titre de la loi du 5 mai 2026 sur la résilience des entités critiques ;
• les entités déjà identifiées comme opérateurs de services essentiels sous la loi du 28 mai 2019.

Entités importantes (art. 11, paragraphe 2) : les entités d'un type visé à l'annexe I ou II qui ne constituent pas des entités essentielles. En d'autres termes, il s'agit du régime « par défaut » pour les entités relevant des secteurs couverts sans atteindre les critères de la catégorie essentielle.

Le critère de taille repose sur la définition européenne des micro, petites et moyennes entreprises (recommandation 2003/361/CE). La taille de l'entité — et le cas échéant celle du groupe auquel elle appartient — fait partie des informations à déclarer (art. 11, paragraphe 4).

L'autorité compétente établit une liste des entités essentielles et importantes, la réexamine et la met à jour au moins tous les deux ans (art. 11, paragraphe 3).

3. L'obligation d'enregistrement et son délai

L'un des premiers réflexes de conformité est l'enregistrement.

Selon l'article 11, paragraphe 4, les entités concernées communiquent à l'autorité compétente, dans un délai de deux mois à compter de l'entrée en vigueur de la loi, au moins les informations suivantes :

• le nom de l'entité ;
• l'adresse et les coordonnées actualisées, y compris adresses électroniques, plages d'IP et numéros de téléphone ;
• le cas échéant, le secteur et sous-secteur concernés (annexe I ou II) ;
• le cas échéant, la liste des États membres dans lesquels l'entité fournit des services relevant de la loi ;
• la taille de l'entité et, le cas échéant, celle du groupe.

Toute modification de ces informations doit être notifiée sans tarder et, en tout état de cause, dans un délai de deux semaines à compter de la date de la modification.

Les autorités compétentes mettent en place des mécanismes nationaux d'auto-enregistrement et confirment à chaque entité sa désignation en tant qu'entité essentielle ou importante.

Ce qu'il faut retenir pour un dirigeant : ne pas attendre la confirmation de l'autorité pour commencer le travail de mise en conformité. L'enregistrement est une formalité déclarative dont le délai court dès l'entrée en vigueur de la loi.

4. Les dix domaines de mesures de gestion des risques (art. 21(2))

L'article 12 de la loi transpose l'exigence centrale de la directive : les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, fondées sur une approche « tous risques ».

Ces mesures comprennent au moins les dix domaines suivants (art. 12, paragraphe 2 ; correspondant à l'art 21(2) de la directive (UE) 2022/2555) :

La proportionnalité de ces mesures tient compte du degré d'exposition aux risques, de la taille de l'entité et de la probabilité et gravité des incidents (art. 12, paragraphe 1er).

Points particuliers :

• Chaîne d'approvisionnement : les entités doivent tenir compte des vulnérabilités propres à chaque fournisseur et des résultats des évaluations coordonnées des risques (art. 12, paragraphe 4).
• Notification des mesures : les mesures prises par les entités essentielles sont notifiées à l'autorité compétente, selon des modalités et délais fixés par règlement ou circulaire (art. 12, paragraphe 3).
• Mesures correctives : lorsqu'une entité constate une non-conformité, elle prend sans retard injustifié toutes les mesures correctives nécessaires (art. 12, paragraphe 5).

5. Notification des incidents : les délais 24 h / 72 h / 1 mois

L'article 14 impose de notifier tout incident important à l'autorité compétente concernée, sans retard injustifié.

Un incident est considéré comme important si (art. 14, paragraphe 3) :

• il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité ; ou
• il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

Le calendrier de notification est le suivant (art. 14, paragraphe 4) :

Si l'incident est toujours en cours au moment du rapport final, l'entité fournit un rapport d'avancement puis un rapport final dans un délai d'un mois à compter de la gestion de l'incident.

Cas particulier : un prestataire de services de confiance notifie les incidents importants affectant ses services de confiance dans les 24 heures.

L'autorité compétente fournit, si possible dans les 24 heures suivant la notification préliminaire, un retour d'information initial et, sur demande, des orientations opérationnelles (art. 14, paragraphe 5). Le simple fait de notifier n'accroît pas la responsabilité de l'entité (art. 14, paragraphe 1er).

6. Amendes et responsabilité de la direction

Les amendes administratives sont effectives, proportionnées et dissuasives (art. 26, paragraphe 1er). Elles peuvent être assorties des mesures d'exécution prévues aux articles 22 et 23.

Les montants maximaux dépendent du statut de l'entité :

En outre, l'autorité compétente peut assortir sa décision d'une astreinte : le montant par jour ne peut dépasser 1 250 euros, sans que le total imposé au titre du manquement constaté ne puisse dépasser 25 000 euros (art. 26, paragraphe 7).

Responsabilité de la direction : au titre de la gouvernance NIS2 (art. 20(1) de la directive (UE) 2022/2555), les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables des manquements. Autrement dit, la cybersécurité relève désormais explicitement de la responsabilité du dirigeant, et non seulement du service informatique.

7. L'autorité de supervision et son fonctionnement

L'Institut luxembourgeois de régulation (ILR) est l'autorité compétente chargée de la cybersécurité au titre de la loi, ainsi que des tâches de supervision et d'exécution prévues au chapitre 6, pour les secteurs visés aux annexes I et II et pour les entités critiques (art. 3).

Par dérogation, la Commission de surveillance du secteur financier (CSSF) est l'autorité compétente pour :

• le secteur bancaire et le secteur des infrastructures des marchés financiers (points 3° et 4° de l'annexe I) ;
• les secteurs des infrastructures numériques et de la gestion des services TIC (points 8° et 9° de l'annexe I), pour les activités relevant de sa surveillance.

L'écosystème institutionnel comprend également :

• le point de contact unique : le Haut-Commissariat à la Protection nationale ;
• le CSIRT : GOVCERT.LU / CIRCL.

L'ILR (ou la CSSF selon le secteur) reçoit les notifications d'incidents, les transmet au CSIRT compétent et au point de contact unique, et peut préciser par voie de règlement ou de circulaire les paramètres des mesures et des notifications. En cas d'incident transfrontière, le point de contact unique informe les États membres concernés et l'ENISA.

Prochaine étape concrète : identifiez votre statut (essentielle ou importante), établissez l'inventaire de vos écarts par rapport aux dix domaines de l'article 12, et préparez votre enregistrement. Notre outil gratuit de cadrage (scoping/gap) vous aide à structurer cette démarche en quelques minutes.