NIS2 pas à pas : la feuille de route des fournisseurs numériques au Luxembourg

1. Vérifier si la loi s'applique à l'entreprise

L'annexe II de la loi du 5 mai 2026 place sous la rubrique des fournisseurs numériques les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux. Le critère de taille de l'article 11, paragraphe 1er, point 1°, qui vise le dépassement des plafonds applicables aux moyennes entreprises au sens de l'article 2, paragraphe 1er, de l'annexe de la recommandation 2003/361/CE, est réservé aux types d'entités énumérés à l'annexe I ; selon l'article 11, paragraphe 2, une entité d'un type figurant à l'annexe I ou II qui n'est pas une entité essentielle est considérée comme entité importante. L'article 11, paragraphe 1er, point 5°, ajoute qu'une décision de l'autorité compétente peut classer une entité de l'annexe I ou II comme entité essentielle en vertu de l'article 1er, paragraphe 2, points 2° à 5°. L'article 11, paragraphe 4, prévoit une communication d'informations à l'autorité compétente (nom, coordonnées actualisées, secteur et sous-secteur, États membres de fourniture, taille) dans un délai de deux mois à compter de l'entrée en vigueur de la loi, toute modification étant signalée dans un délai de deux semaines, l'autorité confirmant ensuite la désignation retenue.

NACE 63.12

Voir aussi la page du secteur : Fournisseurs numériques · Catégories d'entités NIS2 — Luxembourg

Lancer l'évaluation gratuite du champ d'application

2. Rôle de l'organe de direction et formation

L'article 13, paragraphe 1er, prévoit que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité arrêtées pour se conformer à l'article 12 et en supervisent la mise en œuvre. Le même paragraphe précise que ces organes peuvent être tenus responsables d'une violation de l'article 12 par l'entité. L'article 13, paragraphe 2, oblige les membres de l'organe de direction à suivre régulièrement une formation. Il prévoit également que l'entité propose régulièrement une formation similaire à son personnel, de manière à permettre l'identification des risques et l'appréciation des pratiques de gestion et de leur incidence sur les services fournis.

Obligation de formation des organes de direction NIS2 par pays

3. Analyse des risques comme fondement

L'article 12, paragraphe 1er, impose aux entités essentielles et importantes des mesures techniques, opérationnelles et organisationnelles adaptées et proportionnées, destinées à maîtriser les risques pesant sur la sécurité des réseaux et des systèmes d'information utilisés pour leurs activités ou leurs services. Le niveau de sécurité recherché doit correspondre au risque existant, compte tenu de l'état des connaissances, des normes européennes et internationales pertinentes et du coût de mise en œuvre. La proportionnalité s'apprécie notamment au regard de l'exposition aux risques, de la taille de l'entité ainsi que de la probabilité et de la gravité des incidents. Le même paragraphe prévoit que l'identification des risques s'appuie sur un cadre d'analyse approprié, que l'autorité compétente concernée peut préciser par règlement ou par circulaire.

La plateforme génère ce document automatiquement — il est inclus dans le pack de documents. Services

4. Catalogue des mesures de gestion des risques

L'article 12, paragraphe 2, retient une approche « tous risques » protégeant les réseaux, les systèmes d'information et leur environnement physique, et énumère dix domaines minimaux : politiques d'analyse des risques et de sécurité des systèmes d'information, gestion des incidents, continuité des activités et gestion de crise, sécurité de la chaîne d'approvisionnement, sécurité de l'acquisition, du développement et de la maintenance avec traitement des vulnérabilités, évaluation de l'efficacité des mesures, cyberhygiène et formation, cryptographie et chiffrement, sécurité des ressources humaines avec contrôle d'accès et gestion des actifs, ainsi que solutions d'authentification renforcée et communications sécurisées. La loi ne prévoit pas de catalogue distinct pour les fournisseurs numériques : les mêmes exigences valent pour toutes les entités essentielles et importantes relevant de son champ. Pour la chaîne d'approvisionnement, l'article 12, paragraphe 4, fait entrer en ligne de compte les vulnérabilités propres à chaque fournisseur ou prestataire direct, la qualité globale de leurs produits et pratiques, y compris leurs procédures de développement sécurisé, ainsi que les résultats des évaluations coordonnées des risques prévues par la directive (UE) 2022/2555. L'article 12, paragraphe 3, prévoit que les entités essentielles notifient à l'autorité compétente les mesures adoptées, selon des modalités, un format et un délai fixés par règlement ou circulaire, tandis que l'article 12, paragraphe 5, vise les mesures correctives à prendre sans retard injustifié en cas de non-conformité constatée.

Mesures de gestion des risques NIS2 face à ISO 27001, DORA et RGPD

5. Notification des incidents importants

L'article 14, paragraphe 1er, prévoit la notification sans retard injustifié, à l'autorité compétente concernée, de tout incident ayant une incidence importante sur la fourniture des services ; l'autorité transmet la notification au CSIRT concerné et au point de contact unique dès réception. Selon l'article 14, paragraphe 3, un incident est important s'il a causé ou peut causer une perturbation opérationnelle grave des services ou des pertes financières, ou s'il a affecté ou peut affecter d'autres personnes physiques ou morales par des dommages matériels, corporels ou moraux considérables. L'article 14, paragraphe 4, fixe une notification préliminaire dans les vingt-quatre heures suivant la connaissance de l'incident important. Il prévoit ensuite une notification d'incident dans les soixante-douze heures, un rapport intermédiaire à la demande du CSIRT ou de l'autorité compétente, puis un rapport final au plus tard un mois après la notification d'incident ; si l'incident est toujours en cours à ce moment, un rapport d'avancement est fourni et le rapport final intervient dans un délai d'un mois à compter de la gestion de l'incident.

Délais de notification des incidents NIS2 par pays de l'UE · La plateforme génère ce document automatiquement — il est inclus dans le pack de documents. Services

6. Traces écrites et informations à conserver

Plusieurs obligations de la loi supposent des éléments écrits tenus à jour : l'article 12, paragraphe 2, mentionne expressément des politiques d'analyse des risques et de sécurité des systèmes d'information, des politiques et procédures d'évaluation de l'efficacité des mesures ainsi que des politiques et procédures relatives à la cryptographie et au chiffrement. L'article 12, paragraphe 1er, rattache l'identification des risques à un cadre d'analyse approprié, susceptible d'être précisé par règlement ou circulaire de l'autorité compétente. L'article 14, paragraphe 4, point 4°, décrit le contenu du rapport final, à savoir la description détaillée de l'incident avec sa gravité et son impact, le type de menace ou la cause profonde probable, les mesures d'atténuation appliquées et en cours, et le cas échéant l'impact transfrontière. L'article 11, paragraphe 4, porte quant à lui sur les informations d'enregistrement communiquées à l'autorité compétente et sur leur actualisation.

Le pack comprend :

• Politique de gestion des risques de cybersécurité
• Plan de traitement des incidents
• Plan de continuité des activités
• Politique de sécurité de la chaîne d'approvisionnement
• Déclaration de responsabilité de la direction et plan de formation
• Assistant de remplissage dans le portail

Maintenance (mensuelle) — re-sign des documents selon le droit en vigueur — 290 EUR/mois — Services

7. Amendes administratives prévues par la loi

L'article 26, paragraphe 4, prévoit qu'en cas de violation de l'article 12 ou de l'article 14, paragraphes 1er à 4, les entités essentielles encourent des amendes administratives d'un montant maximal de 10 000 000 EUR ou de 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle l'entité appartient, le montant le plus élevé étant retenu. L'article 26, paragraphe 5, retient pour les mêmes violations, à l'égard des entités importantes, un plafond de 7 000 000 EUR ou de 1,4 % de ce chiffre d'affaires, le montant le plus élevé étant retenu. L'article 26, paragraphe 1er, indique que ces amendes sont effectives, proportionnées et dissuasives au regard des circonstances de chaque cas, et le paragraphe 3 renvoie aux éléments d'appréciation de l'article 22, paragraphe 7. L'article 26, paragraphe 7, permet en outre d'assortir la décision d'une astreinte, plafonnée à 1 250 euros par jour et à un total de 25 000 euros pour le manquement constaté.

Amendes administratives NIS2 par pays