NIS2 pas à pas : l'administration publique au Luxembourg
Ce parcours présente sept étapes issues de la loi du 5 mai 2026, qui transpose la directive (UE) 2022/2555. Pour le secteur de l'administration publique, l'annexe I et l'article 11 déterminent le classement en entité essentielle ou en entité importante. L'Institut luxembourgeois de régulation est l'autorité compétente chargée de la cybersécurité pour les secteurs des annexes I et II (art. 3).
La vérification gratuite d'applicabilité prend environ trois minutes. Le dossier documentaire NIS2 complet est généralement prêt dans l'heure suivant le paiement — pas en jours ni en semaines.
Ce guide décrit les exigences de la loi à un niveau général et ne constitue pas un conseil juridique. L'applicabilité dépend du profil de l'entreprise (secteur, taille, services) — la vérification gratuite d'applicabilité montre si et dans quelle mesure la loi s'applique à votre entreprise.
1. Champ d'application et enregistrement
L'annexe I de la loi du 5 mai 2026 classe l'administration publique parmi les secteurs hautement critiques et vise les entités de l'administration publique telles que définies à l'article 2, point 34°. L'article 11, paragraphe 1er, point 4°, range les entités de l'administration publique visées à l'article 1er, paragraphe 2, point 6°, dans la catégorie entité essentielle. Pour les autres types d'entités de l'annexe I, ce classement découle du dépassement des plafonds des moyennes entreprises prévus par la recommandation 2003/361/CE, tandis que les entités des annexes I et II qui ne relèvent pas du paragraphe 1er sont considérées comme entité importante (art. 11, par. 2). L'article 11, paragraphe 4, prévoit la communication à l'autorité compétente, dans un délai de deux mois à compter de l'entrée en vigueur de la loi, du nom, des coordonnées, du secteur et de la taille, toute modification étant signalée dans un délai de deux semaines.
NACE 84
Voir aussi la page du secteur : Administration publique · Catégories d'entités NIS2 — Luxembourg
2. Rôle de l'organe de direction
L'article 13, paragraphe 1er, confie aux organes de direction l'approbation des mesures de gestion des risques prises au titre de l'article 12 ainsi que la supervision de leur mise en œuvre. Le même paragraphe prévoit que ces organes peuvent être tenus responsables d'une violation de l'article 12 par l'entité. L'article 13, paragraphe 2, impose aux membres de ces organes de suivre régulièrement une formation. L'entité offre par ailleurs régulièrement une formation comparable à son personnel, afin que celui-ci puisse identifier les risques et apprécier les pratiques de gestion des risques et leur incidence sur les services fournis.
Obligation de formation des organes de direction NIS2 par pays
3. Analyse des risques
L'article 12, paragraphe 1er, oblige l'entité essentielle et l'entité importante à prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées face aux risques pesant sur les réseaux et les systèmes d'information utilisés pour leurs activités. La proportionnalité s'apprécie notamment au regard du degré d'exposition aux risques, de la taille de l'entité et de la probabilité et de la gravité des incidents. Le même article prévoit le recours à un cadre d'analyse de risques approprié, que l'autorité compétente peut préciser par voie de règlement ou de circulaire. L'article 12, paragraphe 5, prévoit qu'une entité constatant un défaut de conformité aux mesures du paragraphe 2 adopte sans retard injustifié les mesures correctives nécessaires.
La plateforme génère ce document automatiquement — il est inclus dans le pack de documents. Services
4. Mesures de gestion des risques
L'article 12, paragraphe 2, repose sur une approche « tous risques » et énumère dix domaines minimaux : politiques d'analyse des risques et de sécurité des systèmes d'information, gestion des incidents, continuité et gestion de crise avec sauvegardes et reprise, sécurité de la chaîne d'approvisionnement, sécurité de l'acquisition, du développement et de la maintenance, évaluation de l'efficacité des mesures, cyberhygiène et formation, cryptographie et chiffrement, sécurité des ressources humaines avec contrôle d'accès et gestion des actifs, ainsi qu'authentification à plusieurs facteurs et communications sécurisées. La loi applique ce même catalogue à toutes les entités entrant dans son champ, sans variante propre au secteur de l'administration publique. L'article 12, paragraphe 4, précise que l'appréciation des mesures liées aux fournisseurs et prestataires directs tient compte de leurs vulnérabilités et de la qualité globale de leurs pratiques de cybersécurité. L'article 12, paragraphe 3, ajoute que les mesures prises par une entité essentielle sont notifiées à l'autorité compétente, selon des modalités, un format et un délai fixés par règlement ou circulaire.
Mesures de gestion des risques NIS2 face à ISO 27001, DORA et RGPD
5. Notification des incidents
L'article 14, paragraphe 1er, prévoit la notification sans retard injustifié à l'autorité compétente de tout incident ayant un impact important sur la fourniture des services, l'autorité transmettant la notification au CSIRT concerné et au point de contact unique dès réception. Selon l'article 14, paragraphe 4, une notification préliminaire est soumise dans les vingt-quatre heures après la prise de connaissance de l'incident important. Une notification d'incident, comportant une évaluation initiale de la gravité et de l'impact, est soumise dans les soixante-douze heures après cette prise de connaissance. Un rapport final intervient au plus tard un mois après la notification d'incident, un rapport intermédiaire pouvant être demandé par le CSIRT ou l'autorité compétente et, en cas d'incident encore en cours, un rapport d'avancement précédant le rapport final.
Délais de notification des incidents NIS2 par pays de l'UE · La plateforme génère ce document automatiquement — il est inclus dans le pack de documents. Services
6. Documentation écrite
Le catalogue de l'article 12, paragraphe 2, vise expressément des politiques et des procédures, notamment en matière d'analyse des risques, de sécurité des systèmes d'information, d'évaluation de l'efficacité des mesures, de cryptographie et de contrôle d'accès. L'article 12, paragraphe 3, prévoit que les mesures adoptées par une entité essentielle sont portées à la connaissance de l'autorité compétente dans le format qu'elle détermine. L'article 14, paragraphe 4, précise le contenu du rapport final, qui comprend une description détaillée de l'incident, la cause probable, les mesures d'atténuation appliquées et en cours ainsi que, le cas échéant, l'impact transfrontière. L'article 11, paragraphe 4, prévoit en outre la tenue à jour des informations d'enregistrement communiquées à l'autorité compétente.
Le pack comprend :
- Politique de gestion des risques de cybersécurité
- Plan de traitement des incidents
- Plan de continuité des activités
- Politique de sécurité de la chaîne d'approvisionnement
- Déclaration de responsabilité de la direction et plan de formation
- Assistant de remplissage dans le portail
Maintenance (mensuelle) — re-sign des documents selon le droit en vigueur — 290 EUR/mois — Services
7. Amendes administratives
L'article 26, paragraphe 4, prévoit, pour une violation de l'article 12 ou de l'article 14, paragraphes 1er à 4, une amende administrative maximale de 10 000 000 EUR ou de 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle appartient l'entité essentielle, le montant le plus élevé étant retenu. L'article 26, paragraphe 5, fixe pour l'entité importante un maximum de 7 000 000 EUR ou de 1,4 % de ce même chiffre d'affaires, le montant le plus élevé étant retenu. L'article 26, paragraphe 1er, indique que les amendes sont effectives, proportionnées et dissuasives, compte tenu des circonstances de chaque cas. L'article 26, paragraphe 7, permet d'assortir la décision d'une astreinte plafonnée à 1 250 euros par jour, sans que le total dépasse 25 000 euros.
Questions fréquentes
Quelle autorité supervise l'administration publique au Luxembourg ?
Selon l'article 3, l'Institut luxembourgeois de régulation est l'autorité compétente chargée de la cybersécurité et des tâches de supervision et d'exécution pour les secteurs des annexes I et II. La Commission de surveillance du secteur financier assume ce rôle pour le secteur bancaire et les infrastructures des marchés financiers, ainsi que, dans les limites de sa surveillance, pour les infrastructures numériques et la gestion des services TIC.
Les entités de l'administration publique relèvent-elles d'un seuil de taille ?
L'article 11, paragraphe 1er, point 4°, classe les entités de l'administration publique visées à l'article 1er, paragraphe 2, point 6°, comme entité essentielle. Le critère de dépassement des plafonds des moyennes entreprises de la recommandation 2003/361/CE figure au point 1° du même paragraphe et concerne les entités d'un type visé à l'annexe I.
Quels délais s'appliquent à un incident important ?
L'article 14, paragraphe 4, prévoit une notification préliminaire dans les vingt-quatre heures suivant la connaissance de l'incident important, puis une notification d'incident dans les soixante-douze heures. Un rapport final est présenté au plus tard un mois après la notification d'incident et, lorsque l'incident est encore en cours, un rapport d'avancement est fourni, le rapport final intervenant dans un délai d'un mois à compter de la gestion de l'incident.
Le contenu repose sur la version de loi du 5 mai 2026 en vigueur au 2026-05-10 (somme de contrôle 3be36b39b9bd).