NIS2 au Luxembourg : la feuille de route en 7 étapes pour le secteur des transports
Cette feuille de route décrit en sept étapes ce que prévoit la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, qui transpose la directive (UE) 2022/2555. Le secteur des transports figure à l'annexe I de cette loi, avec les sous-secteurs des transports aériens, ferroviaires, par eau et routiers. La loi distingue deux classes d'assujettis, l'entité essentielle et l'entité importante, et confie la supervision à l'Institut luxembourgeois de régulation.
La vérification gratuite d'applicabilité prend environ trois minutes. Le dossier documentaire NIS2 complet est généralement prêt dans l'heure suivant le paiement — pas en jours ni en semaines.
Ce guide décrit les exigences de la loi à un niveau général et ne constitue pas un conseil juridique. L'applicabilité dépend du profil de l'entreprise (secteur, taille, services) — la vérification gratuite d'applicabilité montre si et dans quelle mesure la loi s'applique à votre entreprise.
1. Étape 1 — Champ d'application et classement de l'entité
L'annexe I de la loi du 5 mai 2026 range les transports parmi les secteurs hautement critiques et énumère les types d'entités concernés dans les sous-secteurs des transports aériens, ferroviaires, par eau et routiers, par exemple les transporteurs aériens au sens de l'article 3, point 4°, du règlement (CE) n° 300/2008. Selon l'article 11, paragraphe 1er, une entité d'un type visé à l'annexe I qui dépasse les plafonds applicables aux moyennes entreprises fixés à l'article 2, paragraphe 1er, de l'annexe de la recommandation 2003/361/CE relève de la classe d'entité essentielle. L'article 11, paragraphe 2, prévoit que les entités des annexes I ou II qui ne remplissent pas ces conditions sont traitées comme entité importante. L'article 11, paragraphe 4, prévoit la communication à l'autorité compétente, dans un délai de deux mois à compter de l'entrée en vigueur de la loi, du nom, des coordonnées, du secteur et de la taille de l'entité, ainsi que la signalisation de toute modification dans un délai de deux semaines.
NACE 51NACE 52.23NACE 49.1NACE 49.2NACE 52.21NACE 50
Voir aussi la page du secteur : Transports · Catégories d'entités NIS2 — Luxembourg
2. Étape 2 — Rôle de l'organe de direction et formation
L'article 13, paragraphe 1er, de la loi du 5 mai 2026 charge les organes de direction des entités essentielles et importantes d'approuver les mesures de gestion des risques en matière de cybersécurité prises au titre de l'article 12 et d'en superviser la mise en œuvre. Le même paragraphe prévoit que ces organes peuvent être tenus responsables d'une violation de l'article 12 par l'entité. L'article 13, paragraphe 2, impose aux membres de l'organe de direction de suivre régulièrement une formation. Il prévoit aussi que l'entité propose régulièrement une formation comparable à son personnel, afin que celui-ci sache déterminer les risques et évaluer les pratiques de gestion des risques ainsi que leur incidence sur les services fournis.
Obligation de formation des organes de direction NIS2 par pays
3. Étape 3 — Analyse des risques comme fondement
L'article 12, paragraphe 1er, de la loi du 5 mai 2026 oblige les entités essentielles et importantes à prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité des réseaux et des systèmes d'information utilisés pour leurs activités ou leurs services. Le même paragraphe prévoit que, pour identifier ces risques, l'entité utilise un cadre d'analyse de risques approprié, que l'autorité compétente peut préciser par voie de règlement ou de circulaire. La proportionnalité s'apprécie au regard du degré d'exposition aux risques, de la taille de l'entité ainsi que de la probabilité et de la gravité des incidents, y compris leurs conséquences sociétales et économiques. L'état des connaissances, les normes européennes et internationales applicables et le coût de mise en œuvre entrent également en compte.
La plateforme génère ce document automatiquement — il est inclus dans le pack de documents. Services
4. Étape 4 — Le catalogue des mesures de gestion des risques
L'article 12, paragraphe 2, de la loi du 5 mai 2026 retient une approche « tous risques » et énumère dix domaines minimaux : politiques d'analyse des risques et de sécurité des systèmes d'information, gestion des incidents, continuité des activités et gestion de crise, sécurité de la chaîne d'approvisionnement, sécurité de l'acquisition, du développement et de la maintenance des systèmes, évaluation de l'efficacité des mesures, cyberhygiène et formation, cryptographie et chiffrement, sécurité des ressources humaines avec contrôle d'accès et gestion des actifs, ainsi qu'authentification à plusieurs facteurs et communications sécurisées. Pour la chaîne d'approvisionnement, l'article 12, paragraphe 4, renvoie aux vulnérabilités propres à chaque fournisseur et prestataire direct, à la qualité de leurs pratiques de cybersécurité et aux résultats des évaluations coordonnées des risques. La loi ne prévoit pas de catalogue distinct pour les transports : les mêmes exigences valent pour toutes les entités essentielles et importantes relevant des annexes I et II, l'article 12, paragraphe 3, ajoutant pour les seules entités essentielles la notification de leurs mesures à l'autorité compétente selon des modalités fixées par règlement ou circulaire. L'article 12, paragraphe 5, prévoit que l'entité qui constate un écart par rapport à ces mesures prend sans retard injustifié les mesures correctives nécessaires.
Mesures de gestion des risques NIS2 face à ISO 27001, DORA et RGPD
5. Étape 5 — Notification des incidents importants et délais
L'article 14, paragraphe 1er, de la loi du 5 mai 2026 prévoit la notification, sans retard injustifié, de tout incident ayant un impact important sur la fourniture des services à l'autorité compétente concernée, qui transmet ensuite la notification au CSIRT concerné et au point de contact unique. Selon l'article 14, paragraphe 4, une notification préliminaire intervient dans les vingt-quatre heures après la connaissance de l'incident important. Une notification d'incident, comportant une évaluation initiale de la gravité et de l'impact, intervient dans les soixante-douze heures après cette connaissance. Un rapport final est présenté au plus tard un mois après la notification d'incident, un rapport intermédiaire pouvant en outre être demandé par le CSIRT ou l'autorité compétente ; l'article 3 désigne l'Institut luxembourgeois de régulation comme autorité compétente pour les secteurs des annexes I et II.
Délais de notification des incidents NIS2 par pays de l'UE · La plateforme génère ce document automatiquement — il est inclus dans le pack de documents. Services
6. Étape 6 — Documentation écrite qui découle des obligations
Les obligations de l'article 12, paragraphe 2, de la loi du 5 mai 2026 sont formulées en termes de politiques et de procédures, notamment pour l'analyse des risques et la sécurité des systèmes d'information, pour l'évaluation de l'efficacité des mesures et pour l'usage de la cryptographie, ce qui suppose des documents tenus à jour. L'article 12, paragraphe 1er, se réfère à un cadre d'analyse de risques dont l'autorité compétente peut préciser le contenu par voie de règlement ou de circulaire. L'article 12, paragraphe 3, prévoit pour les entités essentielles la notification à l'autorité compétente des mesures adoptées, dans le format et le délai qu'elle détermine. L'article 11, paragraphe 4, et l'article 14, paragraphe 4, ajoutent les informations d'enregistrement, leurs mises à jour et les éléments à fournir dans les notifications successives et le rapport final.
Le pack comprend :
- Politique de gestion des risques de cybersécurité
- Plan de traitement des incidents
- Plan de continuité des activités
- Politique de sécurité de la chaîne d'approvisionnement
- Déclaration de responsabilité de la direction et plan de formation
- Assistant de remplissage dans le portail
Maintenance (mensuelle) — re-sign des documents selon le droit en vigueur — 290 EUR/mois — Services
7. Étape 7 — Amendes administratives prévues par la loi
L'article 26, paragraphe 4, de la loi du 5 mai 2026 fixe, pour les entités essentielles qui violent l'article 12 ou l'article 14, paragraphes 1er à 4, un montant maximal de 10 000 000 EUR ou de 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise concernée, le montant le plus élevé étant retenu. L'article 26, paragraphe 5, retient pour les entités importantes un maximum de 7 000 000 EUR ou de 1,4 % de ce même chiffre d'affaires, le montant le plus élevé étant retenu. L'article 26, paragraphe 1er, précise que les amendes sont effectives, proportionnées et dissuasives compte tenu des circonstances de chaque cas. L'article 26, paragraphe 7, permet en outre d'assortir la décision d'une astreinte plafonnée à 1 250 euros par jour et à 25 000 euros au total pour un même manquement.
Questions fréquentes
Quelle autorité supervise les entités de transport au Luxembourg ?
L'article 3 de la loi du 5 mai 2026 désigne l'Institut luxembourgeois de régulation comme autorité compétente chargée de la cybersécurité pour les secteurs visés aux annexes I et II, dont les transports. Par dérogation, la Commission de surveillance du secteur financier est compétente pour le secteur bancaire et les infrastructures des marchés financiers. Le même article prévoit l'échange d'informations entre les autorités compétentes, les CSIRT et le point de contact unique aux fins de cette loi.
Quelle différence la loi fait-elle entre entité essentielle et entité importante ?
Selon l'article 11, paragraphe 1er, relève de la classe d'entité essentielle notamment l'entité d'un type visé à l'annexe I qui dépasse les plafonds applicables aux moyennes entreprises prévus par la recommandation 2003/361/CE. L'article 11, paragraphe 2, range parmi les entités importantes les entités des annexes I ou II qui ne remplissent pas ces conditions. La distinction se répercute sur les plafonds d'amende de l'article 26 et sur la notification des mesures prévue à l'article 12, paragraphe 3, qui ne vise que les entités essentielles.
Quand un incident est-il considéré comme important ?
L'article 14, paragraphe 3, de la loi du 5 mai 2026 retient un incident comme important lorsqu'il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité. Il en va de même lorsqu'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales par des dommages matériels, corporels ou moraux considérables. Le même paragraphe permet à l'autorité compétente de préciser par règlement ou circulaire les paramètres et modalités de ces notifications.
Le contenu repose sur la version de loi du 5 mai 2026 en vigueur au 2026-05-10 (somme de contrôle 3be36b39b9bd).