NIS2 au Luxembourg : à qui la loi s'applique-t-elle et comment produire la documentation attendue

Ce qu'est cette plateforme

Il s'agit d'une plateforme en ligne qui produit la documentation de cybersécurité attendue au titre de NIS2 : politiques, registres, procédures et listes de preuves. Vous ne partez pas d'une page blanche et vous ne remplissez pas un modèle générique : les documents sont construits à partir du profil réel de votre entreprise — secteur d'activité, taille, rôle dans la chaîne d'approvisionnement, systèmes utilisés.

La particularité est la suivante : chaque affirmation juridique contenue dans le document est confrontée au texte de la loi luxembourgeoise de transposition, c'est-à-dire la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (transposition de la directive (UE) 2022/2555). Une phrase qui ne trouve pas d'appui dans le texte légal est corrigée ou retirée avant que vous ne receviez le document.

Concrètement, le résultat est un dossier que vous pouvez présenter en interne à votre organe de direction, à un client qui vous interroge, ou à l'autorité qui vous contrôle — avec, en face de chaque exigence, la référence d'article correspondante.

À qui elle s'adresse : qui relève de la loi du 5 mai 2026

La loi distingue deux catégories, qu'il faut nommer avec les termes exacts du texte : entité essentielle et entité importante.

Sont notamment considérées comme entités essentielles (art. 11, paragraphe 1er) :

• les entités d'un type visé à l'annexe I qui dépassent les plafonds applicables aux moyennes entreprises prévus à l'article 2, paragraphe 1er, de l'annexe de la recommandation 2003/361/CE ;
• les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS, quelle que soit leur taille ;
• les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public qui constituent des moyennes entreprises ;
• les entités de l'administration publique visées à l'article 1er, paragraphe 2, point 6°.

Les entités d'un type visé à l'annexe I ou II qui ne sont pas des entités essentielles au sens du paragraphe 1er sont considérées comme des entités importantes (art. 11, paragraphe 2).

L'annexe I (secteurs hautement critiques) couvre l'énergie, les transports, le secteur bancaire, les infrastructures des marchés financiers, la santé, l'eau potable, les eaux usées, l'infrastructure numérique, la gestion des services TIC (interentreprises), l'administration publique et l'espace. L'annexe II (autres secteurs critiques) couvre les services postaux et d'expédition, la gestion des déchets, les produits chimiques, les denrées alimentaires, la fabrication (dispositifs médicaux, produits informatiques et électroniques, équipements électriques, machines, véhicules), les fournisseurs numériques et la recherche.

Un cas fréquent : vous n'êtes pas vous-même dans une annexe, mais votre client l'est et vous demande des preuves. La loi impose en effet aux entités concernées de traiter « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs » (art. 12, paragraphe 2, point 4°). D'où la question qui vous arrive par contrat plutôt que par la loi.

Comment cela fonctionne : quatre étapes

1. Vous renseignez le profil de l'entreprise. Secteur et sous-secteur au regard de l'annexe I ou II, taille, rôle (opérateur, fournisseur, sous-traitant), périmètre des systèmes concernés. C'est ce profil qui détermine tout le contenu produit ensuite.

2. Le document est généré à partir de ce profil. Les mesures documentées suivent la liste de l'article 12, paragraphe 2 : analyse des risques et sécurité des systèmes d'information, gestion des incidents, continuité des activités, sécurité de la chaîne d'approvisionnement, sécurité de l'acquisition et du développement, évaluation de l'efficacité des mesures, cyberhygiène et formation, cryptographie, sécurité des ressources humaines et contrôle d'accès, authentification à plusieurs facteurs.

3. Une vérification en trois étapes compare le document au texte légal : chaque exigence est rattachée à son article, chaque affirmation non appuyée par le texte est signalée, puis corrigée. Les points que la loi ne tranche pas restent identifiés comme tels, plutôt que comblés par une formulation inventée.

4. Vous téléchargez le document finalisé, avec ses références d'articles, prêt à être approuvé par l'organe de direction — approbation elle-même exigée par l'article 13, paragraphe 1er.

Ce que la plateforme fait — et ce qu'elle ne fait pas

Ce qu'elle fait : elle livre des documents et des listes de preuves qu'une autorité de contrôle, un auditeur ou un client acheteur peut confronter au texte de loi. Chaque exigence est citée à sa source. Exemple de rattachement direct :

> « Les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services »

— loi du 5 mai 2026, art. 12, paragraphe 1er.

Ce qu'elle ne fait pas : elle ne réalise aucun audit et ne délivre aucune attestation officielle de conformité. Cela relève d'un auditeur ou d'un organisme d'évaluation accrédité, et la plateforme ne se substitue jamais à eux. Elle ne se substitue pas non plus à la décision de l'autorité compétente, qui confirme aux entités concernées leur désignation en tant qu'entité essentielle ou importante (art. 11, paragraphe 4).

Enfin, la documentation est un point de départ : la loi porte sur des mesures réellement mises en œuvre, et l'article 12, paragraphe 5, prévoit que l'entité qui constate un écart prenne sans retard injustifié les mesures correctives nécessaires.

L'autorité compétente au Luxembourg

Le texte est explicite :

> « L’Institut luxembourgeois de régulation est l’autorité compétente chargée de la cybersécurité dans le cadre de la présente loi et des tâches de supervision et d’exécution visées au chapitre 6 pour les secteurs visés aux annexes I et II »

— loi du 5 mai 2026, art. 3.

Par dérogation, la Commission de surveillance du secteur financier est l'autorité compétente pour le secteur bancaire et le secteur des infrastructures des marchés financiers, figurant aux points 3° et 4° du tableau de l'annexe I ; elle l'est également pour les infrastructures numériques et la gestion des services TIC en ce qui concerne les activités qui relèvent de sa surveillance (art. 3).

Le point de contact unique est le Haut-Commissariat à la Protection nationale, et les CSIRT sont GOVCERT.LU / CIRCL.

L'autorité compétente établit la liste des entités essentielles et importantes, la réexamine et la met à jour au moins tous les deux ans (art. 11, paragraphe 3), reçoit les notifications d'incident important (art. 14) et dispose des pouvoirs de supervision et de sanction. Pour toute question que le texte ne tranche pas — par exemple le canal électronique exact d'enregistrement ou de notification —, référez-vous aux règlements, circulaires et orientations publiés par l'autorité compétente concernée.

Utilisation et paiement

NIS2 s'applique-t-elle à votre entreprise ? Vérification gratuite

Tarifs

19 € — paiement unique. Le même prix dans chaque pays.

• BASIQUE: 2 490 EUR
• RECOMMANDÉE: 3 090 EUR

Après le paiement, le document est généré à partir de votre profil, passe la vérification et est disponible au téléchargement — le document est livré immédiatement après le paiement. La commande est définitive : le contenu juridique numérique ne bénéficie d'aucun droit de rétractation.

API

L'API s'adresse aux éditeurs de logiciels, cabinets de conseil et prestataires informatiques qui servent de nombreuses entreprises à la fois.

Une clé API dans l'en-tête X-API-Key. Une clé sandbox gratuite dès l'inscription — aucun paiement nécessaire pour commencer.

• Dossier documentaire NIS2 (5 documents): 2 490 EUR
• Contrôle technique de sécurité NIS2 — contrôle de la surface d'attaque externe + rapport: 290 EUR
• Attestation chaîne d'approvisionnement (NIS2 art. 21(2)(d)): 3 390 EUR
• Re-sign — mise à jour des documents selon l'état du droit en vigueur: 490 EUR
• Formule combinée — dossier documentaire + contrôle technique de sécurité + 12 mois de maintenance: 3 090 EUR
• Maintenance (mensuelle) — re-sign des documents selon le droit en vigueur: 290 EUR/mois
• Maintenance (12 mois prépayés) — re-sign des documents selon le droit en vigueur: 2 900 EUR/an
• Document de correspondance NIS2 ↔ ISO 27001 / DORA / RGPD: 390 EUR
• Pack de modèles de notification d'incident (24 h / 72 h / 1 mois): 390 EUR
• Document individuel du dossier: 890 EUR
• Licence API Professional: 990 EUR/mois
• Licence API Enterprise (SLA, plusieurs clés, file prioritaire): 2 900 EUR/mois

API →

AIPOS OÜ · Numéro de registre 16966532 · Pargi tn 1, Kabala küla, Türi vald, 72001 Järva maakond, Estonie · info@nis2europe.eu

Services · Tarifs · Questions fréquentes · Comment NIS2Europe rédige et vérifie vos documents · Conditions d'achat · Confidentialité