Mesures de gestion des risques NIS2 face à ISO 27001, DORA et RGPD
Au Luxembourg, les obligations NIS2 sont fixées par loi du 5 mai 2026 ; les mesures de gestion des risques de cybersécurité sont définies par art. 12. La liste des obligations de sécurité dans la loi nationale comprend 10 points.
Le tableau met en correspondance les dix mesures de gestion des risques de l'article 21, paragraphe 2, de la directive NIS2 avec les articles et les mesures de l'annexe A de la norme ISO/IEC 27001:2022, avec DORA (règlement (UE) 2022/2554) et avec le règlement général sur la protection des données. La correspondance est la même dans tous les pays : seule la langue de la page change. Les cellules indiquent les références officielles des mesures et le lien d'une cellule ouvre la source officielle du cadre concerné.
| Ce qui est exigé | DORA | RGPD | ISO/IEC 27001:2022 | |
|---|---|---|---|---|
| art 21(2)(a) | politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information [↗] | art 5, art 6, art 8 [↗] | art 24, art 32(1)-(2), art 35 [↗] | klausel 5.2, klausel 6.1.2, klausel 6.1.3, klausel 8.2-8.3, A.5.1 [↗] |
| art 21(2)(b) | gestion des incidents [↗] | art 17, art 18, art 19 [↗] | art 33, art 34 [↗] | A.5.24, A.5.25, A.5.26, A.5.27, A.5.28, A.6.8 [↗] |
| art 21(2)(c) | continuité des activités (gestion des sauvegardes, reprise des activités, gestion des crises) [↗] | art 11, art 12 [↗] | art 32(1)(c) [↗] | A.5.29, A.5.30, A.8.13, A.8.14 [↗] |
| art 21(2)(d) | sécurité de la chaîne d'approvisionnement [↗] | art 28, art 29, art 30 [↗] | art 28, art 32 [↗] | A.5.19, A.5.20, A.5.21, A.5.22, A.5.23 [↗] |
| art 21(2)(e) | sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information, y compris le traitement et la divulgation des vulnérabilités [↗] | art 9, art 25 [↗] | art 25, art 32(1)(d) [↗] | A.8.8, A.8.25, A.8.26, A.8.27, A.8.28, A.8.29, A.8.30, A.8.31 [↗] |
| art 21(2)(f) | politiques et procédures pour évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité [↗] | art 6(6), art 24-26 [↗] | art 32(1)(d), art 24(1) [↗] | klausel 9.1, klausel 9.2, klausel 9.3, klausel 10.1, A.5.35, A.5.36 [↗] |
| art 21(2)(g) | pratiques de base en matière de cyberhygiène et formation à la cybersécurité [↗] | art 13(6) [↗] | art 39(1)(b), art 32(4) [↗] | A.6.3, A.5.10, A.8.7 [↗] |
| art 21(2)(h) | politiques et procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement [↗] | art 9(2) [↗] | art 32(1)(a), art 34(3)(a) [↗] | A.8.24 [↗] |
| art 21(2)(i) | sécurité des ressources humaines, politiques de contrôle d'accès et gestion des actifs [↗] | art 9(4)(c) [↗] | art 29, art 5(1)(f) [↗] | A.6.1, A.6.2, A.6.5, A.5.9, A.5.15, A.5.16, A.5.17, A.5.18, A.8.2 [↗] |
| art 21(2)(j) | utilisation de solutions d'authentification à plusieurs facteurs ou d'authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d'urgence [↗] | art 9(4)(d) [↗] | art 32(1) [↗] | A.8.5, A.5.14, A.5.16 [↗] |
Questions fréquentes
Comment les mesures de l'article 21(2) NIS2 se rapportent-elles à ISO/IEC 27001, DORA et RGPD ?
Le tableau met en correspondance les 10 mesures de gestion des risques de l'article 21(2) NIS2 avec les exigences de ces référentiels. Par exemple art 21(2)(a) — ISO/IEC 27001:2022 klausel 5.2, klausel 6.1.2, klausel 6.1.3, klausel 8.2-8.3, A.5.1; DORA art 5, art 6, art 8; RGPD art 24, art 32(1)-(2), art 35.
Mesures de sécurité dans la loi du pays : Luxembourg
La liste ci-dessous est citée mot pour mot de l'acte juridique du pays qui établit l'obligation de mesures de gestion des risques de cybersécurité. Lorsque la correspondance est univoque, chaque point porte une référence au point correspondant de l'article 21, paragraphe 2, de la directive.
loi du 5 mai 2026, art. 12 — mesures de gestion des risques
sures visées au paragraphe 1er sont fondées sur une approche « tous risques » qui vise à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre les incidents, et elles comprennent au moins :1° les politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information
art 21(2)(a)2° la gestion des incidents
art 21(2)(b)3° la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises
art 21(2)(c)4° la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs
art 21(2)(d)5° la sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités
art 21(2)(e)6° des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité
art 21(2)(f)7° les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité
art 21(2)(g)8° des politiques et des procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement
art 21(2)(h)9° la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs
art 21(2)(i)10° l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins. (3)Les mesures prises par les entités essentielles sur base des paragraphes 1er et 2 sont notifiées à l’autorité compétente. Les modalités de cette notification, le format et le délai, sont déterminées par l’autorité compétente concernée par voie de règlement ou de circulaire. (4)Les autorités compétentes veillent à ce que, lorsqu’elles examinent lesquelles des mesures visées au paragraphe 2, point 4°, du présent article sont appropriées, les entités tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé. Les autorités compétentes veillent également à ce que, lorsqu’elles examinent lesquelles des mesures visées audit point sont appropriées, les entités soient tenues de prendre en compte les résultats des évaluations coordonnées des risques pour la sécurité des chaînes d’approvisionnement critiques, effectuées conformément à l’article 22, paragraphe 1er, de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2). (5)Les autorités compétentes veillent à ce que, lorsqu’une entité constate qu’elle ne se conforme pas aux mesures prévues au paragraphe 2, elle prenne, sans retard injustifié, toutes les mesures correctives nécessaires appropriées et proportionnées.
art 21(2)(j)
Référence: loi du 5 mai 2026, art. 12 — Voir la source officielle