Luxembourg
LuxembourgNIS2 au Luxembourg : ce que la loi du 5 mai 2026 change pour votre informatique
Le Luxembourg a transposé la directive NIS2 par une loi publiée en mai 2026. Ce qu’elle impose, qui la contrôle, et comment les mesures techniques se mettent en œuvre dans une PME.
À partir de 3.200 € le projet
Une transposition arrivée en 2026
La directive (UE) 2022/2555, dite NIS2, devait être transposée par les États membres pour le 17 octobre 2024. Au Luxembourg, le projet de loi n° 8364 a abouti à la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, publiée au Journal officiel du Grand-Duché le 6 mai 2026 (Mémorial A n° 225). Elle remplace le régime de la loi du 28 mai 2019, qui transposait la première directive NIS.
La loi s'applique aux entités essentielles et importantes des secteurs listés à ses annexes : énergie, transports, banques, infrastructures des marchés financiers, santé, eau, infrastructures numériques, gestion des services informatiques, administrations, et d'autres secteurs critiques comme la fabrication ou l'alimentation. En règle générale, elle vise les moyennes et grandes entreprises de ces secteurs ; certaines entités, comme les entités critiques ou les services d'enregistrement de noms de domaine, sont concernées quelle que soit leur taille.
Qui contrôle : l’ILR et la CSSF
L'Institut Luxembourgeois de Régulation (ILR) est l'autorité compétente en matière de cybersécurité pour la plupart des secteurs. Par dérogation, la Commission de surveillance du secteur financier (CSSF) l'est pour le secteur bancaire et celui des infrastructures des marchés financiers, ainsi que pour les infrastructures numériques et la gestion des services informatiques lorsque ces activités relèvent de sa surveillance.
Les entités s'enregistrent elles-mêmes auprès de leur autorité compétente, par le mécanisme national prévu à cet effet, et l'autorité leur confirme leur désignation comme entité essentielle ou importante. L'ILR recueille les notifications d'incidents par sa plateforme SERIMA.
Ce que la loi impose
Mesures de gestion des risques
Les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui pèsent sur leurs réseaux et systèmes d'information (article 12). La liste reprend celle de la directive : analyse des risques, gestion des incidents, continuité d'activité et sauvegardes, sécurité de la chaîne d'approvisionnement, hygiène informatique et formation, chiffrement, contrôle des accès, authentification multifacteur, entre autres.
Responsabilité de la direction
Les organes de direction approuvent ces mesures, supervisent leur mise en œuvre et peuvent être tenus responsables de leur violation. Leurs membres suivent régulièrement une formation, et l'entité offre une formation similaire à son personnel (article 13).
Notification des incidents importants
Un incident important se signale à l'autorité compétente en plusieurs temps (article 14) : une notification préliminaire dans les 24 heures après en avoir eu connaissance, une notification d'incident dans les 72 heures avec une première évaluation de sa gravité et de son impact, puis un rapport final au plus tard un mois après cette notification.
Sanctions
En cas de manquement aux mesures de gestion des risques ou aux obligations de notification, les amendes administratives peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu.
Hors du champ de la loi, vos clients vous y exposent
La place financière et les grands opérateurs du pays sont au cœur de NIS2, et ils doivent gérer la sécurité de leur chaîne d'approvisionnement. Une PME prestataire d'une banque, d'un opérateur de santé ou d'une administration le découvre par des questionnaires de sécurité, des clauses contractuelles ou des demandes de preuves : authentification multifacteur, sauvegardes testées, maîtrise des comptes à privilèges, sensibilisation du personnel.
Y répondre avec des constats vérifiables vaut mieux qu'une déclaration de principe, et c'est souvent l'occasion de corriger des fragilités anciennes.
Ce qu’un prestataire informatique peut prendre en charge
NIS2 est d'abord une affaire de gouvernance : la direction décide, approuve et répond des mesures. Beaucoup de ces mesures sont pourtant techniques, et c'est là que nous intervenons, à distance et sur des périmètres définis :
l'audit Active Directory traite la gestion des identités et des accès, souvent le point le plus critique ;
l'audit du système d'information dresse l'état des sauvegardes, du parc, de Microsoft 365 et des comptes, avec un rapport priorisé qui nourrit votre analyse de risques ;
la sensibilisation à la cybersécurité couvre l'hygiène informatique et la formation des équipes ;
la mise en place de Microsoft 365 et Intune pose la conformité des postes, le chiffrement BitLocker et l'accès conditionnel.
Ce que nous ne faisons pas : nous ne donnons pas de conseil juridique sur votre qualification d'entité, nous ne délivrons ni certification ni attestation de conformité, nous ne notifions pas les incidents à votre place et nous n'assurons pas d'astreinte. Un audit peut contribuer à une démarche NIS2 ; il ne constitue pas à lui seul une mise en conformité. Pour situer votre besoin, contactez-nous.
Questions fréquentes
Qui contrôle l’application de NIS2 au Luxembourg ?
L’ILR pour la plupart des secteurs, la CSSF pour le secteur bancaire et les infrastructures des marchés financiers, ainsi que pour certaines activités numériques relevant de sa surveillance.
Quels sont les délais de notification d’un incident important ?
Une notification préliminaire dans les 24 heures, une notification d’incident dans les 72 heures avec une première évaluation, puis un rapport final au plus tard un mois après cette notification.
Mon entreprise est-elle concernée ?
Cela dépend de votre secteur et de votre taille : en règle générale, les moyennes et grandes entreprises des secteurs listés, et certaines entités quelle que soit leur taille. La qualification juridique relève de votre conseil et de l’autorité compétente.