NIS2 en Luxembourg

1. Aperçu rapide de l'applicabilité pour les PME au Luxembourg

La NIS2 s'applique-t-elle aux PME en 1. Aperçu rapide de l'applicabilité pour les PME au Luxembourg ?

Oui — selon le secteur et la taille.

• Applicabilité automatique aux entités de taille moyenne (≥50 employés et ≥€10 million de chiffre d'affaires ou de total de bilan) exerçant des activités dans les secteurs couverts.
• Les petites ou microentités ne sont incluses que si elles sont formellement désignées ou si elles exercent des activités dans des secteurs à haute criticité.
• S'applique aux entités établies au Luxembourg et, dans certains cas, aux prestataires numériques étrangers desservant le marché luxembourgeois.

Les PME doivent évaluer leur éligibilité au regard du cadre national luxembourgeois de cybersécurité, en fonction de la classification sectorielle et des seuils légaux.

2. Vue d'ensemble de la mise en œuvre de NIS2 au Luxembourg

Le Luxembourg met en œuvre la Directive par le biais de modifications de la Law on Measures for a High Common Level of Security of Network and Information Systems, qui régit les obligations nationales en matière de cybersécurité.

Le cadre législatif révisé aligne le régime luxembourgeois sur la Directive (EU) 2022/2555 et renforce les exigences relatives à la gouvernance, à la gestion des risques, à la notification des incidents, à la supervision et aux sanctions.

La mise en œuvre s'appuie sur le modèle établi de supervision de la cybersécurité du Luxembourg tout en élargissant le périmètre conformément aux normes de l'EU.

3. Champ d'application au Luxembourg

Le champ d'application du Luxembourg reflète les catégories sectorielles minimales de la directive, sans expansion structurelle confirmée.

4. Seuils de taille et applicabilité aux PME au Luxembourg

Les seuils de base s'appliquent :

• ≥50 employés, et
• ≥€10 million de chiffre d'affaires annuel ou de total de bilan.

Les entités remplissant les deux critères dans les secteurs couverts sont automatiquement dans le champ d'application.

Les petites et micro-entreprises peuvent être désignées si elles sont jugées critiques pour la sécurité nationale, la stabilité économique ou la continuité des services essentiels.

Les autorités luxembourgeoises conservent des pouvoirs formels de désignation lorsque le risque systémique justifie l'inclusion.

5. Cadre de classification des entités au Luxembourg

Les entités sont classées comme suit :

• Entités essentielles — Soumises à une supervision proactive, incluant des inspections et un suivi structuré de la conformité.
• Entités importantes — Principalement soumises à une supervision réactive déclenchée par des incidents significatifs ou des préoccupations en matière de conformité.

La classification est déterminée par le secteur et la taille. Les autorités peuvent reclasser des entités lorsque l'impact opérationnel ou l'exposition au risque justifient une supervision renforcée.

Luxembourg applique la structure de supervision à deux niveaux de la directive.

6. Exigences de gestion des risques en cybersécurité au Luxembourg

Le régime national du Luxembourg est aligné sur le socle de la directive pour la gestion des risques en cybersécurité. Les entités concernées doivent mettre en œuvre des mesures techniques et organisationnelles proportionnées couvrant :

• Analyse des risques et protection des systèmes
• Détection et réponse aux incidents
• Continuité des activités et gestion de crise
• Contrôles des risques de la chaîne d'approvisionnement NIS2 au Luxembourg
• Acquisition et développement sécurisés des systèmes TIC
• Contrôle d'accès et gestion des identités
• Chiffrement et mesures de protection cryptographiques
• Procédures de gestion des vulnérabilités
• Formation du personnel à la cybersécurité

Les mesures doivent refléter l'état de l'art et l'exposition aux risques de l'organisation. L'alignement sur ISO/IEC 27001 et les orientations en matière de cybersécurité du Luxembourg est encouragé.

7. Responsabilité des dirigeants et gouvernance au Luxembourg

Les organes de direction doivent approuver formellement les mesures de gestion des risques en cybersécurité et en superviser la mise en œuvre.

Dans le cadre luxembourgeois :

• Les conseils d'administration sont responsables de la surveillance de la conformité.
• La haute direction doit garantir des compétences suffisantes en cybersécurité.
• Des sanctions administratives peuvent viser les défaillances de gouvernance.
• La suspension temporaire de fonctions de direction peut être prévue dans le cadre de mécanismes d'application alignés sur la Directive.

Les attentes en matière de responsabilité des dirigeants au titre de NIS2 au Luxembourg élèvent la gouvernance de la cybersécurité au rang de responsabilité au niveau exécutif.

8. Obligations de notification des incidents au Luxembourg

9. Autorités de supervision et modèle d'application au Luxembourg

Autorité principale : High Commission for National Protection (HCPN).

Le Luxembourg applique un modèle de supervision centralisé coordonné par le HCPN, avec la participation des régulateurs sectoriels le cas échéant.

Les pouvoirs de supervision comprennent :

• Demandes de documentation et d’informations
• Audits de sécurité
• Inspections sur site
• Instructions contraignantes en matière de conformité
• Participation aux mécanismes de coordination de la cybersécurité de l’UE

Le dispositif d’application est aligné sur les exigences de coopération au niveau de la directive.

10. Amendes et sanctions NIS2 au Luxembourg

Le Luxembourg applique des sanctions administratives alignées sur la directive.

L’application des amendes NIS2 au Luxembourg peut également inclure :

• Injonctions de remédiation contraignantes
• Identification publique des entités non conformes
• Suspension des autorisations ou des certifications
• Pouvoirs de suspension des dirigeants

Jusqu’à 7 000 000 € ou 1,4 % du chiffre d’affaires annuel mondial total (le montant le plus élevé s’applique)

11. Sécurité de la chaîne d’approvisionnement et des fournisseurs au titre de NIS2 au Luxembourg

Les entités doivent gérer l’exposition aux risques de cybersécurité liés aux tiers au moyen de :

• Évaluations des risques fournisseurs
• Clauses contractuelles de répercussion des exigences de sécurité (flow-down)
• Surveillance continue des fournisseurs TIC
• Analyse du risque de concentration
• Atténuation de la propagation des incidents

L’approche du Luxembourg est conforme aux attentes de base de la Directive en matière de gestion des risques liés aux fournisseurs.

12. Obligations d’enregistrement et d’auto-identification au Luxembourg

Les entités relevant du champ d’application doivent :

• S'enregistrer auprès des autorités compétentes
• Fournir les informations d'identification de l'entreprise
• Déclarer la classification sectorielle
• Tenir à jour les contacts de notification

Les délais procéduraux suivent le cadre de mise en œuvre du Luxembourg. À ce stade de la transposition, le Luxembourg suit le cadre de base de la NIS2 Directive. Les modalités nationales de mise en œuvre peuvent préciser certaines obligations.

L'auto-identification est obligatoire lorsque les entités atteignent les seuils fixés par la loi.

13. Interaction avec le GDPR et d'autres lois au Luxembourg

Le General Data Protection Regulation continue de s'appliquer concurremment.

Les considérations de chevauchement incluent :

• Notification d'une violation de données à caractère personnel dans les 72 heures
• Coordination avec l'autorité de contrôle
• Enquêtes parallèles en matière de cybersécurité et de protection des données
• Législation luxembourgeoise spécifique au secteur en matière de cybersécurité

Un incident de cybersécurité peut déclencher des obligations de notification au titre des deux régimes.

14. Applicabilité transfrontalière

Les entités ayant leur établissement principal au Luxembourg sont supervisées par les autorités luxembourgeoises pour les services transfrontaliers.

Les fournisseurs numériques étrangers offrant des services au Luxembourg peuvent être soumis à des obligations nationales en fonction de la structure de leur établissement.

Les exigences de représentation suivent les normes de la directive pour les fournisseurs hors EU desservant le marché luxembourgeois.

15. Calendrier de mise en œuvre au Luxembourg

• Adoption de la Directive : 2022
• Modifications législatives nationales : 2024–2025
• Entrée en vigueur : À la publication nationale
• Notification à la Commission : Conformément aux procédures de l'EU
• Jalon de conformité : Échéances alignées sur la directive

Le calendrier de transposition du Luxembourg s'aligne sur les exigences de mise en œuvre de l'EU.

16. Points clés pour les PME au Luxembourg

• Les entités de taille moyenne dans les secteurs couverts sont automatiquement incluses dans le champ d'application.
• Les petites entités peuvent être désignées si elles sont critiques pour la stabilité nationale ou économique.
• La supervision de la gouvernance au niveau du conseil d'administration est obligatoire.
• La notification des incidents suit des délais de 24h / 72h / 1 mois.
• Les sanctions financières peuvent atteindre €10 millions ou 2 % du chiffre d'affaires mondial.
• La gestion des risques liés aux fournisseurs est requise.
• Une planification précoce de la conformité réduit l'exposition aux mesures d'exécution.

FAQ : Guide NIS2 pour les PME au Luxembourg