NIS2 Luxembourg : loi du 5 mai 2026

Conforme à NIS2 au Luxembourg

Au Luxembourg, la loi du 5 mai 2026 transpose la directive NIS2. L'Institut luxembourgeois de régulation (ILR) en est l'autorité compétente, avec la CSSF pour sa part du secteur financier et numérique. Reglyze s'appuie sur l'IA pour vous amener vite à la conformité : votre périmètre, l'évaluation de vos écarts sur les mesures de l'article 12, les politiques correspondantes et une notification d'incident prête pour SERIMA.

Les obligations s'appliquent depuis le 10 mai 2026

La loi est entrée en vigueur le 10 mai 2026. L'auto-enregistrement auprès de l'autorité compétente était dû au plus tard le 10 juillet 2026 (art. 11, paragraphe 4) ; une entité qui ne s'est pas enregistrée n'est dispensée d'aucune obligation.

Ce que la loi du 5 mai 2026 demande à une organisation luxembourgeoise

Si vous relevez de la loi, vous êtes une entité essentielle ou une entité importante (art. 11), selon votre secteur, votre taille et votre situation. Vous prenez des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, fondées sur une approche tous risques (art. 12). Votre organe de direction les approuve, supervise leur mise en œuvre, peut être tenu responsable de leur violation et suit régulièrement une formation (art. 13). Vous notifiez vos incidents importants (art. 14) et vous vous enregistrez auprès de l'autorité compétente (art. 11, paragraphe 4).

Deux particularités luxembourgeoises

La notification va à l'autorité, pas au CSIRT

Les entités essentielles et importantes notifient leurs incidents importants à l'autorité compétente (art. 14, paragraphe 1er) : l'ILR via SERIMA, ou la CSSF pour les activités qu'elle surveille. L'autorité transmet ensuite la notification au CSIRT concerné, le CIRCL ou GOVCERT.LU, et au point de contact unique.

Les entités essentielles notifient leurs mesures

Les mesures prises par les entités essentielles sont notifiées à l'autorité compétente (art. 12, paragraphe 3). L'ILR leur demande chaque année la description des mesures en place, l'analyse des principaux scénarios de risques cyber et un plan d'action pluriannuel. Les entités importantes en sont dispensées, sauf indices de non-conformité.

Qui fait quoi : ILR, CSSF, HCPN, CIRCL et GOVCERT.LU

L'ILR est l'autorité compétente pour les secteurs des annexes I et II et les entités critiques : il reçoit l'auto-enregistrement et, via SERIMA, les notifications d'incident (art. 3, 11 et 14).
La CSSF est l'autorité compétente pour le secteur bancaire et les infrastructures des marchés financiers, ainsi que pour les infrastructures numériques et la gestion des services TIC en ce qui concerne les activités qu'elle surveille (art. 3).
Le HCPN, le Haut-Commissariat à la Protection nationale, est le point de contact unique (art. 5) et l'autorité de gestion des crises cyber (art. 6).
Le CIRCL et GOVCERT.LU sont les CSIRT : GOVCERT.LU pour les administrations et services de l'État, les établissements publics et les entités critiques, le CIRCL pour tous les autres cas (art. 7). Ils reçoivent votre notification de l'autorité et vous aident à traiter l'incident.

Reglyze ne notifie jamais à votre place : vous gardez la main et transmettez vous-même la notification sur SERIMA.

Tout sur NIS2 au Luxembourg

Suis-je concerné par NIS2 ?

Entité essentielle ou importante au sens de l'art. 11 : secteurs, critère de taille, cas particuliers et autorité compétente.

Les mesures de sécurité

Les dix mesures de l'art. 12, la responsabilité de la direction et les livrables annuels que l'ILR demande aux entités essentielles.

Notifier un incident à l'ILR

Notification préliminaire en 24 heures, notification d'incident en 72 heures, rapport final un mois après, via SERIMA.

Pour les MSP

Une seule console pour la conformité NIS2 de tout un portefeuille de clients, avec des prix publiés.

Hébergement et souveraineté

Où se trouvent vos données (Hetzner, Allemagne), le RGPD et la séparation des organisations dans la plateforme.

Questions fréquentes

Les questions les plus posées sur la loi du 5 mai 2026, l'ILR, la CSSF, l'enregistrement et les amendes.

Questions fréquentes

NIS2 s'applique-t-elle déjà au Luxembourg ?

Oui. La loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité a été publiée au Mémorial A n° 225 le 6 mai 2026. Elle ne fixe pas sa date d'entrée en vigueur : elle est donc obligatoire depuis le 10 mai 2026, le quatrième jour suivant sa publication. Elle a abrogé la loi du 28 mai 2019.

Qui est l'autorité compétente ?

L'Institut luxembourgeois de régulation (ILR) pour les secteurs des annexes I et II et les entités critiques. Par dérogation, la Commission de surveillance du secteur financier (CSSF) pour le secteur bancaire et les infrastructures des marchés financiers, ainsi que pour les infrastructures numériques et la gestion des services TIC en ce qui concerne les activités qu'elle surveille (art. 3).

Faut-il s'enregistrer ?

Oui. Les entités communiquent leurs informations à l'autorité compétente dans les deux mois suivant l'entrée en vigueur, soit au plus tard le 10 juillet 2026, et toute modification dans les deux semaines (art. 11, paragraphe 4). L'ILR met à disposition un formulaire d'auto-enregistrement ; l'absence d'enregistrement ne dispense d'aucune obligation.

Existe-t-il un référentiel national de contrôles ?

Non. L'art. 12, paragraphe 2, énumère dix mesures en termes généraux, et l'ILR peut préciser le cadre d'analyse de risques ainsi que les modalités de notification par règlement ou circulaire. Ses projets de règlements ont été mis en consultation en 2026 et n'étaient pas adoptés au 28 octobre 2026. Reglyze évalue donc vos mesures sur le socle NIS2.

Toutes les questions fréquentes

Préparez votre conformité dès aujourd'hui

Reglyze évalue vos écarts sur les mesures de l'article 12, rédige avec l'IA les politiques correspondantes, documente vos preuves et structure vos incidents selon le rythme 24 h / 72 h / 1 mois. Prix publiés en euros, hébergement dans l'UE.

Reglyze est une plateforme SaaS de conformité NIS2 et ne remplace pas un conseil juridique. Source officielle : loi du 5 mai 2026 sur Legilux.