Reglyze
NIS2 Luxembourg : champ d'application

Êtes-vous une entité essentielle ou importante ?

La loi du 5 mai 2026 s'applique aux entités des secteurs listés dans ses annexes I et II, selon leur taille, et à certaines entités quelle que soit leur taille. Celles qui en relèvent sont soit essentielles, soit importantes (art. 11), et c'est ce classement qui fixe l'intensité de la supervision et le plafond des amendes.

L'enregistrement était dû au 10 juillet 2026

Les entités concernées communiquent leurs informations à l'autorité compétente dans les deux mois suivant l'entrée en vigueur du 10 mai 2026 (art. 11, paragraphe 4). Ne pas s'être enregistré ne dispense d'aucune obligation.

Le critère général : un secteur des annexes et une taille

La loi s'applique aux entités publiques ou privées d'un type visé à l'annexe I ou II qui sont des entreprises moyennes au sens de l'article 2 de l'annexe de la recommandation 2003/361/CE, ou qui en dépassent les plafonds, et qui fournissent leurs services ou exercent leurs activités dans l'Union (art. 1er, paragraphe 1er). L'article 3, paragraphe 4, de cette annexe ne s'applique pas.

Annexe I : secteurs hautement critiques
  • Énergie
  • Transports
  • Secteur bancaire
  • Infrastructures des marchés financiers
  • Santé
  • Eau potable
  • Eaux usées
  • Infrastructure numérique
  • Gestion des services TIC (interentreprises)
  • Administration publique
  • Espace
Annexe II : autres secteurs critiques
  • Services postaux et d'expédition
  • Gestion des déchets
  • Fabrication, production et distribution de produits chimiques
  • Production, transformation et distribution des denrées alimentaires
  • Fabrication (dispositifs médicaux, produits informatiques, électroniques et optiques, équipements électriques, machines, véhicules, autres matériels de transport)
  • Fournisseurs numériques
  • Recherche

Concernés quelle que soit leur taille

Pour un type d'entité des annexes, la loi s'applique sans condition de taille dans les cas suivants (art. 1er, paragraphe 2) :

  • les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public ;
  • les prestataires de services de confiance ;
  • les registres des noms de domaine de premier niveau et les fournisseurs de services de système de noms de domaine (DNS) ;
  • l'entité qui est, au Grand-Duché de Luxembourg, le seul prestataire d'un service essentiel au maintien d'activités sociétales ou économiques critiques ;
  • l'entité dont la perturbation pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique, ou induire un risque systémique important ;
  • l'entité critique en raison de son importance spécifique au niveau national ou régional ;
  • les entités de l'administration publique ;
  • les entités recensées comme entités critiques et les entités fournissant des services d'enregistrement de noms de domaine (art. 1er, paragraphes 3 et 4).

Les articles 12 à 15 et le chapitre 6 ne s'appliquent pas au Service de renseignement de l'État, aux services du ministre ayant la Défense dans ses attributions ni à l'Armée luxembourgeoise (art. 1er, paragraphe 6), et la loi ne vise pas les systèmes où sont traitées des pièces classifiées (art. 1er, paragraphe 7).

Essentielle ou importante (art. 11)

Entités essentielles
Les entités de l'annexe I qui dépassent les plafonds des moyennes entreprises ; quelle que soit leur taille, les prestataires de services de confiance qualifiés, les registres de premier niveau et les fournisseurs de services DNS ; les fournisseurs de communications électroniques publics de taille moyenne ; l'administration publique ; les entités désignées par décision ; les entités critiques ; et les opérateurs de services essentiels identifiés sous la loi du 28 mai 2019 avant l'entrée en vigueur de la nouvelle loi.
Entités importantes
Toutes les autres entités des annexes I et II qui relèvent de la loi, notamment les entreprises moyennes, y compris celles que l'autorité désigne comme importantes. Elles sont supervisées a posteriori, sur la base d'éléments de non-conformité (art. 23), et l'ILR les dispense des livrables annuels demandés aux entités essentielles, sauf indices de non-conformité.

Quelle autorité, et comment s'enregistrer

  • L'ILR est l'autorité compétente pour les secteurs des annexes I et II et les entités critiques (art. 3).
  • La CSSF l'est, par dérogation, pour le secteur bancaire et les infrastructures des marchés financiers, ainsi que pour les infrastructures numériques et la gestion des services TIC en ce qui concerne les activités qui tombent sous sa surveillance (art. 3).
  • L'auto-enregistrement : nom, coordonnées actualisées dont les plages d'IP, secteur et sous-secteur, États membres desservis et taille, à communiquer au plus tard le 10 juillet 2026, puis toute modification dans les deux semaines (art. 11, paragraphe 4). L'ILR met à disposition un formulaire en ligne et confirme ensuite la désignation de l'entité.

Questions fréquentes

Une PME luxembourgeoise relève-t-elle de la loi ?
En règle générale, la loi vise les entités d'un secteur des annexes I ou II qui sont des entreprises moyennes au sens de l'article 2 de l'annexe de la recommandation 2003/361/CE, ou plus grandes (art. 1er, paragraphe 1er). Une petite entreprise n'en relève que dans les cas prévus quelle que soit la taille, par exemple si elle est prestataire de services de confiance, fournisseur de services DNS ou seul prestataire d'un service essentiel au Luxembourg.
Quelle est la différence entre entité essentielle et entité importante ?
Les entités essentielles sont listées à l'art. 11, paragraphe 1er : notamment les entités de l'annexe I qui dépassent les plafonds des moyennes entreprises, les prestataires de services de confiance qualifiés, les registres de premier niveau et les fournisseurs DNS quelle que soit leur taille, l'administration publique et les anciens opérateurs de services essentiels. Toutes les autres entités relevant de la loi sont importantes (art. 11, paragraphe 2). Les entités essentielles sont supervisées plus étroitement (art. 22) et notifient leurs mesures (art. 12, paragraphe 3).
Mon autorité est-elle l'ILR ou la CSSF ?
L'ILR, sauf si vous êtes dans le secteur bancaire ou les infrastructures des marchés financiers, ou si vos activités d'infrastructure numérique ou de gestion des services TIC tombent sous la surveillance de la CSSF : dans ces cas, c'est la CSSF (art. 3).
Comment s'enregistrer ?
Les entités communiquent à l'autorité compétente leur nom, leurs coordonnées (adresses électroniques, plages d'IP, téléphones), leur secteur et sous-secteur, les États membres où elles fournissent leurs services et leur taille, dans les deux mois suivant l'entrée en vigueur, soit au plus tard le 10 juillet 2026, puis toute modification dans les deux semaines (art. 11, paragraphe 4). L'ILR propose un formulaire d'auto-enregistrement et confirme ensuite la désignation de l'entité comme essentielle ou importante.

Connaître votre classement avant votre première évaluation

Reglyze vous guide dans le cadrage : secteur, taille, cas particuliers, autorité compétente. Vous partez ensuite sur l'évaluation de vos écarts et les documents correspondants. Prix publiés en euros, hébergement dans l'UE.

Reglyze est une plateforme SaaS de conformité NIS2 et ne remplace pas un conseil juridique. Source officielle : auto-enregistrement NIS 2 sur ilr.lu.