Reglyze
NIS2 Luxembourg : mesures de sécurité

Les mesures de sécurité de l'article 12

Les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent leurs réseaux et systèmes d'information, fondées sur une approche « tous risques » (art. 12). Au Luxembourg, les entités essentielles notifient en plus ces mesures à l'autorité compétente.

Pas de catalogue national de contrôles

La loi ne fixe pas de liste de contrôles détaillée, et les projets de règlements de l'ILR sur la notification des mesures n'étaient pas adoptés au 28 octobre 2026. La proportionnalité s'apprécie selon l'exposition aux risques, la taille de l'entité, la probabilité et la gravité des incidents (art. 12, paragraphe 1er).

Les dix mesures (art. 12, paragraphe 2)

Les mesures comprennent au moins :

  1. les politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information ;
  2. la gestion des incidents ;
  3. la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises ;
  4. la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ;
  5. la sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information, y compris le traitement et la divulgation des vulnérabilités ;
  6. des politiques et des procédures pour évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité ;
  7. les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ;
  8. des politiques et des procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement ;
  9. la sécurité des ressources humaines, des politiques de contrôle d'accès et la gestion des actifs ;
  10. l'utilisation de solutions d'authentification à plusieurs facteurs ou d'authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d'urgence au sein de l'entité, selon les besoins.

Elles tiennent compte de l'état des connaissances, s'il y a lieu des normes européennes et internationales applicables, et du coût de mise en œuvre. Une entité qui constate qu'elle ne s'y conforme pas prend sans retard injustifié les mesures correctives nécessaires (art. 12, paragraphe 5). L'autorité peut aussi imposer, par règlement, l'utilisation de produits, services ou processus TIC certifiés, et elle encourage le recours aux services de confiance qualifiés (art. 15).

Ce que l'ILR demande chaque année aux entités essentielles

Les mesures prises par les entités essentielles sont notifiées à l'autorité compétente, selon des modalités, un format et un délai fixés par règlement ou circulaire (art. 12, paragraphe 3). L'ILR décrit trois livrables annuels :

La description des mesures en place
Les mesures de cybersécurité que l'entité a effectivement mises en œuvre, au regard de l'art. 12.
L'analyse des principaux scénarios de risques cyber
Un questionnaire à choix multiples sur des scénarios prédéfinis. Selon l'ILR, elle ne dispense pas l'entité de sa propre analyse des risques au titre de l'art. 12, dont l'ILR peut demander le détail et les preuves de mise en œuvre.
Un plan d'action pluriannuel
Les mesures prévues pour assurer un niveau élevé de cybersécurité. L'ILR peut aussi demander à certaines catégories d'entités essentielles la liste de leurs dépendances envers leurs fournisseurs et prestataires directs.

Les entités importantes sont supervisées a posteriori et dispensées de ces livrables, sauf indices de non-conformité. L'ILR a publié le 3 août 2026 des modèles proposés à titre de référence ; les échéances relèvent de ses règlements.

La direction répond des mesures (art. 13)

Les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables de leur violation. Leurs membres suivent régulièrement une formation, et l'entité offre régulièrement une formation similaire à son personnel. Les manquements à ces obligations peuvent être sanctionnés par un avertissement, un blâme ou une amende d'au plus 250 000 euros (art. 25).

Questions fréquentes

Existe-t-il un référentiel national de contrôles au Luxembourg ?
Non. L'art. 12, paragraphe 2, énumère dix mesures en termes généraux. L'autorité compétente peut préciser le cadre d'analyse de risques par règlement ou circulaire (art. 12, paragraphe 1er), et l'ILR a mis en consultation des projets de règlements de juillet à août 2026, non adoptés au 28 octobre 2026. Reglyze évalue donc vos mesures sur le socle NIS2, mesure par mesure.
Qui doit notifier ses mesures à l'autorité ?
Les entités essentielles (art. 12, paragraphe 3). L'ILR leur demande chaque année la description des mesures en place, l'analyse des principaux scénarios de risques cyber et un plan d'action pluriannuel. Les entités importantes, supervisées a posteriori, en sont dispensées sauf indices de non-conformité.
Quels sont le format et les délais des livrables ?
L'ILR indique que les échéances et les détails techniques relèvent de ses règlements. Ces règlements n'étaient pas adoptés au 28 octobre 2026 ; l'ILR a publié le 3 août 2026 quatre modèles de livrables, proposés à titre de référence. Nous n'affirmons donc aucun délai.
Quel est le rôle de la direction ?
Les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables de leur violation. Leurs membres suivent régulièrement une formation, et l'entité offre régulièrement une formation similaire à son personnel (art. 13).

Des mesures documentées, prêtes pour l'autorité

Reglyze évalue vos écarts sur chacune des dix mesures, rédige avec l'IA les politiques correspondantes et rassemble vos preuves, pour que la description de vos mesures et votre plan d'action reposent sur un état des lieux à jour. Prix publiés en euros, hébergement dans l'UE.

Reglyze est une plateforme SaaS de conformité NIS2 et ne remplace pas un conseil juridique. Source officielle : mesures de sécurité sur ilr.lu.