NIS2 Luxembourg : notification d'incident

Notifier un incident important : 24 h / 72 h / 1 mois

Au Luxembourg, les entités essentielles et importantes notifient leurs incidents importants à l'autorité compétente, et non au CSIRT : à l'Institut luxembourgeois de régulation (ILR) via SERIMA, ou à la CSSF pour les activités qu'elle surveille. L'autorité transmet ensuite la notification au CSIRT concerné et au point de contact unique.

L'obligation s'applique depuis le 10 mai 2026

Le canal de l'ILR est SERIMA (serima.lu/notification). L'autorité répond, sans retard injustifié et si possible dans les 24 heures suivant la notification préliminaire, avec un premier retour et, à votre demande, des orientations (art. 14, paragraphe 5).

Les étapes de l'article 14

dans les 24 h

Notification préliminaire (art. 14, paragraphe 4, point 1°)

Sans retard injustifié et au plus tard 24 heures après avoir eu connaissance de l'incident important. Elle indique, le cas échéant, si l'on suspecte que l'incident a été causé par des actes illicites ou malveillants ou s'il pourrait avoir un impact transfrontière.

dans les 72 h

Notification d'incident (point 2°)

Au plus tard 72 heures après avoir eu connaissance de l'incident : elle met à jour la notification préliminaire et fournit une évaluation initiale de l'incident, dont sa gravité et son impact, ainsi que les indicateurs de compromission lorsqu'ils sont disponibles. Un prestataire de services de confiance notifie dans les 24 heures les incidents qui touchent ses services de confiance.

sur demande

Rapport intermédiaire (point 3°)

À la demande d'un CSIRT ou, selon le cas, de l'autorité compétente : un point sur les mises à jour pertinentes de la situation. Aucun délai ne court avant cette demande.

dans le mois

Rapport final (points 4° et 5°)

Au plus tard un mois après la notification d'incident : description détaillée avec la gravité et l'impact, le type de menace ou la cause profonde, les mesures d'atténuation appliquées et en cours, et l'impact transfrontière le cas échéant. Si l'incident est toujours en cours, vous remettez un rapport d'avancement, puis le rapport final dans un délai d'un mois à compter de la gestion de l'incident.

Le simple fait de notifier un incident n'accroît pas la responsabilité de l'entité (art. 14, paragraphe 1er). Le cas échéant, vous informez aussi sans retard injustifié les destinataires de vos services des incidents importants susceptibles de nuire à la fourniture de ces services.

Qui notifie, où, et ce qui suit

Qui : les entités essentielles et importantes au sens de la loi du 5 mai 2026. Toute autre entité peut notifier à titre volontaire à l'ILR un incident important, une cybermenace ou un incident évité (art. 20).
Où : à l'autorité compétente, l'ILR via SERIMA ou la CSSF dans son périmètre (art. 3 et 14).
Ensuite : l'autorité transmet au CSIRT, GOVCERT.LU pour les administrations et services de l'État, les établissements publics et les entités critiques, le CIRCL pour tous les autres cas (art. 7), et au point de contact unique.
En cas de manquement : une violation de l'art. 14, paragraphes 1er à 4, expose à une amende d'au plus 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, et d'au plus 7 000 000 EUR ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu (art. 26).

Questions fréquentes

Faut-il notifier le CIRCL ou l'ILR ?

L'autorité compétente : l'ILR, via SERIMA, ou la CSSF pour les entités qui relèvent d'elle. La loi le dit à l'art. 14, paragraphe 1er, et précise que l'autorité transmet la notification au CSIRT concerné et au point de contact unique dès qu'elle la reçoit. Le CIRCL et GOVCERT.LU sont les CSIRT : ils reçoivent la notification de l'autorité et peuvent vous apporter un soutien technique si vous le demandez.

Quand un incident est-il « important » ?

Lorsqu'il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité, ou lorsqu'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables (art. 14, paragraphe 3). L'autorité peut en préciser les paramètres par règlement ou circulaire ; le projet de l'ILR n'était pas adopté au 28 octobre 2026, nous n'affirmons donc aucun seuil chiffré.

À partir de quand courent les délais ?

Les délais de 24 et 72 heures courent à partir du moment où vous avez eu connaissance de l'incident important. Le rapport final se compte à partir de la notification d'incident, et non de la prise de connaissance.

Faut-il un compte SERIMA pour notifier ?

Non. Selon l'ILR, le module de notification d'incident de SERIMA est accessible à tous, avec ou sans compte, et un compte peut être créé directement sur le site. Les entités relevant de la loi reçoivent un compte de l'ILR après leur auto-enregistrement. Le portail est disponible en français, en allemand et en anglais.

Avoir la notification prête avant le premier incident

Reglyze structure vos incidents selon le rythme 24 h / 72 h / 1 mois, prépare le contenu de chaque notification à reporter dans SERIMA et documente la piste d'audit. Reglyze ne notifie jamais à votre place. Prix publiés en euros, hébergement dans l'UE.

Reglyze est une plateforme SaaS de conformité NIS2 et ne remplace pas un conseil juridique. Source officielle : notification d'incident sur ilr.lu.