La loi du 5 mai 2026 en questions

La loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, publiée au Mémorial A n° 225 du 6 mai 2026. Elle a abrogé la loi du 28 mai 2019, qui transposait la première directive NIS, et les articles 42 et 43 de la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques.

Depuis le 10 mai 2026. La loi ne fixe pas elle-même sa date d'entrée en vigueur : la règle générale du Journal officiel la rend obligatoire le quatrième jour qui suit sa publication du 6 mai 2026. Legilux et l'ILR indiquent la même date.

L'ILR pour les secteurs des annexes I et II et les entités critiques. La CSSF, par dérogation, pour le secteur bancaire et les infrastructures des marchés financiers, ainsi que pour les infrastructures numériques et la gestion des services TIC en ce qui concerne les activités qu'elle surveille (art. 3).

Le Haut-Commissariat à la Protection nationale est le point de contact unique pour la coopération avec les autres États membres (art. 5) et l'autorité de gestion des crises cyber (art. 6). Dans sa fonction de GOVCERT.LU, il est aussi le CSIRT des administrations et services de l'État, des établissements publics et des entités critiques (art. 7).

Jusqu'au 10 juillet 2026, soit deux mois après l'entrée en vigueur (art. 11, paragraphe 4). Toute modification se notifie ensuite dans les deux semaines. L'ILR propose un formulaire d'auto-enregistrement, et l'absence d'enregistrement ne dispense d'aucune obligation.

À l'autorité compétente, et non au CSIRT : l'ILR via SERIMA, ou la CSSF pour les entités qui relèvent d'elle (art. 14, paragraphe 1er). L'autorité transmet la notification au CIRCL ou à GOVCERT.LU et au point de contact unique.

Une notification préliminaire dans les 24 heures et une notification d'incident dans les 72 heures après avoir eu connaissance de l'incident important, puis un rapport final au plus tard un mois après la notification d'incident, ou un rapport d'avancement si l'incident est toujours en cours (art. 14, paragraphe 4). Un rapport intermédiaire peut être demandé entre-temps.

Oui : elles notifient leurs mesures de gestion des risques à l'autorité compétente (art. 12, paragraphe 3), et l'ILR leur demande chaque année la description des mesures en place, l'analyse des principaux scénarios de risques cyber et un plan d'action pluriannuel. Elles sont aussi soumises à des inspections et audits plus larges (art. 22).

Des maxima, jamais des montants types. Pour une violation de l'art. 12 ou de l'art. 14, paragraphes 1er à 4 : jusqu'à 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total pour une entité essentielle, jusqu'à 7 000 000 EUR ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu (art. 26). Une astreinte d'au plus 1 250 euros par jour et 25 000 euros au total peut s'y ajouter.

Oui. Les organes de direction approuvent les mesures, supervisent leur mise en œuvre et peuvent être tenus responsables de leur violation (art. 13). Dans une entité essentielle, si les mesures d'exécution restent inefficaces, l'autorité peut demander au président du Tribunal d'arrondissement de Luxembourg d'interdire temporairement à un dirigeant d'exercer ses fonctions (art. 22, paragraphe 5).