Reglyze
← Retour à Reglyze
Transposée et applicable

NIS 2 au Luxembourg : socle de l'article 12 (loi du 5 mai 2026)

Mesures de gestion des risques au Luxembourg : socle de l'article 12 (loi du 5 mai 2026). Aucun catalogue national de contrôles : l'art. 12, paragraphe 2, énumère dix mesures en termes généraux, des politiques d'analyse des risques à l'authentification à plusieurs facteurs. Particularité luxembourgeoise : les entités essentielles notifient les mesures qu'elles prennent à l'autorité compétente (art. 12, paragraphe 3).

Statut : en vigueur depuis le 10 mai 2026 ; les règlements de l'ILR prévus aux art. 12 et 14 ont été mis en consultation en 2026 et n'étaient pas adoptés au 28 octobre 2026

L'essentiel en un coup d'œil

Loi de transposition

Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité

En vigueur : 2026-05-10

Autorité compétente

Institut luxembourgeois de régulation (ILR)

https://www.ilr.lu/secteurs-activites/niss/nis-2/
Mesures de gestion des risques

socle de l'article 12 (loi du 5 mai 2026)

Dix mesures (art. 12, paragraphe 2, points 1° à 10°). Pour les entités essentielles, trois livrables annuels demandés par l'ILR : la description des mesures en place, l'analyse des principaux scénarios de risques cyber et un plan d'action pluriannuel.

Sanctions
  • entités essentielles : jusqu'à 10 M€ ou 2 % du CA mondial
  • entités importantes : jusqu'à 7 M€ ou 1,4 % du CA mondial

Qui est concerné ?

entités essentielles

Entités de l'annexe I dépassant les plafonds des moyennes entreprises ; quelle que soit leur taille, prestataires de services de confiance qualifiés, registres de noms de domaine de premier niveau et fournisseurs de services DNS ; moyennes entreprises fournissant des réseaux ou services de communications électroniques publics ; entités de l'administration publique ; entités désignées par décision ; entités critiques ; opérateurs de services essentiels identifiés sous la loi du 28 mai 2019 (art. 11, paragraphe 1er).

entités importantes

Toute autre entité d'un type visé à l'annexe I ou II relevant de la loi, notamment les moyennes entreprises, y compris celles que l'autorité désigne comme importantes (art. 11, paragraphe 2).

Régime antérieur : Loi du 28 mai 2019 (NIS 1), abrogée par l'art. 30. Aucun nombre d'entités concernées n'est affirmé : aucune source officielle lue n'en donne.

Échéances clés

2026-05-06

Publication de la loi du 5 mai 2026 au Mémorial A n° 225.

2026-05-10

Entrée en vigueur, le quatrième jour suivant la publication (art. 4 de la loi du 23 décembre 2016 concernant le Journal officiel). Les obligations s'appliquent depuis cette date.

2026-07-10

Échéance passée de l'auto-enregistrement : deux mois à compter de l'entrée en vigueur (art. 11, paragraphe 4). Toute modification se notifie dans les deux semaines.

Notification d'incident : 24 h (notification préliminaire) / 72 h (notification d'incident) / 1 mois après la notification d'incident (rapport final), auprès de l'autorité compétente (l'ILR via SERIMA, ou la CSSF dans son périmètre), qui transmet au CSIRT (art. 14, paragraphe 1er).

Secteurs prioritaires

Secteur financier et activités surveillées par la CSSF

Pour le secteur bancaire et les infrastructures des marchés financiers, l'autorité compétente est la CSSF, et non l'ILR ; elle l'est aussi pour les infrastructures numériques et la gestion des services TIC en ce qui concerne les activités qu'elle surveille (art. 3). Lorsqu'un acte sectoriel de l'Union impose des exigences au moins équivalentes, les dispositions correspondantes de la loi ne s'appliquent pas (art. 1er, paragraphe 8).

Infrastructure numérique, cloud et services TIC gérés

Les prestataires de services de confiance, les registres de premier niveau et les fournisseurs de services DNS relèvent de la loi quelle que soit leur taille. Les fournisseurs de cloud, de centres de données, de réseaux de diffusion de contenu et de services gérés communiquent en outre un jeu d'informations distinct (art. 17) et toute modification dans les trois mois. Un prestataire de services de confiance notifie ses incidents en 24 heures, et non 72.

Énergie, transports, santé et eau : les anciens opérateurs de services essentiels

Les opérateurs de services essentiels identifiés sous la loi du 28 mai 2019 restent des entités essentielles (art. 11, paragraphe 1er, point 7°). Ils notifient leurs mesures à l'autorité compétente et l'ILR leur demande chaque année la description de leurs mesures, une analyse des scénarios de risques cyber et un plan d'action pluriannuel.

Questions fréquentes

La loi NIS 2 est-elle en vigueur au Luxembourg ?
Oui. La loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité a été publiée au Mémorial A n° 225 le 6 mai 2026 et s'applique depuis le 10 mai 2026, le quatrième jour suivant sa publication. Elle a abrogé la loi du 28 mai 2019, et la Commission européenne a clôturé sa procédure d'infraction le 8 juillet 2026.
Qui est l'autorité compétente : l'ILR ou la CSSF ?
L'ILR pour les secteurs des annexes I et II et les entités critiques. Par dérogation, la CSSF pour le secteur bancaire et les infrastructures des marchés financiers, ainsi que pour les infrastructures numériques et la gestion des services TIC en ce qui concerne les activités qu'elle surveille (art. 3). Le Haut-Commissariat à la Protection nationale est le point de contact unique (art. 5).
Où et en combien de temps notifier un incident important ?
À l'autorité compétente, et non au CSIRT : l'ILR via SERIMA (serima.lu/notification), ou la CSSF pour les entités qui relèvent d'elle. L'autorité transmet la notification au CIRCL ou à GOVCERT.LU et au point de contact unique (art. 14, paragraphe 1er). À compter de la prise de connaissance : notification préliminaire dans les 24 heures, notification d'incident dans les 72 heures, rapport final au plus tard un mois après la notification d'incident (art. 14, paragraphe 4).
Que doivent transmettre les entités essentielles sur leurs mesures de sécurité ?
Elles notifient leurs mesures à l'autorité compétente (art. 12, paragraphe 3). L'ILR leur demande chaque année la description des mesures en place, l'analyse des principaux scénarios de risques cyber et un plan d'action pluriannuel ; les entités importantes en sont dispensées sauf indices de non-conformité. Le format et les délais relèvent de règlements de l'ILR qui n'étaient pas adoptés au 28 octobre 2026.
Quelles sont les amendes ?
Ce sont des maxima. Jusqu'à 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total pour une entité essentielle, jusqu'à 7 000 000 EUR ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu, pour les violations des mesures de gestion des risques ou de la notification des incidents (art. 26). S'y ajoutent une astreinte d'au plus 1 250 euros par jour et 25 000 euros au total, et, pour l'enregistrement ou la formation, une amende d'au plus 250 000 euros (art. 25).

Sources officielles

Dernière vérification : 2026-10-28 · prochaine re-vérification prévue après 2027-01-28.

Prêt à vous mettre en conformité NIS 2 au Luxembourg ?

Reglyze vous guide pas à pas, avec l'IA, dans les exigences de NIS 2 : cadrage et analyse des écarts sur les exigences de la directive, puis des documents qui citent la loi du 5 mai 2026, ses délais et le bon destinataire des notifications.