Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
NIS 2 et ISO 27001: le mapping utile au Luxembourg
ENISA publie une guidance NIS 2 avec mappings ISO/IEC 27001/27002: pas de 1‑pour‑1. Il faut démontrer des preuves alignées sur le règlement d’exécution (UE) 2024/2690, référence adoptée par l’ILR au Luxembourg.
ENISA consulte sur security.txt et CVD — NIS 2 et CRA
Consultation éclair d’ENISA sur un avis technique “security.txt, CVD et avis de sécurité”. Date limite: 15/11/2026. Enjeu: aligner les pratiques avec NIS 2 et le CRA via security.txt, politique CVD et avis post‑correction.
NIS 2 Luxembourg: livrables sécurité exigés par l’ILR
L’ILR publie ses modèles NIS 2 et exige, dès 2026, des livrables annuels sur les mesures de sécurité pour les entités essentielles: description, scénarios, plan d’action et dépendances.
Ahold Delhaize: incident cyber — signal d’alarme NIS 2 LU
Un incident cyber a forcé Ahold Delhaize à couper des systèmes (12–21 oct. 2026). Au Luxembourg, cela rappelle l’urgence d’être prêt pour les notifications NIS 2 et la continuité d’activité.
PHP2Shell : nos sites corrigés en moins de 3 heures
La faille PHP2Shell (CVE-2026-109618 et CVE-2026-109619) peut permettre de prendre le contrôle d'un serveur PHP par une seule requête web. Ce que recommandaient les autorités, et comment nous avons fermé, corrigé et rouvert nos sites en moins de 3 heures d'intervention.
CJUE 21/04/2026: casier judiciaire et article 10 RGPD
La CJUE sanctionne une loi hongroise ouvrant l’accès au casier judiciaire: sans garanties «appropriées», l’article 10 RGPD est violé. Enjeu pour le Luxembourg: accès tiers ultra‑encadré et sous contrôle public.
Campagne de phishing : ce qu'imposent NIS 2 et DORA
Aucune loi n'impose de simulation de phishing, mais au Luxembourg, NIS 2 et DORA imposent la formation du personnel, et sa preuve. Ce que disent les textes, l'état de la menace en 2026 et la méthode pour mener une campagne de phishing en toute légalité.
Cyberattaque des frigos: pertes massives, impacts NIS 2 LU
Des attaquants ont déréglé des systèmes de réfrigération de supermarchés (11–12/10/2026), causant des pertes “de dizaines de millions d’euros” et des coupures IT. Le cas illustre les exigences NIS 2 pour la chaîne du froid au Luxembourg.
DORA: le RTS TLPT entre en vigueur — attentes CSSF
Le Règlement délégué (UE) 2025/1190 précise le TLPT sous DORA. Au Luxembourg, la CSSF est l’autorité TLPT et aligne TIBER‑LU. Qui sera désigné, comment tester et à quel rythme: synthèse pratique.
AI Act: marquage des contenus IA, J‑50 avant l’échéance
La Commission confirme le Code de conduite sur le marquage des contenus IA. Les systèmes mis sur le marché avant le 2/08/2026 doivent être conformes au plus tard le 2/12/2026.
NIS 2: l’ILR encadre la responsabilité des dirigeants
L’ILR publie ses Guidelines NIS 2 pour les organes de direction: approbation, supervision et formation deviennent vérifiables et sanctionnables.
DORA: la CSSF durcit le reporting des incidents TIC
La CSSF publie des instructions opérationnelles additionnelles sur le signalement DORA des incidents TIC majeurs. Délais, contenu et qualité des données sont renforcés, avec harmonisation au niveau européen.