Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
DORA: le RTS TLPT entre en vigueur — attentes CSSF
Le Règlement délégué (UE) 2025/1190 précise le TLPT sous DORA. Au Luxembourg, la CSSF est l’autorité TLPT et aligne TIBER‑LU. Qui sera désigné, comment tester et à quel rythme: synthèse pratique.
AI Act: marquage des contenus IA, J‑50 avant l’échéance
La Commission confirme le Code de conduite sur le marquage des contenus IA. Les systèmes mis sur le marché avant le 2/08/2026 doivent être conformes au plus tard le 2/12/2026.
NIS 2: l’ILR encadre la responsabilité des dirigeants
L’ILR publie ses Guidelines NIS 2 pour les organes de direction: approbation, supervision et formation deviennent vérifiables et sanctionnables.
DORA: la CSSF durcit le reporting des incidents TIC
La CSSF publie des instructions opérationnelles additionnelles sur le signalement DORA des incidents TIC majeurs. Délais, contenu et qualité des données sont renforcés, avec harmonisation au niveau européen.
AIPD obligatoire: CNPD vs CNIL en RH (RGPD art. 35)
CNPD et CNIL appliquent le même RGPD mais divergent sur la surveillance et l’analytics RH: seuil plus ciblé au Luxembourg, plus large en France. Conséquence: une AIPD peut être obligatoire en FR et conditionnelle en LU.
NIS 2 Luxembourg: ILR publie un guide incidents SERIMA
L’ILR, avec HCPN/ANSSI-GOVCERT.LU, CIRCL et CSSF, publie des rulebooks pour gérer les incidents NIS 2 et respecter les jalons 24 h / 72 h / 1 mois via SERIMA.
RGPD: 300 K€ de la CNIL contre EXTIA pour l’effacement
La CNIL sanctionne EXTIA de 300 000 € pour des manquements aux articles 12 et 17 RGPD sur le droit à l’effacement et l’information dans le délai d’un mois.
EDPB harmonise les amendes RGPD: méthode unifiée en UE
Le 21 septembre 2026, l’EDPB a adopté des lignes directrices alignant la décision et le calcul des amendes RGPD. Les entreprises luxembourgeoises gagnent en prévisibilité… et voient une application plus rigoureuse.
CJUE 10/02/2026 — RGPD: les décisions EDPB sont attaquables
La CJUE juge qu’une décision contraignante de l’EDPB (art. 65 RGPD) est un acte attaquable qui concerne directement l’entreprise. La méthodologie d’amende fixée par l’EDPB peut désormais être contestée devant l’UE.
40 cabinets médicaux touchés: cyberattaque chez un prestataire IT
Le 22 août 2026, une cyberattaque a paralysé l’infrastructure cloud de BMS Engineering au Luxembourg. L’entreprise confirme 40 cabinets affectés, sans fuite avérée, tandis qu’un cabinet signale une perte de données patients.
Art. 22 RGPD : 825 M€ contre Uber, décisions automatisées
L’AP néerlandaise, avec la CNIL, inflige près de 825 M€ à Uber pour désactivation/suspension automatisée de comptes chauffeurs sans garanties adéquates. Message clair: l’article 22 RGPD s’applique concrètement aux algorithmes à fort impact.
CNIL sanctionne un hôpital : 500 000 € et exigences de sécurité
La CNIL inflige 500 000 € à l’Hôpital privé de la Loire après une violation massive du DPI. Un rappel des exigences de sécurité (MFA, habilitations, détection) et d’information des personnes, avec des implications directes au Luxembourg.