Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
75 articles trouves · Veille Luxgap
Ahold Delhaize: incident cyber — signal d’alarme NIS 2 LU
Un incident cyber a forcé Ahold Delhaize à couper des systèmes (12–21 oct. 2026). Au Luxembourg, cela rappelle l’urgence d’être prêt pour les notifications NIS 2 et la continuité d’activité.
Cyberattaque des frigos: pertes massives, impacts NIS 2 LU
Des attaquants ont déréglé des systèmes de réfrigération de supermarchés (11–12/10/2026), causant des pertes “de dizaines de millions d’euros” et des coupures IT. Le cas illustre les exigences NIS 2 pour la chaîne du froid au Luxembourg.
AI Act: marquage des contenus IA, J‑50 avant l’échéance
La Commission confirme le Code de conduite sur le marquage des contenus IA. Les systèmes mis sur le marché avant le 2/08/2026 doivent être conformes au plus tard le 2/12/2026.
DORA: la CSSF durcit le reporting des incidents TIC
La CSSF publie des instructions opérationnelles additionnelles sur le signalement DORA des incidents TIC majeurs. Délais, contenu et qualité des données sont renforcés, avec harmonisation au niveau européen.
NIS 2 Luxembourg: ILR publie un guide incidents SERIMA
L’ILR, avec HCPN/ANSSI-GOVCERT.LU, CIRCL et CSSF, publie des rulebooks pour gérer les incidents NIS 2 et respecter les jalons 24 h / 72 h / 1 mois via SERIMA.
EDPB harmonise les amendes RGPD: méthode unifiée en UE
Le 21 septembre 2026, l’EDPB a adopté des lignes directrices alignant la décision et le calcul des amendes RGPD. Les entreprises luxembourgeoises gagnent en prévisibilité… et voient une application plus rigoureuse.
40 cabinets médicaux touchés: cyberattaque chez un prestataire IT
Le 22 août 2026, une cyberattaque a paralysé l’infrastructure cloud de BMS Engineering au Luxembourg. L’entreprise confirme 40 cabinets affectés, sans fuite avérée, tandis qu’un cabinet signale une perte de données patients.
CNIL sanctionne un hôpital : 500 000 € et exigences de sécurité
La CNIL inflige 500 000 € à l’Hôpital privé de la Loire après une violation massive du DPI. Un rappel des exigences de sécurité (MFA, habilitations, détection) et d’information des personnes, avec des implications directes au Luxembourg.
MAG: 8,7 M de clients exposés — le risque tiers frappe les aéroports
Manchester Airports Group confirme un accès non autorisé à des données liées au parking, aux salons, au Fast Track et au Wi‑Fi, touchant environ 8,7 M de clients. L’affaire met en lumière le risque « sous‑traitant » et les obligations RGPD/NIS 2.
MyDr: 19 M de dossiers santé exposés — le risque tiers en Europe
Un éditeur polonais de logiciels santé, MyDr, a subi une cyberattaque révélée les 12–13 août 2026: près de 19 M de personnes et plus de 12 000 établissements seraient touchés. Varsovie évoque une extorsion.
WEBA (BE) frappée par Qilin: rançongiciel, fuite clients, reprise en 48 h
Le 10 août 2026, la chaîne belge WEBA a subi une cyberattaque avec rançongiciel. Données clients consultées, opérations rétablies le 12 août, revendication par Qilin le 16 août; aucun paiement de rançon, selon WEBA.
Éducation nationale: fuite visant des millions d’élèves et des milliers d’enseignants
Le 18 août 2026, l’Éducation nationale a confirmé une intrusion et une enquête sur une fuite revendiquée visant plusieurs millions d’élèves et des dizaines de milliers d’enseignants. Des bases très détaillées seraient en cause.