Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
Ahold Delhaize: incident cyber — signal d’alarme NIS 2 LU
Un incident cyber a forcé Ahold Delhaize à couper des systèmes (12–21 oct. 2026). Au Luxembourg, cela rappelle l’urgence d’être prêt pour les notifications NIS 2 et la continuité d’activité.
PHP2Shell : nos sites corrigés en moins de 3 heures
La faille PHP2Shell (CVE-2026-109618 et CVE-2026-109619) peut permettre de prendre le contrôle d'un serveur PHP par une seule requête web. Ce que recommandaient les autorités, et comment nous avons fermé, corrigé et rouvert nos sites en moins de 3 heures d'intervention.
CJUE 21/04/2026: casier judiciaire et article 10 RGPD
La CJUE sanctionne une loi hongroise ouvrant l’accès au casier judiciaire: sans garanties «appropriées», l’article 10 RGPD est violé. Enjeu pour le Luxembourg: accès tiers ultra‑encadré et sous contrôle public.
Campagne de phishing : ce qu'imposent NIS 2 et DORA
Aucune loi n'impose de simulation de phishing, mais au Luxembourg, NIS 2 et DORA imposent la formation du personnel, et sa preuve. Ce que disent les textes, l'état de la menace en 2026 et la méthode pour mener une campagne de phishing en toute légalité.
Cyberattaque des frigos: pertes massives, impacts NIS 2 LU
Des attaquants ont déréglé des systèmes de réfrigération de supermarchés (11–12/10/2026), causant des pertes “de dizaines de millions d’euros” et des coupures IT. Le cas illustre les exigences NIS 2 pour la chaîne du froid au Luxembourg.
DORA: le RTS TLPT entre en vigueur — attentes CSSF
Le Règlement délégué (UE) 2025/1190 précise le TLPT sous DORA. Au Luxembourg, la CSSF est l’autorité TLPT et aligne TIBER‑LU. Qui sera désigné, comment tester et à quel rythme: synthèse pratique.
AI Act: marquage des contenus IA, J‑50 avant l’échéance
La Commission confirme le Code de conduite sur le marquage des contenus IA. Les systèmes mis sur le marché avant le 2/08/2026 doivent être conformes au plus tard le 2/12/2026.
NIS 2: l’ILR encadre la responsabilité des dirigeants
L’ILR publie ses Guidelines NIS 2 pour les organes de direction: approbation, supervision et formation deviennent vérifiables et sanctionnables.
DORA: la CSSF durcit le reporting des incidents TIC
La CSSF publie des instructions opérationnelles additionnelles sur le signalement DORA des incidents TIC majeurs. Délais, contenu et qualité des données sont renforcés, avec harmonisation au niveau européen.
AIPD obligatoire: CNPD vs CNIL en RH (RGPD art. 35)
CNPD et CNIL appliquent le même RGPD mais divergent sur la surveillance et l’analytics RH: seuil plus ciblé au Luxembourg, plus large en France. Conséquence: une AIPD peut être obligatoire en FR et conditionnelle en LU.
NIS 2 Luxembourg: ILR publie un guide incidents SERIMA
L’ILR, avec HCPN/ANSSI-GOVCERT.LU, CIRCL et CSSF, publie des rulebooks pour gérer les incidents NIS 2 et respecter les jalons 24 h / 72 h / 1 mois via SERIMA.
RGPD: 300 K€ de la CNIL contre EXTIA pour l’effacement
La CNIL sanctionne EXTIA de 300 000 € pour des manquements aux articles 12 et 17 RGPD sur le droit à l’effacement et l’information dans le délai d’un mois.