Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
Backups immuables et isolés: répondre à DORA sur la résilience ransomware
DORA exige des sauvegardes restaurables et isolées. Les backups immuables et l’isolation réseau concrétisent ces obligations tout en réduisant le risque ransomware.
AI Act – Annexe III: passer au haut risque sans se tromper
Systèmes d’IA à haut risque: comment décider si vous relevez de l’Annexe III et constituer un dossier conforme (gestion des risques, Annexe IV, CE) au Luxembourg, en mai 2026.
NIS 2 – Article 21 au Luxembourg: que contrôle réellement l’ILR ?
Article 21 NIS 2 impose 10 familles de mesures minimales. L’ILR annonce un contrôle ex ante/ex post centré sur ces mesures et la responsabilité des dirigeants. Voici comment s’y conformer efficacement.
NIS 2 au Luxembourg: loi du 5 mai 2026 publiée, que faire avant le 10 mai
La loi luxembourgeoise transposant NIS 2 est publiée (5 mai 2026) et entre en vigueur le 10 mai. Périmètre élargi, gouvernance renforcée, notification d’incident sous 24 h/72 h à l’ILR via SERIMA. Actions prioritaires et sources officielles.
AI Act – Article 50: transparence pour chatbots et deepfakes d’ici 2026
Dès le 2 août 2026, toute interaction IA, tout contenu synthétique et tout système de reconnaissance d’émotions/catégorisation biométrique devront être signalés. Amendes jusqu’à 15 M€ ou 3% du CA mondial.
RGPD art. 33: notifier une violation à la CNPD en 72 h, sans paniquer
Méthode opérationnelle, fondée sur les textes officiels et la position de la CNPD, pour décider, notifier et documenter correctement une violation de données en 72 heures.
Transferts UE‑USA après Schrems II et DPF: attentes CNPD 2026
Sécurisez vos flux transatlantiques sans sur‑conformité: le DPF facilite les transferts vers les entités US certifiées, mais l’art. 46 et les mesures supplémentaires restent clés hors DPF. Gouvernance fournisseurs et documentation AIPD en priorité.
NIS 2 au Luxembourg: notifier un incident à l’ILR en 24h/72h/1 mois
NIS 2 impose une alerte sous 24h, une notification à 72h et un rapport final sous 1 mois. Au Luxembourg, l’ILR et le CSIRT national (CIRCL) sont vos interlocuteurs clés.
DORA, article 28 : le « registre des dépendances ICT » attendu par la CSSF
Depuis le 17 janvier 2025, toutes les entités financières soumises à DORA doivent tenir un registre structuré de leurs contrats ICT. La CSSF a précisé le calendrier et les modalités de soumission au Luxembourg.
CNPD: enregistrer des réunions et conversations pro en conformité RGPD
En 2026, la CNPD encadre l’enregistrement audio/vidéo des réunions privées. Base légale, information et durée de conservation sont clés; les enregistrements doivent souvent être supprimés à l’approbation du PV.
CNIL valide un code de conduite RGPD pour le commerce de détail
La CNIL a approuvé le 28 avril 2026 un code de conduite RGPD pour les enseignes d’habillement/chaussure en France. Signal fort pour les retailers, avec exigences auditables et contrôle tiers.
Qilin revendique une cyberattaque contre Exclusive Networks
Le groupe ransomware Qilin affirme avoir compromis Exclusive Networks, grand distributeur européen de cybersécurité. Revendication fin avril 2026; risque de chaîne d’approvisionnement pour des clients au Luxembourg.