Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
CSSF 26/914: supervision AMLA — l’inventaire TIC devient vital
La CSSF 26/914 identifie les entités éligibles à la supervision directe d’AMLA. Gouvernance et traçabilité se durcissent: un inventaire/CMDB fiable et continu devient indispensable pour prouver vos contrôles NIS 2/ISO 27001.
NIS 2 et supply chain: le « Toolbox » européen change la donne
Adopté le 13/02/2026, le « EU ICT Supply Chain Security Toolbox » devient le référentiel opérationnel pour l’article 21(2)(d) NIS 2. Au Luxembourg, l’ILR contrôlera sa mise en pratique par les entités.
AI Act: 22 juillet — dernière chance pour signer le Code transparence IA
L’UE publiera avant le 2 août 2026 une première liste de signataires du Code transparence IA. Pour y figurer, déposez votre dossier d’ici le 22 juillet 2026, 18:00 CEST. Dirigeants luxembourgeois: plan d’action en 7 jours.
ILR — Consultation CP/N26/2 et notification NIS 2 en 24 h
L’ILR consulte sur les modalités nationales de notification NIS 2 (CP/N26/2). Voici le cadre, les exigences 24/72/30 et la pile SIEM/SOC pour notifier en 24 h sans stress.
IQVIA: 5 M€ et données de santé — l’art. 9 RGPD sous tension
La CNIL inflige 5 M€ à IQVIA France pour des manquements sur des entrepôts de données de santé. Enseignement clé au Luxembourg: des données « pseudonymisées » restent des données de santé (art. 9 RGPD) et exigent une base légale et des garanties effectives.
KDDI: 12,23 M d’emails et 7,62 M de mots de passe compromis
Le 7 juillet 2026, KDDI a confirmé l’accès non autorisé à ~12,233 M d’emails et ~7,616 M de mots de passe sur sa plateforme email d’ISP. Un cas emblématique de supply chain qui interpelle les entreprises européennes.
Rapport CNPD 2025 : 846 réclamations (+40 %), l'essentiel à retenir au Luxembourg
Rapport annuel CNPD 2025 : 846 réclamations (+40 % en un an), 425 notifications de violations (dont 49 % d'erreur humaine), 59 enquêtes, 16 avis. Le virage vers une régulation fondée sur les risques, l'IA en priorité, et 5 actions concrètes pour DPO et CISO au Luxembourg.
CSSF 25/893: notifier un incident majeur en 4h grâce à l’EDR/XDR
La circulaire CSSF 25/893 formalise le reporting DORA des incidents TIC majeurs et cybermenaces significatives. Une pile EDR/XDR bien réglée accélère détection, qualification et notification en 4h/72h/1 mois.
NIS 2 au Luxembourg: responsabilité des dirigeants et formation obligatoire
Depuis le 5 mai 2026, la loi NIS 2 luxembourgeoise impose aux organes de gestion d’approuver et de superviser les mesures de cybersécurité, et de se former. Les sanctions peuvent être lourdes et la direction est explicitement visée.
Nextcloud: 367 000 enregistrements exposés (factures, e‑mails, scripts)
Cybernews révèle une base ElasticSearch Nextcloud exposée contenant ~367 000 enregistrements (≈8 Go) d’employés et de clients: factures, e‑mails et scripts. L’exposition a été fermée le 27 mai 2026.
RGPD : AssuranceAmerica, 6,99 M de conducteurs exposés
AssuranceAmerica confirme l’exfiltration de données de 6,99 M de personnes. Voici comment une DLP cloud/SaaS limite l’impact et matérialise la preuve attendue par l’article 32 du RGPD.
France Travail: 5 M€ pour sécurité inadaptée (art. 32 RGPD)
Le 22 janvier 2026, la CNIL a infligé 5 M€ à France Travail pour manquements à l’article 32 RGPD. Enjeu clé: prouver la proportionnalité des mesures de sécurité et leur efficacité, notamment au Luxembourg.