Luxembourg renvoyé à la CJUE pour retard de transposition CER

Lead (qui, quoi, où, quand)

Le 29 avril 2026, la Représentation de la Commission au Luxembourg a annoncé la saisine de la Cour de justice de l’Union européenne contre le Grand-Duché pour non‑transposition de la directive (UE) 2022/2557 dite « CER » sur la résilience des entités critiques. Cette directive impose aux États membres d’identifier et de protéger les entités fournissant des services essentiels (énergie, transport, santé, eau potable, infrastructures numériques, etc.). Source

Contexte réglementaire

La directive CER complète NIS2 : elle couvre la résilience « physique et organisationnelle » des entités critiques face aux risques naturels et d’origine humaine (dont les cybermenaces), et prévoit une coordination explicite avec les autorités compétentes NIS2 pour partager informations, risques et résultats de supervision. Les États membres doivent notamment adopter une stratégie nationale de résilience et réaliser une évaluation nationale des risques (échéance initiale : 17 janvier 2026), puis identifier les entités critiques (échéance indicative : 17 juillet 2026). Le défaut de transposition peut conduire, après jugement, à des astreintes financières au titre de l’article 260 TFUE. Texte CER

Ce que ça change pour les entreprises au Luxembourg

• Effet immédiat de pression réglementaire : la procédure contentieuse accélère l’alignement des exigences CER et NIS2. Les opérateurs essentiels et importants (y compris sous-traitants critiques) doivent anticiper des demandes coordonnées des autorités luxembourgeoises (ILR/ANSSI‑LU pour NIS, ministères sectoriels pour CER, CSSF/CAA pour le financier via DORA), avec un renforcement des contrôles documentaires (cartographie des services essentiels, analyses de risques multi‑menaces, tests et plans de continuité, notification d’incidents affectant la continuité de service). Détail
• Portée sectorielle large : la CER couvre 11 secteurs (énergie, transport, santé, eau potable, eaux usées, infrastructures numériques, administration publique, espace, etc.). Les groupes transfrontaliers BE/FR/DE opérant au Luxembourg devront aligner leurs programmes de résilience (site LU) sur des attentes convergentes dans l’UE. Annexe CER
• Convergence des calendriers UE : l’accélération CER intervient alors que les obligations de transparence de l’AI Act arrivent en août 2026, et que les exigences NIS2/DORA continuent de se préciser côté supervision. Pour un dirigeant, l’enjeu est de piloter un programme « résilience opérationnelle » unifié plutôt que des silos (cyber, physique, tiers, continuité). Contexte AI Act

Actions concrètes à entreprendre cette semaine

• Établir (ou mettre à jour) votre registre « services essentiels » au Luxembourg : identifier par site/processus les services dont l’interruption aurait un impact majeur ; associer propriétaires, dépendances critiques (énergie, télécoms, data centers), contrats tiers, et fenêtre de reprise tolérée. Alignez la taxonomie avec l’annexe CER et votre classification NIS2. Référence CER
• Lancer une revue flash « risques tous périls » : consolider une analyse couvrant menaces physiques (incendie, inondation, sabotage), logistiques (rupture fournisseurs), et cyber (ransomware) avec scénarios « cascade » ; rattacher chaque scénario à des mesures de prévention/détection/réponse, tests et preuves (exercices, rapports de test, lessons learned). Guide UE
• Vérifier votre gouvernance inter‑textes : désigner un sponsor exécutif « résilience » ; harmoniser les processus d’alerte/notification et les playbooks entre CER, NIS2 et (si applicable) DORA ; préparer un dossier de conformité prêt à l’audit (stratégie, risk assessment, BIA, plans de continuité, preuves de tests, clauses fournisseurs), et un tableau de bord pour le conseil d’administration. Référence

Sources

• La Commission décide de saisir la CJUE contre le Luxembourg pour non‑transposition de la directive CER
• Directive (UE) 2022/2557 – Résilience des entités critiques

Remarques de calendrier

Publication de la Commission le 29 avril 2026 ; échéances CER rappelées (stratégie et évaluation nationale au 17 janvier 2026 ; identification des entités au 17 juillet 2026). Ces dates aident à prioriser vos travaux et à préparer d’éventuelles demandes des autorités. Contexte

Article generé par la veille réglementaire Luxgap. Pour un accompagnement personnalisé sur ce sujet, contactez-nous.