NIS 2 Luxembourg: livrables sécurité exigés par l’ILR

NIS 2 Luxembourg — nouveaux livrables sécurité. Le 3 août 2026, l’ILR a publié des modèles cadrant les livrables annuels relatifs aux mesures de sécurité (art. 21 NIS 2): description des mesures, analyse de scénarios, plan d’action pluriannuel et, sur demande, liste des dépendances. Voir ILR “Security measures”. https://www.ilr.lu/en/sectors/niss/security-measures/

L’affaire

Depuis la loi du 5 mai 2026 (applicable le 10 mai), l’ILR structure la supervision NIS 2. Le 3 août 2026, l’Institut a mis en ligne des modèles standardisés pour:

• La description des mesures en place
• L’analyse des principaux scénarios de risques cyber
• Le plan d’action pluriannuel
• La liste des dépendances (sur demande ciblée)

Ces modèles encadrent les livrables annuels des entités essentielles; les entités importantes n’y sont astreintes qu’en cas d’indices de non‑conformité. L’ILR rappelle l’assise juridique (art. 12 de la loi, transposition de l’art. 21 NIS 2) et sa capacité à requérir l’analyse de risques détaillée et des preuves d’effectivité. https://www.ilr.lu/en/sectors/niss/security-measures/

Base juridique

• Directive (UE) 2022/2555 (NIS 2), art. 21 et art. 20. https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
• Luxembourg: Loi du 5 mai 2026 (ELI). https://legilux.public.lu/eli/etat/leg/loi/2026/05/05/a225/jo
• Acte d’exécution (UE) 2024/2690 et champs d’entités concernées. https://www.ilr.lu/en/sectors/niss/nis-2/implementing-regulation-nis2/

Raisonnement juridique

1) Portée de l’article 21 NIS 2

• Mesures «appropriées et proportionnées» couvrant tous les réseaux et SI soutenant les activités, approche «tous risques». Précisions au JO: l’obligation vise l’ensemble des opérations et services, au‑delà des seuls actifs «critiques». https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ%3AC%3A2023%3A328%3AFULL
• Dix domaines minimaux (a–j): gouvernance/risques, gestion d’incident, continuité/sauvegardes/crise, chaîne d’approvisionnement, sécurité du cycle de vie + vulnérabilités, évaluation d’efficacité, hygiène/formation, cryptographie, RH/contrôle d’accès/gestion d’actifs, MFA/communications sécurisées. https://digital-strategy.ec.europa.eu/en/faqs/directive-measures-high-common-level-cybersecurity-across-union-nis2-directive-faqs

2) Transposition luxembourgeoise et supervision

• La loi du 5 mai 2026 transpose via l’art. 12. Supervision: ex ante + ex post pour les essentielles; ex post pour les importantes. Livrables annuels: description des mesures, QCM scénarios, plan d’action, et, si requis, liste des dépendances. https://www.ilr.lu/en/sectors/niss/security-measures/
• Compétences: ILR autorité générale; CSSF compétente pour banque et certaines infrastructures, comme rappelé par la Commission. https://digital-strategy.ec.europa.eu/en/policies/nis2-directive-luxembourg

3) Cadres techniques européens

• Pour les entités de l’acte 2024/2690, la Commission/ENISA publient un guide technique: exigences, exemples de preuves, mappings. https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance
• Le Groupe de coopération NIS fournit un document de référence sur les mesures. https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group

Pour un cadrage local, consultez aussi notre page dédiée NIS 2 Luxembourg et rôle de l’ILR ainsi que le volet juridique texte et obligations NIS 2.

Ce que ça change concrètement

• Gouvernance: le COMEX/Conseil approuve et répond des manquements (art. 20). Les modèles ILR objectivent des livrables vérifiables et comparables. https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
• Périmètre intégral: la description couvre toutes les activités soutenues par les SI: IAM/MFA, sauvegardes 3‑2‑1‑x, vulnérabilités, durcissement, journalisation, tests, etc. https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ%3AC%3A2023%3A328%3AFULL
• Analyse de scénarios: le QCM standardise la supervision mais ne remplace pas votre analyse de risques interne (art. 12). Conservez preuves et articulation entre les deux. https://www.ilr.lu/en/sectors/niss/security-measures/
• Chaîne d’approvisionnement: l’ILR peut exiger la liste des dépendances critiques (fournisseurs/infogérants). Cartographiez contrats, localisations, SOC, clauses de notification et tests. https://www.ilr.lu/en/sectors/niss/security-measures/
• Entités «concernées» (cloud, DNS, MSP, etc.): appliquez l’acte 2024/2690 et alignez preuves avec le guide ENISA. https://www.ilr.lu/en/sectors/niss/nis-2/implementing-regulation-nis2/ ; https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance

Pour piloter ces chantiers, un CISO externalisé peut structurer la gouvernance, le registre des actifs et le portefeuille de contrôles alignés sur l’art. 21.

Exemples luxembourgeois

• Hôpital essentiel: démontrer MFA résistante au phishing, segmentation OT/IoMT, inventaire d’actifs, DLP pour transferts avec sous‑traitants (points a, d, j). Basez‑vous sur le guide ENISA pour constituer un dossier de preuves. https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance
• MSP entité concernée: gestion des vulnérabilités et divulgation coordonnée, sauvegardes immuables, surveillance 24/7 et revue d’accès admin (points c, e, g, j), avec indicateurs d’efficacité. https://www.ilr.lu/en/sectors/niss/nis-2/implementing-regulation-nis2/

Pièges fréquents

1. Confondre QCM ILR et analyse interne: le QCM ne remplace pas votre méthode; l’ILR peut demander l’analyse détaillée et les preuves. https://www.ilr.lu/en/sectors/niss/security-measures/
2. Réduire le périmètre aux «services essentiels»: contraire à l’art. 21(1); l’obligation couvre toutes les opérations soutenues par les SI. https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ%3AC%3A2023%3A328%3AFULL
3. Négliger la chaîne d’approvisionnement: sans cartographie fournisseur, difficile de prouver la maîtrise des risques et de répondre aux demandes ciblées. https://www.ilr.lu/en/sectors/niss/security-measures/
4. Plan d’action sans priorisation: il doit découler de l’analyse de risques et des évaluations d’efficacité (art. 21(2)(f)). Le guide ENISA fournit des exemples utiles. https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance
5. Oublier l’organe de direction: approbation/supervision exigées; tenez procès‑verbaux et KPI. https://digital-strategy.ec.europa.eu/en/policies/nis2-directive

Sources officielles

• ILR — NIS 2 (modèles, régime). https://www.ilr.lu/en/sectors/niss/security-measures/
• ILR — Acte d’exécution 2024/2690. https://www.ilr.lu/en/sectors/niss/nis-2/implementing-regulation-nis2/
• ENISA — NIS2 Technical Implementation Guidance. https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance
• Commission — NIS 2 (référence et FAQ). https://digital-strategy.ec.europa.eu/en/policies/nis2-directive ; https://digital-strategy.ec.europa.eu/en/faqs/directive-measures-high-common-level-cybersecurity-across-union-nis2-directive-faqs
• JO — précisions art. 21(1). https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ%3AC%3A2023%3A328%3AFULL
• Legilux — Loi du 5 mai 2026. https://legilux.public.lu/eli/etat/leg/loi/2026/05/05/a225/jo
• Commission — NIS 2 Luxembourg (ILR/CSSF). https://digital-strategy.ec.europa.eu/en/policies/nis2-directive-luxembourg

Remarque pratique: les modèles ILR (3 août 2026) constituent un référentiel de preuve. Alignez comités risques, registre des actifs et contrôles sur l’art. 21(2)(a–j), puis renseignez les modèles avec des indicateurs d’effectivité. Pour structurer continuité et crise, voyez nos offres plan de continuité et DRP.

Article d'expertise Luxgap. Pour un cadrage personnalisé sur ce sujet, contactez-nous ou configurez votre devis en ligne.