NIS 2 Luxembourg : loi du 5 mai 2026 publiee, auto-enregistrement ILR jusqu'au 10 juillet 2026

La loi du 5 mai 2026 portant transposition de la directive (UE) 2022/2555 dite NIS 2 a ete publiee au Journal officiel du Grand-Duche le 6 mai 2026 (memorial A n. 225). Le texte est entre en vigueur le 10 mai 2026. Pour les entreprises concernees, le compte a rebours legal a commence.

L'essentiel a retenir

Premier point cle : un delai legal de deux mois s'est ouvert pour l'auto-enregistrement aupres de l'Institut luxembourgeois de regulation (ILR), autorite competente designee pour superviser les operateurs NIS 2 au Luxembourg. Cette obligation arrive a echeance le 10 juillet 2026. Toutes les entites visees doivent se declarer via le portail dedie : ilr.lu/secteurs-activites/niss/nis-2.

L'auto-enregistrement n'est pas une simple formalite : il declenche l'identification officielle de votre organisation comme entite essentielle (EE) ou entite importante (EI), et conditionne ensuite l'exercice des controles, des obligations de reporting d'incident, et la formule de calcul des sanctions.

Qui est concerne ?

La loi distingue deux categories d'assujettis sur la base des criteres de la directive :

• Entites essentielles : grandes entreprises (250 salaries ou plus, ou plus de 50 M€ de chiffre d'affaires et plus de 43 M€ de bilan) des 11 secteurs hautement critiques de l'annexe I (energie, transports, secteur bancaire, infrastructures des marches financiers, sante, eau potable, eaux usees, infrastructure numerique, gestion des services TIC interentreprises, administration publique, espace) ; s'y ajoutent notamment, quelle que soit leur taille, les entites de l'administration publique, les prestataires de services de confiance qualifies, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS.
• Entites importantes : en regle generale, les autres entites concernees, a partir de la taille moyenne (50 salaries ou plus, ou plus de 10 M€ de chiffre d'affaires et de bilan) : notamment les entreprises moyennes de ces 11 secteurs, et entreprises moyennes ou grandes des 7 autres secteurs critiques de l'annexe II (services postaux et d'expedition, gestion des dechets, produits chimiques, denrees alimentaires, fabrication, fournisseurs numeriques, recherche).

Selon l'ILR, entre 1 500 et 2 000 entites pourraient etre concernees au Luxembourg (estimation donnee le 6 juillet 2026, rapportee par Paperjam). Chaque organisation qui remplit les criteres doit s'enregistrer elle-meme (article 11 de la loi) : l'auto-enregistrement est une obligation positive.

Ce qu'il faut preparer pour s'enregistrer

Concretement, le formulaire ILR demande :

• Identification de l'entreprise (RCS, secteur d'activite NACE, effectifs, CA).
• Coordonnees d'un point de contact securite (souvent le CISO ou RSSI), avec adresse mail et telephone joignables 24/7.
• Liste des services critiques fournis et des sites d'exploitation au Luxembourg.
• Si applicable, identification du representant europeen (pour les entites non etablies dans l'UE).

Avant de remplir le formulaire, prevoyez en interne une nomination formelle du responsable cyber, voire la designation d'un mandat externe de CISO si la fonction n'est pas dotee. La loi engage la responsabilite personnelle des dirigeants en cas de manquement (article 20 de la directive).

Apres l'enregistrement : les obligations declenchees

L'auto-enregistrement n'est que le point d'entree. Une fois identifie, l'operateur doit :

• Mettre en place une politique de gestion des risques cyber (article 21 de la directive) couvrant 10 mesures minimales : analyse des risques, gestion incidents, continuite d'activite, securite chaine d'approvisionnement, securite acquisition et developpement, evaluation efficacite des mesures, hygiene cyber et formation, cryptographie, securite RH et acces, MFA.
• Mettre en place un dispositif de notification d'incident a l'ILR (a la CSSF pour les infrastructures numeriques et services TIC qu'elle surveille) : notification preliminaire sous 24 heures, notification d'incident sous 72 heures, rapport final au plus tard un mois apres celle-ci ; un rapport intermediaire peut etre demande entre-temps. Banques et infrastructures des marches financiers : notification selon DORA.
• Faire valider par l'organe de direction (conseil d'administration ou direction generale) la politique cyber. Les dirigeants doivent suivre une formation cyber.
• Auditer la chaine d'approvisionnement TIC et inserer des clauses NIS 2 dans les contrats avec les prestataires critiques.

Sanctions en cas de manquement

La loi de transposition reprend les plafonds prevus par la directive. Pour les entites essentielles : amende administrative jusqu'a 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le plus eleve. Pour les entites importantes : jusqu'a 7 millions d'euros ou 1,4 % du CA mondial.

S'y ajoutent des mesures correctrices a effet immediat (injonctions, suspension temporaire de certification, voire d'activite) et la responsabilite personnelle des dirigeants (sanctions individuelles, interdiction temporaire d'exercer une fonction de direction dans le secteur concerne).

Comment Luxgap accompagne

Le delai de 8 semaines est court pour des organisations qui demarrent. Notre approche CISO externe couvre la sequence complete : nomination d'un responsable cyber declare a l'ILR, redaction de la politique de gestion des risques, mise en place du dispositif d'alerte 24h, audit supply chain, formation conseil d'administration.

Pour les entites financieres (notamment banques, entreprises d'investissement, gestionnaires de fonds, assurances), c'est DORA (applicable depuis le 17 janvier 2025) qui fixe la gestion des risques TIC et la notification des incidents ; pour celles qui relevent aussi de NIS 2 (banques, infrastructures des marches financiers), il remplace les dispositions correspondantes de la loi NIS 2 (article 1er, paragraphe 8, de la loi ; DORA, article 1er, paragraphe 2). Notre mandat CISO Luxembourg traite les deux cadres dans un seul programme.

Liens utiles

• Texte officiel de la loi du 5 mai 2026 (Memorial A 225 du 6 mai 2026)
• Portail ILR NIS 2 et auto-enregistrement
• Directive (UE) 2022/2555 (NIS 2)
• Notre fiche pratique NIS 2