← Toutes les lois

Conformité · Cybersécurité

NIS 2, la directive européenne cybersécurité 2022/2555.

NIS 2 (directive UE 2022/2555) remplace la directive NIS de 2016 et élargit considérablement le périmètre des organisations soumises à des obligations cyber. Au Luxembourg, elle est transposée par la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, en vigueur depuis le 10 mai 2026. Concrètement, ça change quoi pour vous ?

Configurer mon devis → Nous contacter
Explorateur Luxgap
Naviguez les 46 articles, les 144 considérants et les 3 annexes de la loi, avec conseil pratique Luxgap
Explorer les articles → Voir les considérants → Voir les annexes →

Sommaire de la loi

Les 46 articles, dans l’ordre du texte officiel. Chaque article est analysé séparément, avec le texte officiel et le conseil pratique Luxgap.

CHAPITRE I — DISPOSITIONS GÉNÉRALES
CHAPITRE II — CADRES COORDONNÉS EN MATIÈRE DE CYBERSÉCURITÉ
CHAPITRE III — COOPÉRATION AU NIVEAU DE L’UNION ET AU NIVEAU INTERNATIONAL
CHAPITRE IV — MESURES DE GESTION DES RISQUES EN MATIÈRE DE CYBERSÉCURITÉ ET OBLIGATIONS D’INFORMATION
CHAPITRE V — COMPÉTENCE ET ENREGISTREMENT
CHAPITRE VI — PARTAGE D’INFORMATIONS
CHAPITRE VII — SUPERVISION ET EXÉCUTION
CHAPITRE VIII — ACTES DÉLÉGUÉS ET ACTES D’EXÉCUTION
CHAPITRE IX — DISPOSITIONS FINALES

Annexes

Qui est concerné ?

NIS 2 distingue deux catégories : les entités essentielles (EE) et les entités importantes (EI), selon le secteur et la taille.

  • Secteurs hautement critiques (annexe I : en règle générale, entités essentielles si grandes, importantes si moyennes) : énergie, transport, banque, infrastructure de marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion ICT B2B, secteur public, espace.
  • Secteurs critiques (annexe II : en règle générale, entités importantes, moyennes ou grandes) : services postaux et de courrier, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution alimentaires, fabrication (dispositifs médicaux, informatique, électronique, machines, véhicules, transport), fournisseurs numériques, recherche.
  • Seuils (recommandation 2003/361/CE) : moyennes à partir de 50 salariés, ou de plus de 10 M€ de chiffre d'affaires et de bilan ; grandes à partir de 250 salariés, ou de plus de 50 M€ de chiffre d'affaires et de 43 M€ de bilan. Certaines entités sont concernées quelle que soit leur taille (prestataires de services de confiance, fournisseurs de communications électroniques publiques, registres TLD et fournisseurs DNS, administration publique) ; sont alors essentiels, notamment, les prestataires qualifiés, les registres TLD, les fournisseurs DNS et l'administration publique.

Au Luxembourg, l'ILR (Institut Luxembourgeois de Régulation) est l'autorité compétente : il établit la liste des entités essentielles et importantes, reçoit les notifications d'incident, mène les inspections et inflige les sanctions administratives prévues par la loi du 5 mai 2026. Pour le secteur bancaire et les infrastructures des marchés financiers, l'autorité compétente est la CSSF.

Obligations clés

  • Mesures techniques et organisationnelles (article 21) : politique de sécurité, gestion des risques, gestion d'incidents, continuité d'activité (BCP), sécurité de la chaîne d'approvisionnement, sécurité des acquisitions et développements, évaluation de l'efficacité, formation cyber, cryptographie, gestion des identités, communications sécurisées.
  • Notification d'incidents (article 23) : alerte précoce sous 24 h, notification d'incident sous 72 h, rapport final sous 1 mois.
  • Gouvernance et responsabilité des dirigeants (article 20) : la direction approuve les mesures, supervise leur mise en œuvre, et est personnellement responsable en cas de manquement avéré.
  • Enregistrement auprès de l'autorité compétente (ILR, ou CSSF pour la banque et les infrastructures des marchés financiers) : déclaration de l'entité et tenue à jour des informations.

Échéances

La loi luxembourgeoise du 5 mai 2026, publiée au Mémorial A n° 225 le 6 mai 2026, transpose NIS 2 et est en vigueur depuis le 10 mai 2026. Elle abroge la loi du 28 mai 2019, qui transposait la première directive NIS. Les entités concernées devaient s'enregistrer auprès de l'autorité compétente au plus tard le 10 juillet 2026 (deux mois après l'entrée en vigueur, article 11 de la loi) ; celles qui ne l'ont pas fait doivent régulariser sans attendre. Les obligations de gestion des risques et de notification des incidents s'appliquent depuis l'entrée en vigueur.

Sanctions en cas de non-conformité

Sanctions administratives : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles ; 7 millions d'euros ou 1,4 % pour les entités importantes.

Surtout, la directive prévoit la responsabilité personnelle des dirigeants : suspension temporaire d'exercice, interdiction d'occuper des fonctions de direction. C'est nouveau et structurant.

Comment Luxgap vous aide

Notre mandat CISO externalisé couvre l'intégralité des exigences NIS 2 : politique de sécurité, gestion des risques, gestion d'incidents (avec respect des délais 24 h / 72 h / 1 mois), gouvernance, sensibilisation des dirigeants. Nous prenons en charge également l'enregistrement auprès de l'autorité compétente (ILR, ou CSSF pour la banque et les infrastructures des marchés financiers).

Pour les organisations qui ne sont pas certaines d'être concernées, nous réalisons un diagnostic d'éligibilité NIS 2 sous 5 jours ouvrés.

Mettons votre conformité NIS 2 en place.

Configurez votre devis pour un mandat CISO ou un audit NIS 2 ciblé. Réponse sous 24 h ouvrées.

Configurer mon devis →