Objet
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
Objet
1. La présente directive établit des mesures qui ont pour but d’obtenir un niveau commun élevé de cybersécurité dans l’ensemble de l’Union, afin d’améliorer le fonctionnement du marché intérieur.
2. À cette fin, la présente directive fixe:
| a) | des obligations qui imposent aux États membres d’adopter des stratégies nationales en matière de cybersécurité, de désigner ou de mettre en place des autorités compétentes, des autorités chargées de la gestion des cybercrises, des points de contact uniques en matière de cybersécurité (ci-après dénommés «points de contact uniques») et des centres de réponse aux incidents de sécurité informatique (CSIRT); |
| b) | des mesures de gestion des risques en matière de cybersécurité et des obligations d’information pour les entités d’un type visé à l’annexe I ou II, ainsi que pour les entités recensées en tant qu’entités critiques en vertu de la directive (UE) 2022/2557; |
| c) | des règles et des obligations pour le partage d’informations en matière de cybersécurité; |
| d) | les obligations des États membres en matière de supervision et d’exécution. |
Au Luxembourg, c'est l'ILR (Institut Luxembourgeois de Régulation) qui désigne les opérateurs essentiels et importants, recoit les notifications d'incident, mene les inspections et inflige les sanctions administratives. La loi du 28 juillet 2023 relative a la cybersécurité, modifiée par la loi du 28 juillet 2025, transpose NIS 2 en droit national et précise le mécanisme d'identification des entités assujetties.
Pratique Luxgap : faites valider votre qualification entité essentielle ou importante au regard de la loi LU avant toute notification a l'ILR, car le régime de supervision et le plafond de sanction (jusqu'à 10 M'EUR ou 2% du chiffre d'affaires mondial pour les entités essentielles) en dépendent directement.
