Objet
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
Objet
1. La présente directive établit des mesures qui ont pour but d’obtenir un niveau commun élevé de cybersécurité dans l’ensemble de l’Union, afin d’améliorer le fonctionnement du marché intérieur.
2. À cette fin, la présente directive fixe:
| a) | des obligations qui imposent aux États membres d’adopter des stratégies nationales en matière de cybersécurité, de désigner ou de mettre en place des autorités compétentes, des autorités chargées de la gestion des cybercrises, des points de contact uniques en matière de cybersécurité (ci-après dénommés «points de contact uniques») et des centres de réponse aux incidents de sécurité informatique (CSIRT); |
| b) | des mesures de gestion des risques en matière de cybersécurité et des obligations d’information pour les entités d’un type visé à l’annexe I ou II, ainsi que pour les entités recensées en tant qu’entités critiques en vertu de la directive (UE) 2022/2557; |
| c) | des règles et des obligations pour le partage d’informations en matière de cybersécurité; |
| d) | les obligations des États membres en matière de supervision et d’exécution. |
Au Luxembourg, la directive NIS 2 est transposee par la loi du 28 juillet 2023 relative a la cybersecurite, modifiee par la loi du 28 juillet 2025. L'Institut Luxembourgeois de Régulation (ILR) est l'autorité nationale competente : c'est lui qui désigné nominativement les operateurs essentiels et importants, recoit les notifications d'incident (via la plateforme MISP-LU ou son portail dedie), mene les inspections et inflige les sanctions administratives (jusqu'a 10 M EUR ou 2% du CA mondial pour les entités essentielles, 7 M EUR ou 1,4% pour les entités importantes). Le GOVCERT.LU agit comme CSIRT national pour le secteur public et le CIRCL pour le secteur privé.
Pratique Luxgap : verifiez trimestriellement la liste publique des operateurs désignés par l'ILR et conservez une trace ecrite de votre analyse de non-designation, signee par la direction, datee et archivee. C'est la premiere piece exigee lors d'un contrôle ILR si votre statut est conteste.