Gouvernance
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
Gouvernance
1. Les États membres veillent à ce que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité prises par ces entités afin de se conformer à l’article 21, supervisent sa mise en œuvre et puissent être tenus responsables de la violation dudit article par ces entités.
L’application du présent paragraphe est sans préjudice du droit national en ce qui concerne les règles en matière de responsabilité applicables aux institutions publiques, ainsi que de responsabilité des agents de la fonction publique et des responsables élus ou nommés.
2. Les États membres veillent à ce que les membres des organes de direction des entités essentielles et importantes soient tenus de suivre une formation et ils encouragent les entités essentielles et importantes à offrir régulièrement une formation similaire aux membres de leur personnel afin que ceux-ci acquièrent des connaissances et des compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l’entité.
Au Luxembourg, c'est l'ILR (Institut Luxembourgeois de Régulation) qui supervise l'application de l'article 20 et qui peut, en cas de manquement caractérisé d'une entité essentielle, prononcer une interdiction temporaire d'exercer des fonctions de direction à l'encontre du dirigeant fautif (article 32 NIS 2 transposé). La loi du 28 juillet 2023 relative à la cybersécurité, modifiée par la loi du 28 juillet 2025, précise que l'approbation des mesures par l'organe de direction doit être documentée et que la formation des dirigeants doit être récurrente, sans fixer de périodicité minimale (interprétation ILR : au moins annuelle).
Pratique Luxgap : pour les entités luxembourgeoises sous double régime NIS 2 et CSSF (banques, PSF, fintechs), nous fusionnons la gouvernance article 20 avec celle de DORA article 5 dans un seul comité cyber trimestriel, pour éviter la duplication des supports et des PV.