Registre des entités
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
Registre des entités
1. L’ENISA crée et tient, sur la base des informations reçues des points de contact uniques conformément au paragraphe 4, un registre des fournisseurs de services DNS, des registres des noms de domaine de premier niveau, des entités qui fournissent des services d’enregistrement de noms de domaine, des fournisseurs de services d’informatique en nuage, des fournisseurs de services de centres de données, des fournisseurs de réseaux de diffusion de contenu, des fournisseurs de services gérés, des fournisseurs de services de sécurité gérés, ainsi que des fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux. Sur demande, l’ENISA permet aux autorités compétentes d’accéder à ce registre, tout en veillant à ce que la confidentialité des informations soit protégée, s’il y a lieu.
2. Les États membres demandent aux entités visées au paragraphe 1 de soumettre les informations suivantes aux autorités compétentes au plus tard le 17 janvier 2025:
| a) | le nom de l’entité; |
| b) | les secteur, sous-secteur et type d’entité concernés, visés à l’annexe I ou II, le cas échéant; |
| c) | l’adresse de l’établissement principal de l’entité et de ses autres établissements légaux dans l’Union ou, si elle n’est pas établie dans l’Union, de son représentant désigné conformément à l’article 26, paragraphe 3; |
| d) | les coordonnées actualisées, y compris les adresses de courrier électronique et les numéros de téléphone de l’entité et, le cas échéant, de son représentant désigné conformément à l’article 26, paragraphe 3; |
| e) | les États membres dans lesquels l’entité fournit des services; et |
| f) | les plages d’IP de l’entité. |
3. Les États membres veillent à ce que les entités visées au paragraphe 1 notifient à l’autorité compétente toute modification des informations qu’elles ont communiquées en vertu du paragraphe 2 sans tarder et, en tout état de cause, dans un délai de trois mois à compter de la date de la modification.
4. À la réception des informations visées aux paragraphes 2 et 3, à l’exception des informations visées au paragraphe 2, point f), le point de contact unique de l’État membre concerné les transmet sans retard injustifié à l’ENISA.
5. S’il y a lieu, les informations visées aux paragraphes 2 et 3 du présent article sont communiquées via le mécanisme national visé à l’article 3, paragraphe 4, quatrième alinéa.
Au Luxembourg, l'autorité competente pour recevoir l'enregistrement article 27 et ses mises a jour est l'ILR (Institut Luxembourgeois de Régulation), désigné par la loi du 28 juillet 2023 relative a la cybersecurite (modifiee par la loi du 28 juillet 2025). L'ILR a mis en place un guichet electronique dedie pour le depot initial et les notifications de modification dans le délai de 3 mois prevu a l'article 27(3). Le non-enregistrement ou un registre obsolete expose a des sanctions administratives pouvant aller jusqu'a 7 millions d'euros ou 1,4% du chiffre d'affaires mondial pour les entités importantes, et 10 millions d'euros ou 2% pour les entités essentielles.
Pratique Luxgap : nous parametrons l'export Luxgap NIS2 Registry Sync au format CSV attendu par le guichet ILR et synchronisons les notifications de modification avec le mécanisme national de l'article 3(4) sans intervention manuelle.
