Assistance mutuelle
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
Assistance mutuelle
1. Lorsqu’une entité fournit des services dans plusieurs États membres, ou fournit des services dans un ou plusieurs États membres alors que ses réseaux et systèmes d’information sont situés dans un ou plusieurs autres États membres, les autorités compétentes des États membres concernés coopèrent et se prêtent mutuellement assistance si nécessaire. Cette coopération suppose, au minimum:
| a) | que les autorités compétentes appliquant des mesures de supervision ou d’exécution dans un État membre informent et consultent, par l’intermédiaire du point de contact unique, les autorités compétentes des autres États membres concernés en ce qui concerne les mesures de supervision et d’exécution prises; |
| b) | qu’une autorité compétente puisse demander à une autre autorité compétente de prendre des mesures de supervision ou d’exécution; |
| c) | qu’une autorité compétente, dès réception d’une demande motivée d’une autre autorité compétente, fournisse à l’autre autorité compétente une assistance mutuelle proportionnée à ses propres ressources afin que les mesures de supervision ou d’exécution puissent être mises en œuvre de manière effective, efficace et cohérente. |
L’assistance mutuelle visée au premier alinéa, point c), peut porter sur des demandes d’informations et des mesures de contrôle, y compris des demandes de procéder à des inspections sur place, à des contrôles à distance ou à des audits de sécurité ciblés. Une autorité compétente à laquelle une demande d’assistance est adressée ne peut refuser cette demande que s’il est établi que l’autorité n’est pas compétente pour fournir l’assistance demandée, que l’assistance demandée n’est pas proportionnée aux tâches de supervision de l’autorité compétente ou que la demande concerne des informations ou implique des activités dont la divulgation ou l’exercice seraient contraires aux intérêts essentiels de la sécurité nationale, la sécurité publique ou la défense de cet État membre. Avant de refuser une telle demande, l’autorité compétente consulte les autres autorités compétentes concernées ainsi que, à la demande de l’un des États membres concernés, la Commission et l’ENISA.
2. Le cas échéant et d’un commun accord, les autorités compétentes de différents États membres peuvent mener à bien des actions communes de supervision.
Au Luxembourg, l'ILR est désigné par la loi du 28 juillet 2023 relative a la cybersecurite comme autorité competente et point de contact unique au sens de l'article 8 de NIS 2. C'est donc l'ILR qui recoit les demandes d'assistance mutuelle des autorités homologues (CCB belge, ANSSI française, BSI allemand) et qui peut imposer une inspection sur place a une entité essentielle ou importante établie au Luxembourg, même a la demande d'un autre Etat membre. Le HCPN (Haut-Commissariat a la Protection nationale) reste implique pour les aspects de sécurité nationale qui peuvent justifier un refus d'assistance au titre de l'article 37(1) dernier alinea.
Pratique Luxgap : pour les groupes avec holding luxembourgeoise et filiales opérationnelles dans d'autres Etats membres, préparer en amont un dossier d'assistance mutuelle pre-rempli au format attendu par l'ILR, avec mapping clair des données hébergées chez eBRC, LuxConnect ou POST Luxembourg, evite les délais de reponse qui aggravent la qualification de manquement.