Actes juridiques sectoriels de l’Union
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
Actes juridiques sectoriels de l’Union
1. Lorsque des actes juridiques sectoriels de l’Union imposent à des entités essentielles ou importantes d’adopter des mesures de gestion des risques en matière de cybersécurité ou de notifier des incidents importants, et lorsque ces exigences ont un effet au moins équivalent à celui des obligations prévues par la présente directive, les dispositions pertinentes de la présente directive, y compris celles relatives à la supervision et à l’exécution prévues au chapitre VII, ne sont pas applicables auxdites entités. Lorsque des actes juridiques sectoriels de l’Union ne couvrent pas toutes les entités d’un secteur spécifique relevant du champ d’application de la présente directive, les dispositions pertinentes de la présente directive continuent de s’appliquer aux entités non couvertes par ces actes juridiques sectoriels de l’Union.
2. Les exigences visées au paragraphe 1 du présent article sont considérées comme ayant un effet équivalent aux obligations prévues par la présente directive lorsque:
| a) | les mesures de gestion des risques en matière de cybersécurité ont un effet au moins équivalent à celui des mesures prévues à l’article 21, paragraphes 1 et 2; ou |
| b) | l’acte juridique sectoriel de l’Union prévoit un accès immédiat, s’il y a lieu, automatique et direct, aux notifications d’incidents par les CSIRT, les autorités compétentes ou les points de contact uniques en vertu de la présente directive, et lorsque les exigences relatives à la notification des incidents importants sont au moins équivalentes à celles prévues à l’article 23, paragraphes 1 à 6, de la présente directive. |
3. Au plus tard le 17 juillet 2023, la Commission fournit des lignes directrices clarifiant l’application des paragraphes 1 et 2. La Commission réexamine ces lignes directrices à intervalles réguliers. Lors de la préparation de ces lignes directrices, la Commission tient compte de toutes les observations du groupe de coopération et de l’ENISA.
Au Luxembourg, la loi du 28 juillet 2023 relative a la cybersecurite (modifiee par la loi du 28 juillet 2025) transpose l'article 4 et confirme que les entités financieres relevant de DORA sont supervisees par la CSSF (et non par l'ILR) pour leurs obligations cyber, tandis que les operateurs de communications electroniques restent sous l'ILR. La place financiere luxembourgeoise concentre une forte densite d'entités mixtes (PSF de support, fintechs, gestionnaires de fonds avec filiales tech), ce qui rend le mapping article 4 particulièrement sensible : une même adresse a Kirchberg peut abriter 3 entités juridiques relevant de 3 regimes differents.
Pratique Luxgap : nous documentons systématiquement le mapping article 4 dans une note signee par le CISO et validee par le conseil, conservee aupres du registre des risques pour être presentee immediatement lors d'une inspection ILR ou CSSF.