Modification du règlement (UE) no 910/2014

Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555

Dans le règlement (UE) no 910/2014, l’article 19 est supprimé avec effet au 18 octobre 2024.

Spécificité Luxembourg

loi luxembourgeoise du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité

Au Luxembourg, la suppression de l'article 19 eIDAS rebascule les prestataires de services de confiance sous la supervision de l'ILR, autorité nationale de cybersécurité, avec la cinematique de notification d'incident propre a NIS 2 (alerte précoce sous 24h, notification sous 72h, rapport final sous un mois) auprès de l'ILR et du CSIRT national. La loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité désigné l'ILR comme autorité competente pour les inspections et les sanctions administratives, qui peuvent atteindre jusqu'à 10 M'EUR ou 2% du chiffre d'affaires mondial pour les entités essentielles.

Pratique Luxgap : verifiez si votre statut de prestataire qualifié vous classe en entité essentielle de l'annexe I et alignez immediatement vos procédures eIDAS sur l'article 21 NIS 2, car l'ecart de conformité court depuis le 18 octobre 2024.

Conseil Luxgap · DPO & CISO

Comment se conformer

Le piège classique

L'article 42 supprime l'article 19 du règlement eIDAS (UE 910/2014) avec effet au 18 octobre 2024. Concrètement, les obligations de sécurité et de notification des incidents des prestataires de services de confiance (signatures électroniques, cachets, horodatage qualifiés, archivage) ne sont plus regies par eIDAS mais basculent dans le régime général NIS 2. Le piège : beaucoup de prestataires luxembourgeois pensaient rester sous le seul contrôle de leur autorité de supervision eIDAS, alors qu'ils deviennent des entités de l'annexe I (infrastructure numérique) supervisées par l'ILR, avec des délais de notification d'incident bien plus stricts. L'ILR sanctionne le retard de notification et l'absence de gestion des risques calquée sur eIDAS, devenue insuffisante.

Ce qui change concrètement pour les prestataires de confiance

Les règles de gestion des risques de sécurité ne sont plus celles de l'article 19 eIDAS mais celles de l'article 21 NIS 2, plus larges (chaîne d'approvisionnement, cryptographie, continuité).
La notification d'incident bascule sur le rythme NIS 2 : alerte précoce sous 24h, notification complète sous 72h, rapport final sous un mois, auprès de l'ILR et du CSIRT national.
Le double régime disparait : ne plus notifier l'incident une seule fois au titre eIDAS, mais respecter la cinematique NIS 2 complète.
La supervision croisée entre l'autorité de contrôle eIDAS et l'ILR doit être cartographiée pour eviter les angles morts.
Les certifications et audits eIDAS existants ne couvrent plus a eux seuls les exigences article 21 NIS 2 : un écart de conformité apparaît des le 18 octobre 2024.

Comment Luxgap automatise ce risque

Notre Luxgap Trust Service Bridge élimine l'angle mort ne de la suppression de l'article 19 eIDAS en reconciliant automatiquement vos obligations historiques eIDAS avec le nouveau régime NIS 2. L'agent IA lit vos politiques de certification, vos rapports d'audit eIDAS et vos journaux d'incidents, puis cartographie précisément ce qui reste couvert et ce qui doit être comble au titre de l'article 21 NIS 2, sans demander a votre RSSI de relire ligne a ligne.

Détecte les écarts entre vos mesures eIDAS existantes et les exigences de gestion des risques de l'article 21 NIS 2 (chaîne d'approvisionnement, cryptographie, continuité).
Génère la cinematique de notification NIS 2 preparametrée (alerte 24h, notification 72h, rapport final un mois) avec modèles prêts a transmettre a l'ILR et au CSIRT national.
Croise vos certificats eIDAS, audits ETSI et journaux Defender ou Sentinel pour matérialiser la couverture réelle de votre service de confiance.
Alerte en temps réel via Teams des qu'un incident remplit les critères de notification NIS 2, avec le compte a rebours réglementaire actif.
Produit un rapport PDF horodate et scelle, opposable a l'ILR lors d'un contrôle, démontrant la migration eIDAS vers NIS 2 article 21.

Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur votre périmètre réel, avec un audit blanc gratuit sous 48h pour mesurer votre exposition avant tout engagement.

Le service Luxgap sur ce sujet

CISO externalisé

Nommé responsable de la sécurité de l'information, notre CISO pilote la politique, la gouvernance, les risques, les audits et les incidents, avec NIS 2 ou DORA quand ils s'appliquent.

Découvrir le mandat CISO

Besoin d'aide sur cet article ?

Notre équipe (juristes + ingénieurs cyber) vous fournit le concret. Réponse sous 24 h ouvrées.

Modification du règlement (UE) no 910/2014

Ils nous font confiance

Avant de discuter