Considérant 103
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (103) | Le cas échéant, les entités essentielles et importantes devraient informer sans retard injustifié les destinataires de leurs services de toute mesure ou correction qu’elles peuvent appliquer pour atténuer les risques découlant d’une cybermenace importante. Lorsque cela est approprié, et en particulier lorsque la cybermenace importante est susceptible de se concrétiser, ces entités devraient également informer les destinataires de leurs services de la menace en question. L’obligation qui est faite aux entités d’informer les destinataires des cybermenaces importantes devrait être respectée par les entités dans toute la mesure du possible mais ne saurait les dispenser de l’obligation de prendre immédiatement, à leurs frais, les mesures appropriées pour prévenir ou remédier à toute menace pour la sécurité et pour rétablir le niveau normal de sécurité du service. La fourniture de telles informations aux destinataires du service au sujet des cybermenaces importantes devrait être gratuite et formulée dans un langage facile à comprendre. |
Au Luxembourg, l'ILR (Institut Luxembourgeois de Régulation) est l'autorité competente qui contrôle le respect de l'obligation d'information aux destinataires. La loi du 28 juillet 2023 relative a la cybersécurité, modifiee par la loi du 28 juillet 2025, transpose cette exigence et permet a l'ILR d'exiger formellement, par instruction, qu'une entité essentielle ou importante informe ses clients d'une menacé spécifique. Le multilinguisme luxembourgeois (FR/DE/LU/EN/PT) renforce l'exigence d'intelligibilite : un avis uniquement en anglais a une clientele residente sera considéré comme non conforme.
Pratique Luxgap : préparer en amont des gabarits d'avis client multilingues (FR/DE/LU/EN/PT) valides par votre DPO et votre service juridique, pour pouvoir déclencher la communication en moins de 4 heures après qualification d'une menacé par le SOC.
