Considérant 106
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (106) | Afin de simplifier la communication des informations requises en vertu de la présente directive et de réduire la charge administrative pesant sur les entités, les États membres devraient fournir des moyens techniques, tels qu’un point d’entrée unique, des systèmes automatisés, des formulaires en ligne, des interfaces conviviales, des modèles et des plateformes dédiées à l’utilisation des entités, indépendamment du fait qu’elles relèvent ou non du champ d’application de la présente directive, pour la communication des informations pertinentes à transmettre. Le financement de l’Union destiné à soutenir la mise en œuvre de la présente directive, en particulier dans le cadre du programme pour une Europe numérique, établi par le règlement (UE) 2021/694 du Parlement européen et du Conseil (21), pourrait inclure un soutien aux points d’entrée uniques. En outre, les entités se retrouvent souvent dans une situation dans laquelle un incident particulier, en raison de ses caractéristiques, doit être notifié à différentes autorités en raison d’obligations de notification figurant dans différents instruments juridiques. De tels cas créent une charge administrative supplémentaire et pourraient également conduire à des incertitudes en ce qui concerne le format et les procédures de ces notifications. Lorsqu’un point d’entrée unique est établi, les États membres sont encouragés à utiliser également ce point d’entrée unique pour les notifications d’incidents de sécurité requises en vertu d’autres dispositions du droit de l’Union, telles que le règlement (UE) 2016/679 et la directive 2002/58/CE. L’utilisation de ce point d’entrée unique pour la notification des incidents de sécurité au titre du règlement (UE) 2016/679 et de la directive 2002/58/CE ne devrait pas affecter l’application des dispositions du règlement (UE) 2016/679 et de la directive 2002/58/CE, en particulier celles relatives à l’indépendance des autorités qui y sont visées. L’ENISA, en collaboration avec le groupe de coopération, devrait mettre au point des formulaires de notification communs au moyen de lignes directrices pour simplifier et rationaliser les informations à transmettre en vertu du droit de l’Union et réduire la charge administrative pesant sur les entités qui effectuent la notification. |
Au Luxembourg, l'ILR est le point d'entree unique pour les notifications d'incidents NIS 2 via sa plateforme dediee, mais la CNPD conserve son propre canal pour les violations de données personnelles au titre du RGPD article 33, et la CSSF impose sa circulaire 24/847 pour les PSF et établissements de crédit. La loi du 28 juillet 2023 relative a la cybersécurité (modifiee par la loi du 28 juillet 2025) confirme que la notification a l'ILR ne purge pas les obligations déclaratives sectorielles : un même incident dans une banque luxembourgeoise peut donc déclencher trois notifications paralleles distinctes.
Pratique Luxgap : pour les entités duales (NIS 2 + CSSF), nous pre-cablons l'orchestrateur sur les trois formulaires officiels (ILR, CNPD form_breach, CSSF eDesk) et garantissons une chronologie unique opposable lors d'un contrôle croise.