Considérant 107
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (107) | Lorsqu’il y a lieu de suspecter qu’un incident est lié à des activités criminelles graves au regard du droit de l’Union ou du droit national, les États membres devraient encourager les entités essentielles et importantes, sur la base de leurs procédures pénales applicables conformément au droit de l’Union, à notifier aux autorités répressives compétentes tout incident de ce type. Le cas échéant, et sans préjudice des règles de protection des données à caractère personnel applicables à Europol, il est souhaitable que la coordination entre les autorités compétentes et les autorités répressives de différents États membres soit facilitée par le Centre européen de lutte contre la cybercriminalité (CE3) et l’ENISA. |
Au Luxembourg, la notification pénale des incidents cyber graves passe par le Parquet de Luxembourg ou directement par la Section Nouvelles Technologies de la Police Judiciaire (SPJ-NTECH), sur le fondement des articles 509-1 a 509-7 du Code pénal (accès frauduleux, sabotage informatique, interception). La loi du 28 juillet 2023 relative a la cybersécurité, modifiee par la loi du 28 juillet 2025, confirme que la notification a l'ILR ne dispense pas du depot de plainte pénale, et le CERT gouvernemental GOVCERT.LU peut être saisi en appui forensique pour les entités essentielles.
Pratique Luxgap : etablissez une convention préalable avec le SPJ-NTECH et GOVCERT.LU pour disposer d'un canal direct activable en moins de 2h, indispensable pour préserver les logs volatiles avant remédiation.
