Considérant 11
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (11) | Certaines entités exercent des activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi, y compris la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière, tout en fournissant également des services de confiance. Les prestataires de services de confiance qui relèvent du champ d’application du règlement (UE) no 910/2014 du Parlement européen et du Conseil (6) devraient relever du champ d’application de la présente directive afin d’assurer le même niveau d’exigences de sécurité et de contrôle que celui qui était précédemment prévu dans ledit règlement à l’égard des prestataires de services de confiance. Dans le droit fil de l’exclusion de certains services spécifiques du règlement (UE) no 910/2014, la présente directive ne devrait pas s’appliquer à la fourniture de services de confiance utilisés exclusivement dans des systèmes fermés résultant du droit national ou d’accords au sein d’un ensemble défini de participants. |
Au Luxembourg, l'ILR est désigné par la loi du 28 juillet 2023 relative a la cybersécurité (modifiee par la loi du 28 juillet 2025) comme autorité competente NIS 2 pour les prestataires de services de confiance, en coordination avec l'ILNAS qui reste l'autorité de supervision eIDAS. Cette dualité impose une double notification en cas d'incident : ILR sous 24h pour le volet NIS 2, ILNAS pour le volet eIDAS.
Pratique Luxgap : nous configurons un workflow de notification dedouble (ILR + ILNAS) avec accuse de reception horodate, pour eviter le piège classique de la notification a une seule autorité qui déclenche la sanction de l'autre.
