Considérant 113
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (113) | Les entités relevant du champ d’application de la présente directive devraient être considérées comme relevant de la compétence de l’État membre dans lequel elles sont établies. Toutefois, les fournisseurs de réseaux de communications électroniques publics ou les fournisseurs de services de communications électroniques accessibles au public devraient être considérés comme relevant de la compétence de l’État membre dans lequel ils fournissent leurs services. Les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les entités fournissant des services d’enregistrement de noms de domaine, les fournisseurs de services d’informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux devraient être considérés comme relevant de la compétence de l’État membre dans lequel ils ont leur établissement principal dans l’Union. Les entités de l’administration publique devraient relever de la compétence de l’État membre qui les a établies. Si l’entité fournit des services ou est établie dans plus d’un État membre, elle devrait dès lors relever de la compétence distincte et concurrente de chacun de ces États membres. Les autorités compétentes de ces États membres devraient coopérer, se prêter mutuellement assistance et, s’il y a lieu, mener des actions communes de supervision. Lorsque les États membres exercent leur compétence, ils ne devraient pas imposer de mesures d’exécution ou de sanctions plus d’une fois pour un même comportement, conformément au principe non bis in idem. |
Au Luxembourg, l'ILR (Institut Luxembourgeois de Régulation) est l'autorité competente nationale désignée par la loi du 28 juillet 2023 relative a la cybersécurité (modifiee par la loi du 28 juillet 2025). Toute entité essentielle ou importante établie au Luxembourg, ou dont l'établissement principal UE est au Luxembourg pour les services cloud/DNS/MSP/marketplace, relevé directement de l'ILR pour la désignation, la notification d'incident, l'inspection et les sanctions administratives. En cas de competence concurrente avec une autorité étrangère, l'ILR cooperera via le groupe de cooperation NIS et le réseau CSIRT, et appliquera strictement le principe ne bis in idem.
Pratique Luxgap : si votre groupe a son siège a Luxembourg mais des opérations cyber gérées depuis un autre état membre, documentez explicitement la localisation des décisions de gestion des risques cyber (comite de sécurité, RACI CISO) car c'est ce qui determine in fine si l'ILR ou l'autorité étrangère est l'autorité principale.