Considérant 128
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (128) | La présente directive n’impose pas aux États membres de prévoir une responsabilité pénale ou civile à l’égard des personnes physiques chargées de veiller à ce qu’une entité se conforme à la présente directive pour les dommages subis par des tiers du fait d’une violation de la présente directive. |
Au Luxembourg, la loi du 28 juillet 2023 relative a la cybersécurité (modifiee par la loi du 28 juillet 2025) ne cree pas de responsabilité pénale ou civile personnelle des dirigeants envers les tiers, conformément a ce considérant 128. Cependant, l'article 1382 du Code civil luxembourgeois (responsabilité civile delictuelle), les articles 59 et 192-1 de la loi du 10 aout 1915 sur les sociétés commerciales (faute de gestion, responsabilité envers les actionnaires et les tiers) et l'article 418 du Code pénal (homicide ou blessures involontaires par négligence en cas d'incident a impact physique) restent pleinement applicables a titre individuel. L'ILR conserve le pouvoir de sanctionner administrativement l'entité essentielle ou importante.
Pratique Luxgap : exigez un PV horodate de chaque approbation board des mesures article 20, deposez les delegations cyber au RCS quand elles modifient la répartition des pouvoirs statutaires, et verifiez que votre police D&O couvre explicitement les sanctions NIS 2 et les actions civiles consecutives.
