Considérant 130
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (130) | Lorsqu’une amende administrative est imposée à une entité essentielle ou importante qui est une entreprise, le terme «entreprise» devrait, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l’Union européenne. Lorsqu’une amende administrative est imposée à une personne qui n’est pas une entreprise, l’autorité compétente devrait tenir compte, lorsqu’elle examine quel serait le montant approprié de l’amende, du niveau général des revenus dans l’État membre ainsi que de la situation économique de la personne en cause. Il devrait appartenir aux États membres de déterminer si et dans quelle mesure les autorités publiques devraient faire l’objet d’amendes administratives. L’imposition d’une amende administrative n’affecte pas l’exercice d’autres pouvoirs des autorités compétentes ou l’imposition d’autres sanctions prévues dans les dispositions nationales transposant la présente directive. |
Au Luxembourg, la loi du 28 juillet 2023 relative a la cybersécurité, modifiee par la loi du 28 juillet 2025, désigné l'ILR comme autorité competente pour infliger les amendes administratives NIS 2. Le legislateur luxembourgeois a précisé le sort des entités publiques : les communes, ministeres et établissements publics qualifiés d'entités essentielles (administration publique annexe I) sont assujettis aux mesures correctives et aux injonctions de l'ILR, avec un regime d'amende module selon leur nature.
Pratique Luxgap : pour les groupes dont la maison-mere est une holding luxembourgeoise (SOPARFI), documentez préalablement la réalité opérationnelle de chaque filiale (gouvernance, comptes, décisions stratégiques) pour argumenter l'autonomie devant l'ILR et reduire l'assiette de calcul des 2%.
