Considérant 132
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (132) | Lorsque la présente directive n’harmonise pas les sanctions administratives ou, si nécessaire dans d’autres circonstances, par exemple en cas de violation grave de la présente directive, les États membres devraient mettre en œuvre un système qui prévoit des sanctions effectives, proportionnées et dissuasives. La nature de ces sanctions et le fait qu’elles soient pénales ou administratives devraient être déterminés par le droit national. |
Au Luxembourg, la loi du 28 juillet 2023 relative a la cybersécurité, modifiee par la loi du 28 juillet 2025, articule le regime de sanctions NIS 2 autour de l'ILR pour le volet administratif, avec possibilite de transmission au parquet en cas de qualification pénale (entrave a contrôle, fausse déclaration, dissimulation d'incident). Les dirigeants des entités essentielles peuvent être tenus personnellement responsables sur la base du droit pénal des affaires luxembourgeois, en complement des amendes administratives plafonnees a 10 M'EUR ou 2% du CA mondial.
Pratique Luxgap : nous recommandons de documenter formellement, dans une charte de gouvernance approuvee par le conseil, le processus d'escalade incident et la chaîne de notification ILR sous 24h / 72h, pour neutraliser le risque de requalification en violation grave ou en dissimulation lors d'un contrôle ILR.
