Considérant 14
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (14) | Le droit de l’Union en matière de protection des données et le droit de l’Union en matière de protection de la vie privée s’appliquent à tout traitement de données à caractère personnel au titre de la présente directive. En particulier, la présente directive est sans préjudice du règlement (UE) 2016/679 du Parlement européen et du Conseil (8) et de la directive 2002/58/CE du Parlement européen et du Conseil (9). La présente directive ne devrait donc pas porter atteinte, entre autres, aux tâches et aux compétences des autorités compétentes pour contrôler le respect du droit de l’Union applicable en matière de protection des données et de protection de la vie privée. |
Au Luxembourg, la coexistence de l'ILR (autorité competente NIS 2 désignée par la loi du 28 juillet 2023 relative a la cybersécurité, modifiee par la loi du 28 juillet 2025) et de la CNPD (autorité RGPD) impose une double notification effective pour tout incident de sécurité impliquant des données personnelles. La loi de transposition luxembourgeoise reprend les délais NIS 2 (alerte précoce 24h, notification 72h, rapport final 1 mois) sans deroger au délai RGPD 72h applicable en parallele.
Pratique Luxgap : etablissez une procédure d'incident unique qui déclenche les deux notifications ILR et CNPD à partir du même événement, avec un mapping des champs commun pour eviter les contradictions entre les deux dossiers (qui se croisent en cas de contrôle).
