Considérant 15
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (15) | Les entités qui relèvent du champ d’application de la présente directive aux fins du respect des mesures de gestion des risques en matière de cybersécurité et des obligations d’information devraient être classées en deux catégories, entités essentielles et entités importantes, en fonction de la mesure dans laquelle elles sont critiques au regard du secteur ou du type de service qu’elles fournissent, ainsi que de leur taille. À cet égard, il convient de tenir dûment compte, le cas échéant, de toute évaluation des risques ou orientation sectorielle pertinente réalisée par les autorités compétentes. Les régimes de supervision et d’exécution applicables à ces deux catégories d’entités devraient être différenciés afin de garantir un juste équilibre entre les exigences et les obligations basées sur les risques, d’une part, et la charge administrative qui découle du contrôle de la conformité, d’autre part. |
Au Luxembourg, la loi du 28 juillet 2023 relative a la cybersécurité (modifiee par la loi du 28 juillet 2025) confie a l'ILR la competence exclusive de désigner formellement les operateurs essentiels et importants. La désignation prend la forme d'une décision individuelle notifiée, qui déclenche l'obligation d'enregistrement dans le registre national des entités NIS 2 dans les 30 jours. L'auto-classification ne suffit pas : il faut une décision ILR confirmant la catégorie.
Pratique Luxgap : nous preparons le dossier de qualification (note argumentee, organigramme groupe, NACE, seuils) que vous transmettez proactivement a l'ILR pour eviter une requalification surprise lors d'un contrôle inopine.
