Considérant 20
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (20) | La Commission devrait, en coopération avec le groupe de coopération et après consultation des acteurs concernés, fournir des lignes directrices concernant la mise en œuvre des critères applicables aux microentreprises et aux petites entreprises permettant de déterminer si elles relèvent du champ d’application de la présente directive. La Commission devrait également veiller à ce que des orientations appropriées soient données aux microentreprises et petites entreprises relevant du champ d’application de la présente directive. La Commission devrait, avec l’aide des États membres, fournir aux microentreprises et aux petites entreprises des informations à cet égard. |
Au Luxembourg, c'est l'ILR (Institut Luxembourgeois de Régulation) qui désigné les entités essentielles et importantes en application de la loi du 28 juillet 2023 relative a la cybersécurité (modifiee par la loi du 28 juillet 2025). Les microentreprises et petites entreprises qui opèrent une infrastructure critique (DNS, registrar .lu, prestataire qualifié eIDAS, fournisseur cloud, datacenter Tier IV type LuxConnect ou eBRC) restent dans le champ malgré leur taille, et doivent notifier leur qualification a l'ILR via le portail dedie.
Pratique Luxgap : verifiez votre code NACE et vos activités reelles avec un audit de qualification documente avant la prochaine inspection ILR, car la requalification d'office entraine un rattrapage complet des obligations (gouvernance, gestion des risques, notification d'incident sous 24h) sans période transitoire.
