Le piège classique
Le considérant 23 est la clé de lecture de l'articulation lex specialis entre NIS 2 et les regimes sectoriels (DORA pour la finance, le règlement sur la résilience des entités critiques, le code des communications électroniques). En pratique, l'ILR sanctionné deux erreurs symetriques : croire qu'on est couvert par DORA et donc exempte de NIS 2 alors qu'une filiale du groupe est hors champ DORA, ou inversement appliquer NIS 2 a une entité financiere reguleee CSSF qui relevé intégralement de DORA. Les groupes mixtes (holding industrielle + filiale fintech + datacenter) sont les premieres victimes de ce mille-feuille.
Le test 'effet au moins equivalent' : la grille d'analyse a documenter
Pour chaque entité du groupe, le considérant 23 impose une cartographie réglementaire formalisee. L'ILR attend que vous puissiez justifier, entité par entité, quel regime s'applique et pourquoi :
- Identifier le secteur de chaque entité juridique (annexes I et II NIS 2) et vérifier l'existence d'un acte sectoriel UE qui couvre cette entité spécifiquement.
- Réaliser le test d'equivalence sur les deux piliers : mesures de gestion des risques (article 21 NIS 2) et notification d'incidents (article 23 NIS 2).
- Vérifier l'equivalence du regime de supervision et de sanction, pas seulement des obligations substantielles.
- Documenter le raisonnement dans un memo opposable, signe par la direction juridique, mis à jour a chaque évolution du périmètre du groupe.
- Pour les zones grises (TIC dans une banque : DORA ou NIS 2 ?), retenir la règle de la disposition la plus stricte par defaut, en attendant la position formelle de l'ILR ou de la CSSF.
- Tracer les entités non couvertes par un acte sectoriel : elles retombent automatiquement sous NIS 2 sans regime transitoire.
Comment Luxgap automatise ce risque
Notre Luxgap Regulatory Mapper elimine la zone grise réglementaire en cartographiant automatiquement, pour chaque entité juridique de votre groupe, le regime cyber applicable et en produisant le memo d'equivalence opposable a l'ILR. L'outil interroge le registre RCS luxembourgeois, le registre CSSF, la base ESMA et vos données Odoo ou SAP pour reconstituer la structure du groupe, puis croise chaque entité avec une matrice juridique à jour des actes sectoriels UE (DORA, CER, EECC, eIDAS 2).
- Scanne automatiquement votre structure de groupe via les registres officiels (RCS, CSSF, BaFin, AMF) et reconstruit l'organigramme réglementaire entité par entité.
- Applique le test du considérant 23 sur chaque entité en comparant les obligations sectorielles a l'article 21 et 23 NIS 2, point par point, avec un score d'equivalence motive.
- Detecte les ruptures de couverture, ces entités du groupe qui ne sont couvertes par aucun acte sectoriel et basculent automatiquement sous NIS 2.
- Alerte en temps reel via Teams ou Slack des qu'un nouvel acte délégué UE ou un avis ILR modifie le périmètre d'equivalence.
- Genere un memo juridique horodate, signe cryptographiquement, opposable lors d'un contrôle ILR ou CSSF, qui justifie le regime retenu pour chaque entité.
- Suit la position des autorités (ILR, CSSF, ENISA, AEMF) sur les zones grises et propose un arbitrage pragmatique fonde sur la disposition la plus stricte.
Disponible en complement d'un mandat CISO Luxgap ou en brique SaaS dediee selon la taille de votre groupe. Demandez un devis personnalise et nos équipes preparent une cartographie réglementaire gratuite sous 48h sur votre périmètre reel, pour materialiser les zones de double couverture avant tout engagement.
