Le piège classique
Le considérant 23 est la clé de lecture de l'articulation lex specialis entre NIS 2 et les régimes sectoriels (DORA pour la finance, le règlement sur la résilience des entités critiques, le code des communications électroniques). En pratique, l'ILR sanctionné deux erreurs symetriques : croire qu'on est couvert par DORA et donc exempte de NIS 2 alors qu'une filiale du groupe est hors champ DORA, ou inversement appliquer NIS 2 a une entité financière reguleée CSSF qui relevé intégralement de DORA. Les groupes mixtes (holding industrielle + filiale fintech + datacenter) sont les premières victimes de ce mille-feuille.
Le test 'effet au moins equivalent' : la grille d'analyse a documenter
Pour chaque entité du groupe, le considérant 23 impose une cartographie réglementaire formalisée. L'ILR attend que vous puissiez justifier, entité par entité, quel régime s'applique et pourquoi :
- Identifier le secteur de chaque entité juridique (annexes I et II NIS 2) et vérifier l'existence d'un acte sectoriel UE qui couvre cette entité spécifiquement.
- Réaliser le test d'equivalence sur les deux piliers : mesures de gestion des risques (article 21 NIS 2) et notification d'incidents (article 23 NIS 2).
- Vérifier l'equivalence du régime de supervision et de sanction, pas seulement des obligations substantielles.
- Documenter le raisonnement dans un memo opposable, signe par la direction juridique, mis à jour a chaque évolution du périmètre du groupe.
- Pour les zones grises (TIC dans une banque : DORA ou NIS 2 ?), retenir la règle de la disposition la plus stricte par défaut, en attendant la position formelle de l'ILR ou de la CSSF.
- Tracer les entités non couvertes par un acte sectoriel : elles retombent automatiquement sous NIS 2 sans régime transitoire.
Comment Luxgap automatise ce risque
Notre Luxgap Regulatory Mapper élimine la zone grise réglementaire en cartographiant automatiquement, pour chaque entité juridique de votre groupe, le régime cyber applicable et en produisant le memo d'equivalence opposable a l'ILR. L'outil interroge le registre RCS luxembourgeois, le registre CSSF, la base ESMA et vos données Odoo ou SAP pour reconstituer la structure du groupe, puis croise chaque entité avec une matrice juridique à jour des actes sectoriels UE (DORA, CER, EECC, eIDAS 2).
- Scanne automatiquement votre structure de groupe via les registres officiels (RCS, CSSF, BaFin, AMF) et reconstruit l'organigramme réglementaire entité par entité.
- Applique le test du considérant 23 sur chaque entité en comparant les obligations sectorielles a l'article 21 et 23 NIS 2, point par point, avec un score d'equivalence motive.
- Détecte les ruptures de couverture, ces entités du groupe qui ne sont couvertes par aucun acte sectoriel et basculent automatiquement sous NIS 2.
- Alerte en temps réel via Teams ou Slack des qu'un nouvel acte délégué UE ou un avis ILR modifie le périmètre d'equivalence.
- Génère un memo juridique horodate, signe cryptographiquement, opposable lors d'un contrôle ILR ou CSSF, qui justifie le régime retenu pour chaque entité.
- Suit la position des autorités (ILR, CSSF, ENISA, AEMF) sur les zones grises et propose un arbitrage pragmatique fonde sur la disposition la plus stricte.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon la taille de votre groupe. Demandez un devis personnalisé et nos équipes préparent une cartographie réglementaire gratuite sous 48h sur votre périmètre réel, pour matérialiser les zones de double couverture avant tout engagement.
