Considérant 25
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (25) | Les actes juridiques sectoriels de l’Union qui prévoient des mesures de gestion des risques en matière de cybersécurité ou des obligations d’information ayant un effet au moins équivalent à celui des obligations d’information prévues dans la présente directive pourraient prévoir que les autorités compétentes en vertu desdits actes exercent leurs pouvoirs de supervision et d’exécution à l’égard de ces mesures ou obligations avec l’assistance des autorités compétentes en vertu de la présente directive. Les autorités compétentes concernées pourraient établir des accords de coopération à cet effet. Ces accords de coopération pourraient préciser, entre autres, les procédures relatives à la coordination des activités de supervision, y compris les procédures d’enquête et d’inspection sur place conformément au droit national ainsi qu’un mécanisme d’échange des informations pertinentes sur la supervision et l’exécution entre les autorités compétentes, y compris l’accès aux informations relatives au cyberespace demandées par les autorités compétentes en vertu de la présente directive. |
Au Luxembourg, la loi du 28 juillet 2023 relative a la cybersécurité (modifiee par la loi du 28 juillet 2025) désigné l'ILR comme autorité competente NIS 2 generaliste, mais maintient la CSSF comme autorité sectorielle pour les acteurs financiers soumis a DORA, et la BCL pour les infrastructures de marché. Des accords de cooperation formalises au sens du considérant 25 organisent l'échange d'informations entre ILR, CSSF, CNPD et HCPN, notamment sur les incidents transverses.
Pratique Luxgap : pour une entité cumulant statut CSSF et qualification NIS 2 (banque, PSF support, gestionnaire de fonds avec activités cloud), cartographiez des le depart quel incident remonte a quel guichet, et tracez chaque notification dans un journal unique opposable aux deux régulateurs.
