Considérant 35
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (35) | Il se peut que les services proposés par les fournisseurs de services de centre de données ne soient pas fournis sous la forme de service d’informatique en nuage. En conséquence, il se peut que les centres de données ne fassent pas partie d’une infrastructure d’informatique en nuage. Afin de gérer l’ensemble des risques qui menacent la sécurité des réseaux et des systèmes d’information, la présente directive devrait dès lors couvrir les fournisseurs de services de centres de données qui ne sont pas des services d’informatique en nuage. Aux fins de la présente directive, le terme «service de centre de données» devrait couvrir la fourniture d’un service qui englobe les structures, ou les groupes de structures, dédiées à l’hébergement, l’interconnexion et l’exploitation centralisés des équipements de technologie de l’information (TI) et de réseau fournissant des services de stockage, de traitement et de transport des données, ainsi que l’ensemble des installations et des infrastructures de distribution d’électricité et de contrôle environnemental. Le terme «service de centre de données» ne devrait pas s’appliquer aux centres de données internes propres à une entreprise et exploités par l’entité concernée pour ses propres besoins. |
Au Luxembourg, l'ILR (Institut Luxembourgeois de Régulation) est l'autorité competente pour désigner les fournisseurs de services de centre de données comme entités essentielles ou importantes au titre de la loi du 28 juillet 2023 relative a la cybersécurité (modifiee par la loi du 28 juillet 2025). Le Luxembourg accueille une concentration exceptionnelle d'operateurs vises (LuxConnect, eBRC, POST Telecom, Datacenter Luxembourg) et l'ILR applique une lecture stricte de l'exemption in-house du considérant 35 : un datacenter intragroupe servant plusieurs entités juridiques distinctes du groupe est qualifié comme service au sens NIS 2.
Pratique Luxgap : si votre groupe exploite une salle technique a Bissen, Bettembourg, Kayl ou Roost qui sert ne serait-ce qu'une filiale distincte, anticipez l'enregistrement auprès de l'ILR plutot que de l'attendre, car la désignation d'office exposé a des sanctions administratives jusqu'à 7 M'EUR ou 1,4% du CA mondial pour les entités importantes.
