Le piège classique
Beaucoup d'organisations luxembourgeoises pensent encore raisonner en logique NIS 1 : 'je suis fournisseur de services numériques, donc régime allege' ou 'je ne suis pas opérateur de services essentiels, donc rien ne s'applique'. Cette grille de lecture est morte. L'ILR raisonne désormais par secteur d'annexe et par taille d'entité, plus par etiquette historique. Le piège : decouvrir lors d'un contrôle ILR que votre entité, qui ne s'etait jamais déclarée, relevait en réalité de l'annexe II depuis l'entrée en vigueur de la loi du 28 juillet 2023.
Pourquoi ce considérant 6 change votre périmètre
Le législateur européen acte que la distinction OSE/FSN était devenue artificielle. La conséquence opérationnelle est triple :
- Le périmètre couvre désormais des secteurs entiers : gestion des déchets, agroalimentaire, fabrication de dispositifs médicaux, services postaux, recherché, administration publique, fournisseurs de services managés (MSP/MSSP).
- La qualification entité essentielle vs entité importante depend principalement de la taille (seuils 250 employés / 50 M'EUR CA pour essentielle, 50 employés / 10 M'EUR pour importante) croisée avec le secteur d'annexe I ou II.
- L'auto-qualification est obligatoire : ce n'est pas l'ILR qui vient vous chercher, c'est a vous de vous déclarer dans les délais prévus par la loi du 28 juillet 2023.
Le test pratique a mener immédiatement : passer en revue chaque entité juridique du groupe, croiser son code NACE avec les annexes I et II de NIS 2, puis appliquer les seuils de taille. Une holding luxembourgeoise qui detient une activité de fabrication de produits chimiques en Belgique peut elle-même tomber dans le périmètre via la règle de groupe.
Comment Luxgap automatise ce risque
Notre Luxgap NIS2 Scope Radar élimine définitivement la zone grise de l'auto-qualification en croisant automatiquement vos données légales, RH et financières avec les annexes I et II de la directive. L'outil interroge le Registre de Commerce et des Sociétés luxembourgeois, votre ERP (Odoo, SAP, Sage BOB 50) et votre SIRH (Workday, Sopra HR) pour reconstituer le périmètre réel du groupe et determiner, entité par entité, si elle est essentielle, importante ou hors champ.
- Détecte chaque entité du groupe via une connexion API au RCS et a vos systèmes comptables, sans ressaisie manuelle.
- Classifie chaque entité selon les annexes I et II en s'appuyant sur les codes NACE déclarés et les flux d'activité réels observes dans l'ERP.
- Calcule automatiquement les seuils de taille (effectifs, chiffre d'affaires, bilan) en agregeant les données consolidées, et applique la règle de groupe NIS 2.
- Alerte en temps réel via Teams ou Slack lorsqu'une acquisition, une croissance d'effectifs ou un nouveau code d'activité fait basculer une entité dans le périmètre.
- Génère le dossier de notification a l'ILR pre-rempli, conforme aux exigences de la loi du 28 juillet 2023, avec annexes justificatives horodatées.
- Produit un rapport PDF cryptographiquement scellé, opposable lors d'un contrôle ILR, qui démontre la diligence d'auto-qualification.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent un audit blanc gratuit sous 48h sur le périmètre réel de votre groupe pour matérialiser votre exposition avant tout engagement.
