Considérant 60
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (60) | Les États membres, en coopération avec l’ENISA, devraient adopter des mesures destinées à faciliter la divulgation coordonnée des vulnérabilités en mettant en place une politique nationale pertinente. Dans le cadre de leur politique nationale, les États membres devraient s’efforcer de relever, dans la mesure du possible, les défis auxquels sont confrontés les experts qui recherchent les vulnérabilités, y compris le risque lié à la responsabilité pénale potentielle, conformément au droit national. Étant donné que les personnes morales et physiques qui recherchent les vulnérabilités pourraient, dans certains États membres, être exposées à la responsabilité pénale et civile, les États membres sont encouragés à adopter des lignes directrices concernant l’absence de poursuites contre les auteurs de recherches en matière de sécurité de l’information et une exemption de responsabilité civile pour leurs activités. |
Au Luxembourg, la loi du 28 juillet 2023 relative a la cybersécurité (modifiee par la loi du 28 juillet 2025) ne prevoit pas de regime explicite de non-poursuite pour les chercheurs en sécurité, contrairement a la recommandation du considérant 60. Le CSIRT national competent est GOVCERT.LU pour le secteur public et les operateurs critiques, et CIRCL pour le secteur privé. L'ILR recommande, sans l'imposer formellement, l'adoption d'une politique CVD alignee sur le standard ENISA.
Pratique Luxgap : en l'absence de safe harbor légal explicite au Luxembourg, nous documentons contractuellement l'engagement de non-poursuite via une Safe Harbor Statement publique opposable, et nous interfacons votre canal CVD directement avec CIRCL via leur API MISP pour garantir la coordination CSIRT en moins de 4h.
