Considérant 61
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (61) | Les États membres devraient désigner un de leurs CSIRT en tant que coordinateur et agir comme un intermédiaire de confiance entre les personnes physiques ou morales effectuant le signalement et les fabricants de produits TIC ou les fournisseurs de services TIC susceptibles d’être touchés par la vulnérabilité, lorsque cela est nécessaire. Les tâches du CSIRT désigné comme coordinateur devraient impliquer d’identifier et de contacter les entités concernées, d’apporter une assistance aux personnes physiques ou morales signalant une vulnérabilité, de négocier des délais de divulgation et de gérer les vulnérabilités qui touchent plusieurs entités (divulgation multipartite coordonnée de vulnérabilité). Lorsque les vulnérabilités signalées pourraient avoir un impact important sur des entités de plusieurs États membres, les CSIRT désignés comme coordinateurs devraient, s’il y a lieu, coopérer au sein du réseau des CSIRT. |
Au Luxembourg, le CSIRT coordinateur désigné au sens du considérant 61 est le GOVCERT.LU pour le secteur public et les operateurs critiques, en lien etroit avec CIRCL (Computer Incident Response Center Luxembourg) qui agit historiquement comme coordinateur CVD pour le secteur privé. L'ILR, autorité competente NIS 2, supervise le dispositif. La loi du 28 juillet 2023 relative a la cybersécurité (modifiee par la loi du 28 juillet 2025) confirme cette architecture duale et impose aux entités essentielles et importantes de cooperer avec le CSIRT coordinateur lors d'un signalement de vulnerabilite.
Pratique Luxgap : declarez explicitement dans votre security.txt les adresses de contact de GOVCERT.LU et CIRCL comme canaux d'escalade, et testez deux fois par an votre procédure de notification croisee avec ces deux entités pour eviter toute zone grise lors d'un incident multi-entites.
