Le piège classique
Le considérant 8 crée une zone grise redoutable : beaucoup d'administrations publiques luxembourgeoises se croient hors champ NIS 2 parce qu'elles touchent de près ou de loin a la sécurité publique ou a une mission regalienne. Or l'ILR retient une lecture stricte : seules les entités principalement dédiées a la sécurité nationale, défense ou application de la loi sont exclues. Une commune, un ministere transverse, un régulateur sectoriel ou une administration disposant de compétences réglementaires restent pleinement dans le périmètre, et la qualification d'entité essentielle ou importante se fait sur le coeur de l'activité, pas sur le label institutionnel.
Le test 'principalement vs marginalement' : 4 questions a documenter
- Quelle est la part réelle des activités liées a la sécurité nationale, défense, application de la loi (prévention, enquête, poursuite pénale) dans le mandat statutaire de l'entité ? Si moins de 50%, le considérant 8 ne joue pas.
- L'entité dispose-t-elle de compétences réglementaires (contrôle, sanction, autorisation) ? Si oui, elle est explicitement maintenue dans le champ, même si elle cotoie l'application de la loi.
- L'entité est-elle établie conjointement avec un pays tiers par accord international (consortium binational, organisation intergouvernementale) ? Si oui, elle est exclue, et il faut conserver la base juridique de cette exclusion.
- Pour les systèmes situes dans une mission diplomatique luxembourgeoise hors UE : sont-ils physiquement dans les locaux de la mission et exploites pour des utilisateurs dans le pays tiers ? Cette double condition doit être documentée, sinon le système bascule dans le champ NIS 2.
L'enjeu pratique : produire une note de qualification opposable a l'ILR qui prouve, document a l'appui, pourquoi telle ou telle entité ou tel ou tel système sort du champ. Une auto-exclusion non motivée est le premier reflexe sanctionné lors d'une inspection.
Comment Luxgap automatise ce risque
Notre Luxgap Scope Qualifier élimine l'angle mort de la qualification NIS 2 en transformant l'analyse subjective du considérant 8 en une décision motivée, horodatée et opposable a l'ILR. L'outil ingere votre arrete d'organisation, vos statuts, vos textes de mission et votre cartographie applicative (Active Directory, Azure AD, inventaire CMDB, contrats eBRC ou LuxConnect) puis applique un agent LLM spécialisé qui pondere chaque activité selon la grille 'principalement / marginalement' du considérant 8.
- Calcule un score de rattachement NIS 2 par entité et par système, avec ventilation activité par activité (sécurité nationale, défense, application de la loi, compétences réglementaires, autres missions).
- Détecte automatiquement les systèmes situes dans des missions diplomatiques ou exploites pour des utilisateurs hors UE, et vérifié la double condition d'exclusion prévue par le considérant 8.
- Identifié les accords internationaux fondant une co-etablissement avec un pays tiers et archive la base juridique de l'exclusion dans un coffre-fort horodate.
- Génère une note de qualification PDF cryptographiquement scellée, opposable a l'ILR en cas de contrôle, qui détaillé chaque arbitrage et cite l'article du considérant 8 applique.
- Alerte en temps réel sur Teams ou email des qu'une évolution statutaire ou organisationnelle modifie le périmètre de qualification.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur votre organigramme réel, avec un audit blanc gratuit sous 48h pour matérialiser votre exposition NIS 2 avant tout engagement.
Le service Luxgap sur ce sujet
CISO externalisé
Nommé responsable de la sécurité de l'information, notre CISO pilote la politique, la gouvernance, les risques, les audits et les incidents, avec NIS 2 ou DORA quand ils s'appliquent.
Découvrir le mandat CISO→