Le piège classique
Le considérant 84 annonce un acte d'exécution européen qui harmonise les mesures de cybersécurité pour les fournisseurs transfrontaliers (DNS, TLD, cloud, datacenters, CDN, MSP, MSSP, marketplaces, moteurs de recherché, réseaux sociaux, services de confiance). En pratique, l'ILR ne vous laissera pas appliquer votre propre interprétation locale de l'article 21 : il appliquera le Règlement d'exécution (UE) 2024/2690 du 17 octobre 2024 qui fixe les exigences techniques précisés. Le piège ? Beaucoup d'entités cloud ou MSP luxembourgeoises ont batie leur conformité sur la grille ANSSI ou ISO 27001 générique, sans mapper finement les 13 domaines techniques imposes par l'acte d'exécution.
Ce que l'acte d'exécution 2024/2690 impose concretement
- Politique de sécurité des systèmes d'information avec rôles et responsabilités nommement attribues, revue annuelle obligatoire.
- Gestion des incidents avec procédures de détection, classification et réponse alignees sur les seuils déclencheurs de notification.
- Continuite d'activité et gestion des sauvegardes avec tests de restauration documentes.
- Sécurité de la chaîne d'approvisionnement avec évaluation des sous-traitants critiques (cloud-sur-cloud, hyperscalers en cascade).
- Securisation de l'acquisition, du développement et de la maintenance des SI (SDLC, gestion des vulnerabilites, patch management).
- Politiques d'évaluation de l'efficacite : metriques, indicateurs, tests d'intrusion.
- Hygiene cyber de base et formation continue du personnel.
- Cryptographie : politique de gestion des clés, algorithmes autorises.
- Sécurité des ressources humaines, contrôle d'accès et gestion des actifs.
- Authentification multifacteur et communications sécurisées (voix, vidéo, texte).
Si vous êtes fournisseur cloud ou MSP base au Luxembourg (eBRC, LuxConnect, Telindus, POST Cyberforce et leurs clients hebergeurs), votre conformité NIS 2 sera evaluee sur cette grille très précisé, pas sur une auto-declaration ISO 27001.
Comment Luxgap automatise ce risque
Notre Luxgap Implementing Act Mapper transforme les 13 exigences du Règlement d'exécution 2024/2690 en un score de conformité vivant, calcule en temps reel sur votre infrastructure cloud/MSP reelle. L'outil croise vos consoles Azure, AWS, GCP, Defender XDR, CrowdStrike, Wazuh, Active Directory et vos contrats sous-traitants pour materialiser exactement quelles exigences techniques sont couvertes, partiellement couvertes ou absentes, sans demander au RSSI de remplir un seul questionnaire Excel.
- Scanne automatiquement vos tenants cloud et detecte la conformité a chacune des 13 exigences du Règlement 2024/2690 (MFA, chiffrement, journalisation, sauvegardes testees, segmentation).
- Classifie chaque ecart selon la gravité et propose le plan de remédiation chiffre en jours-homme avec priorité ILR.
- Genere un dossier technique opposable a l'ILR lors d'une inspection, mappant chaque contrôle a son article du Règlement d'exécution et a sa preuve technique (extract Sentinel, rapport pentest, log d'audit AD).
- Alerte instantanement sur Teams ou Slack des qu'un contrôle critique devie (MFA desactivee sur un compte admin, chiffrement TLS 1.0 reapparu, sauvegarde non testee depuis 90 jours).
- Suit la chaîne d'externalisation cloud-sur-cloud et flag les hyperscalers US non couverts par DPF, exigence remontee dans la catégorie supply chain de l'acte d'exécution.
- Produit un rapport PDF horodate signe cryptographiquement, opposable a l'ILR et reutilisable en due diligence client B2B.
Disponible en complement d'un mandat CISO Luxgap ou en brique SaaS dediee selon votre périmètre. Demandez un devis personnalise et nos équipes preparent une demonstration sur votre infrastructure reelle, avec un audit blanc gratuit sous 48h pour mesurer votre exposition aux 13 exigences techniques avant tout engagement.