Considérant 91
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (91) | Les évaluations coordonnées des risques pour la sécurité liés aux chaînes d’approvisionnement critiques, à la lumière des caractéristiques du secteur concerné, devraient tenir compte des facteurs techniques et, le cas échéant, non techniques, y compris ceux définis dans la recommandation (UE) 2019/534, dans l’évaluation coordonnée pour l’UE des risques concernant la cybersécurité des réseaux 5G et dans la boîte à outils de l’UE pour la cybersécurité 5G convenue par le groupe de coopération. Afin de déterminer quelles chaînes d’approvisionnement devraient être soumises à une évaluation coordonnée des risques pour la sécurité, il convient de tenir compte des critères suivants: i) la mesure dans laquelle les entités essentielles et importantes utilisent des services TIC, systèmes TIC ou produits TIC critiques spécifiques et en dépendent; ii) la pertinence des services TIC, systèmes TIC ou produits TIC critiques spécifiques pour la réalisation des fonctions sensibles ou critiques, y compris le traitement de données à caractère personnel; iii) la disponibilité d’autres services TIC, systèmes TIC ou produits TIC; iv) la résilience de la chaîne d’approvisionnement générale des services TIC, systèmes TIC ou produits TIC tout au long de leur cycle de vie face aux événements perturbateurs, et v) concernant les services TIC, systèmes TIC ou produits TIC émergents, leur potentielle importance à l’avenir pour les activités des entités. En outre, il convient d’accorder une attention particulière aux services TIC, systèmes TIC ou produits TIC soumis à des exigences spécifiques émanant de pays tiers. |
Au Luxembourg, l'ILR (Institut Luxembourgeois de Régulation) est l'autorité nationale de cybersécurité qui participe au groupe de coopération NIS 2 et relaie les conclusions des évaluations coordonnées de la chaîne d'approvisionnement vers les entités essentielles et importantes désignées. La loi du 28 juillet 2023 relative à la cybersécurité, modifiée par la loi du 28 juillet 2025, impose aux entités désignées d'intégrer les recommandations issues de ces évaluations coordonnées dans leur gestion des risques fournisseurs, avec un focus particulier sur les opérateurs cloud hébergeant des données financières (interaction avec la CSSF et DORA) et les infrastructures numériques hébergées chez eBRC, LuxConnect ou POST Telecom.
Pratique Luxgap : lors de chaque inspection ILR, démontrez que votre cartographie fournisseurs intègre explicitement les conclusions du groupe de coopération sur la 5G et les services cloud, et que vous réévaluez vos dépendances tous les 12 mois minimum, avec traçabilité horodatée.
