Considérant 93
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
| (93) | Les obligations en matière de cybersécurité énoncées dans la présente directive devraient être considérées comme complémentaires des exigences imposées aux prestataires de services de confiance en vertu du règlement (UE) no 910/2014. Les prestataires de services de confiance devraient être tenus de prendre toutes les mesures appropriées et proportionnées pour gérer les risques qui pèsent sur leurs services, y compris en ce qui concerne les clients et les tiers utilisateurs, et de notifier les incidents relevant de la présente directive. Ces obligations en matière de cybersécurité et d’information devraient également concerner la protection physique des services fournis. Les exigences applicables aux prestataires de services de confiance qualifiés énoncées à l’article 24 du règlement (UE) no 910/2014 continuent de s’appliquer. |
Au Luxembourg, l'ILR est a la fois l'autorité de surveillance NIS 2 (loi du 28 juillet 2023 relative a la cybersécurité, modifiee par la loi du 28 juillet 2025) ET l'organisme de contrôle eIDAS pour les prestataires de services de confiance qualifiés établis sur le territoire. Cette dualité institutionnelle simplifié le guichet mais impose une vigilance accrue : un même incident peut déclencher deux qualifications juridiques distinctes (incident significatif NIS 2 et atteinte a un service de confiance qualifié eIDAS) avec deux délais et deux formulaires.
Pratique Luxgap : pour les PSCo qualifiés luxembourgeois (LuxTrust et acteurs assimiles), nous recommandons un playbook de notification unique qui déclenche en parallele les deux notifications ILR avec un seul point de contact interne, afin d'eviter toute desynchronisation entre les deux dossiers d'instruction.
