NIS 2 au Luxembourg, mise en conformité.

Deux catégories, selon le secteur et la taille (articles 1er et 11 de la loi du 5 mai 2026). Les entités essentielles sont d'abord les grandes entreprises (250 salariés ou plus, ou plus de 50 M€ de chiffre d'affaires et plus de 43 M€ de bilan) des 11 secteurs hautement critiques (énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC interentreprises, administration publique, espace) ; s'y ajoutent notamment, quelle que soit leur taille, les entités de l'administration publique, les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS. Les entités importantes sont, en règle générale, les autres entités concernées, à partir de la taille moyenne (50 salariés ou plus, ou plus de 10 M€ de chiffre d'affaires et de bilan) : notamment les moyennes entreprises de ces 11 secteurs, et les moyennes et grandes entreprises des 7 autres secteurs critiques (services postaux et d'expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication, fournisseurs numériques, recherche).

Au Luxembourg, les entités concernées devaient s'enregistrer elles-mêmes auprès de l'ILR (ou de la CSSF pour la banque et les infrastructures des marchés financiers) au plus tard le 10 juillet 2026 ; l'autorité leur confirme ensuite leur désignation comme entité essentielle ou importante.

Gouvernance cyber au niveau du conseil d'administration (responsabilité personnelle des dirigeants). Politique de gestion des risques cyber avec analyse régulière. Mesures techniques minimales (chiffrement, MFA, segmentation, sauvegarde, gestion des accès). Plan de continuité d'activité et de reprise après incident. Sécurité de la supply chain : audit des fournisseurs critiques. Formation cybersécurité obligatoire pour les dirigeants et les équipes IT. Notification des incidents importants à l'ILR (à la CSSF pour les infrastructures numériques et services TIC qu'elle surveille) : notification préliminaire sous 24h, notification d'incident sous 72h, rapport final au plus tard un mois après celle-ci ; un rapport intermédiaire peut être demandé entre-temps. Banques et infrastructures des marchés financiers : notification selon DORA.

Notre mandat CISO externalisé couvre l'intégralité des exigences NIS 2 : politique de sécurité ISO 27001, gestion des risques ICT, gouvernance, reporting incident 24h, audit supply chain, sensibilisation des équipes.

Recruter un CISO senior en interne au Luxembourg, c'est cher et long. Notre mandat externalisé met à votre disposition une équipe d'ingénieurs cyber pour une fraction du coût, avec une présence régulière sur site. Vous êtes en règle, vous gardez votre cash.

Configurer un mandat CISO →

La loi du 5 mai 2026 prévoit des amendes jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions d'euros ou 1,4 % pour les entités importantes (le plus élevé). S'ajoutent : pour une entité essentielle qui ne corrige pas un manquement dans le délai fixé, l'interdiction temporaire d'exercer pour un dirigeant, prononcée par le tribunal à la demande de l'autorité ; l'obligation de rendre publics les aspects de la violation (atteinte à l'image) ; et la responsabilité civile de droit commun en cas d'incident.