ConformitéCompliance25 oct. 202625 Oct 20267 min de lecture
NIS2 au Luxembourg : qui est concerné et par où commencerNIS2 in Luxembourg: who is affected and where to start
Entités essentielles ou importantes, dix mesures obligatoires, notification d'incident en 24 h : ce que la directive change concrètement pour une entreprise luxembourgeoise.Essential or important entities, ten mandatory measures, incident notification within 24 hours: what the directive actually changes for a Luxembourg company.
Dësen Artikel ass op Franséisch an op Englesch verfügbar. Dir liest hei d'franséisch Versioun.
La directive NIS2 (directive (UE) 2022/2555) remplace la première directive NIS de 2016 et élargit considérablement le nombre d'entreprises soumises à des obligations de cybersécurité. Au Luxembourg, sa transposition confie la surveillance à l'ILR pour la plupart des secteurs et à la CSSF pour le secteur financier, avec le CIRCL comme point de contact pour les incidents. Beaucoup de PME découvrent qu'elles sont concernées sans l'avoir anticipé. Voici comment le savoir, et comment démarrer sans s'éparpiller.
1. Êtes-vous concerné ?
NIS2 raisonne en deux temps : le secteur d'activité, puis la taille de l'entreprise.
Dix-huit secteurs sont visés. Les secteurs dits « hautement critiques » : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique, espace. Et les « autres secteurs critiques » : services postaux, gestion des déchets, produits chimiques, agroalimentaire, fabrication (dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques et recherche.
Dans ces secteurs, la règle de taille est simple : à partir de 50 salariés ou 10 millions d'euros de chiffre d'affaires, vous êtes une « entité importante » ; à partir de 250 salariés ou 50 millions d'euros, une « entité essentielle », avec une surveillance plus stricte. Certaines activités sont concernées quelle que soit la taille, par exemple les fournisseurs de services DNS ou les prestataires de services de confiance.
Un point souvent oublié : même hors périmètre, vous pouvez être rattrapé par vos clients. Une entité soumise à NIS2 doit sécuriser sa chaîne d'approvisionnement, et elle le fera en imposant des exigences contractuelles à ses fournisseurs IT, logistiques ou industriels.
2. Les dix mesures obligatoires
L'article 21 de la directive impose un socle de dix mesures « appropriées et proportionnées ». Traduites en langage d'entreprise :
Analyse des risques et politiques de sécurité : savoir ce que vous protégez et contre quoi.
Gestion des incidents : détecter, qualifier, réagir, et pouvoir le prouver.
Continuité d'activité : sauvegardes testées, plan de reprise, gestion de crise.
Sécurité de la chaîne d'approvisionnement : vos prestataires et leurs accès.
Sécurité dans l'acquisition, le développement et la maintenance des systèmes, y compris la gestion des vulnérabilités.
Évaluation de l'efficacité des mesures : audits, tests, indicateurs.
Hygiène informatique et formation : mises à jour, mots de passe, sensibilisation.
Cryptographie et chiffrement là où c'est pertinent.
Sécurité des ressources humaines et contrôle d'accès : qui accède à quoi, et jusqu'à quand.
Authentification multifacteur et communications sécurisées.
Rien de révolutionnaire pour une entreprise déjà structurée ; le changement, c'est l'obligation de démontrer chacune de ces mesures, documents à l'appui.
3. L'obligation de notification : 24 heures
C'est la contrainte la plus opérationnelle. En cas d'incident « important » (perturbation grave du service ou impact financier ou matériel significatif), l'entité doit transmettre :
une alerte précoce dans les 24 heures suivant la prise de connaissance de l'incident ;
une notification détaillée dans les 72 heures, avec une première évaluation de la gravité ;
un rapport final dans le mois, décrivant la cause, les mesures prises et l'impact.
Tenir 24 heures suppose de détecter l'incident rapidement. Une entreprise qui découvre une intrusion trois semaines après les faits ne peut pas respecter ce calendrier. C'est ici que la supervision continue de vos équipements devient une question de conformité, et plus seulement de confort.
4. La direction en première ligne
NIS2 rend les organes de direction responsables de l'approbation et du suivi des mesures de sécurité. Les dirigeants doivent suivre une formation en cybersécurité et peuvent voir leur responsabilité engagée. Les sanctions administratives vont jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions ou 1,4 % pour les entités importantes.
5. Par où commencer : quatre étapes
Qualifier votre statut. Secteur, taille, activités : une demi-journée suffit pour déterminer si vous êtes essentiel, important, ou hors périmètre mais exposé via vos clients.
Faire un état des lieux honnête. Un audit de la configuration de vos équipements de sécurité (firewall, VPN, accès administrateur) révèle en quelques jours les écarts les plus visibles : règles trop larges, firmware en fin de support, absence de MFA. Ce sont aussi les premiers points que regardera un auditeur.
Documenter ce qui existe déjà. La plupart des entreprises ont des sauvegardes, des antivirus, un prestataire IT. Ce qui manque, c'est la trace écrite. Politique de sécurité, registre des incidents, liste des fournisseurs critiques : ces documents comptent autant que les mesures techniques.
Mettre en place une détection. Pour respecter les 24 heures, il faut que quelqu'un, ou quelque chose, regarde vos journaux. Un service de supervision managé, dimensionné pour une PME, répond à cette exigence sans recruter.
Ce qu'il faut retenir
NIS2 ne demande pas de tout refaire. Elle demande de savoir où vous en êtes, de combler les écarts évidents et de pouvoir le prouver. Pour une PME luxembourgeoise, le chemin le plus court passe par un audit concret de l'existant, une documentation sobre et une supervision qui tient le délai de 24 heures.
The NIS2 directive (Directive (EU) 2022/2555) replaces the first NIS directive of 2016 and considerably widens the number of companies subject to cybersecurity obligations. In Luxembourg, its transposition entrusts supervision to the ILR for most sectors and to the CSSF for the financial sector, with CIRCL as the point of contact for incidents. Many SMEs discover they are in scope without having planned for it. Here is how to find out, and how to get started without spreading yourself thin.
1. Are you in scope?
NIS2 works in two steps: the sector of activity, then the size of the company.
Eighteen sectors are targeted. The so-called "highly critical" sectors: energy, transport, banking, financial market infrastructure, health, drinking water, waste water, digital infrastructure, ICT service management, public administration, space. And the "other critical sectors": postal services, waste management, chemicals, food, manufacturing (medical devices, electronics, machinery, vehicles), digital providers and research.
Within these sectors, the size rule is simple: from 50 employees or €10 million in turnover, you are an "important entity"; from 250 employees or €50 million, an "essential entity", with stricter supervision. Some activities are in scope regardless of size, for example DNS service providers or trust service providers.
An often-forgotten point: even outside the scope, your customers can bring you in. An entity subject to NIS2 must secure its supply chain, and it will do so by imposing contractual requirements on its IT, logistics or industrial suppliers.
2. The ten mandatory measures
Article 21 of the directive imposes a baseline of ten "appropriate and proportionate" measures. In business language:
Risk analysis and security policies: know what you are protecting and against what.
Incident handling: detect, qualify, respond, and be able to prove it.
Business continuity: tested backups, recovery plan, crisis management.
Supply-chain security: your providers and their access.
Security in the acquisition, development and maintenance of systems, including vulnerability management.
Assessing the effectiveness of measures: audits, tests, indicators.
Cyber hygiene and training: updates, passwords, awareness.
Cryptography and encryption where relevant.
Human resources security and access control: who accesses what, and until when.
Multi-factor authentication and secure communications.
Nothing revolutionary for an already structured company; what changes is the obligation to demonstrate each of these measures, with documents to back them up.
3. The notification obligation: 24 hours
This is the most operational constraint. In the event of a "significant" incident (serious service disruption or significant financial or material impact), the entity must submit:
an early warning within 24 hours of becoming aware of the incident;
a detailed notification within 72 hours, with an initial assessment of severity;
a final report within one month, describing the cause, the measures taken and the impact.
Meeting the 24-hour deadline requires detecting the incident quickly. A company that discovers an intrusion three weeks after the fact cannot meet this timeline. This is where continuous monitoring of your equipment becomes a compliance matter, not just a comfort.
4. Management on the front line
NIS2 makes management bodies responsible for approving and overseeing security measures. Executives must undergo cybersecurity training and may be held liable. Administrative fines go up to €10 million or 2% of worldwide turnover for essential entities, €7 million or 1.4% for important entities.
5. Where to start: four steps
Qualify your status. Sector, size, activities: half a day is enough to determine whether you are essential, important, or out of scope but exposed through your customers.
Take an honest inventory. An audit of the configuration of your security equipment (firewall, VPN, administrator access) reveals the most visible gaps within days: overly broad rules, end-of-support firmware, no MFA. These are also the first things an auditor will look at.
Document what already exists. Most companies have backups, antivirus, an IT provider. What is missing is the paper trail. Security policy, incident register, list of critical suppliers: these documents count as much as the technical measures.
Put detection in place. To meet the 24 hours, someone, or something, has to watch your logs. A managed monitoring service sized for an SME meets this requirement without hiring.
Key takeaway
NIS2 does not ask you to redo everything. It asks you to know where you stand, to close the obvious gaps and to be able to prove it. For a Luxembourg SME, the shortest path is a concrete audit of what exists, sober documentation and monitoring that holds the 24-hour deadline.
Par où commencer ? Par votre firewall.Where to start? With your firewall.
Un audit de configuration est le point de départ le plus rapide pour documenter vos mesures NIS2. Diagnostic gratuit en 15 minutes.A configuration audit is the fastest starting point to document your NIS2 measures. Free 15-minute diagnostic.