NIS2 au Luxembourg : quelles entreprises sont concernées ?

Si vous dirigez une entreprise de plus de cinquante personnes au Luxembourg, il y a une date que vous avez peut-être laissée passer sans le savoir : le 10 juillet 2026. C’était la limite pour vous enregistrer auprès de l’Institut Luxembourgeois de Régulation au titre de la loi NIS 2.

Cette échéance est dépassée depuis plusieurs semaines. Et contrairement à ce que beaucoup supposent, ne pas s’être enregistré ne dispense de rien : l’ILR précise explicitement que l’absence d’auto-enregistrement ne libère pas une entité de ses obligations.

Voici comment savoir si vous êtes concerné, et quoi faire si vous l’êtes.

À retenir

• La loi du 5 mai 2026 transposant NIS2 est entrée en vigueur le 10 mai 2026.
• L’auto-enregistrement auprès de l’ILR devait être effectué au plus tard le 10 juillet 2026.
• Deux conditions déterminent l’applicabilité : appartenir à un secteur listé aux annexes de la loi, et dépasser le seuil de taille.
• Les entreprises de moins de 50 salariés sont en principe hors du champ, avec des exceptions pour certains prestataires numériques.
• Le défaut d’enregistrement ne supprime aucune obligation.

Ce que la loi du 5 mai 2026 a changé

Le Luxembourg a transposé la directive européenne NIS2 par la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, publiée au Mémorial A n° 225 et entrée en vigueur le 10 mai 2026 (Deloitte Luxembourg).

L’Institut Luxembourgeois de Régulation est l’autorité compétente pour la supervision et le contrôle. Il a présenté le dispositif lors d’une conférence de presse le 6 juillet 2026 (Gouvernement luxembourgeois).

Le changement principal par rapport au régime précédent tient au périmètre. NIS2 ne vise plus seulement quelques opérateurs d’importance vitale : elle couvre des secteurs entiers, et fait entrer dans le champ un grand nombre d’entreprises de taille moyenne qui n’avaient jamais eu affaire à une réglementation de cybersécurité.

Votre entreprise est-elle concernée ? Le test en deux questions

L’applicabilité se joue sur deux conditions cumulatives. Il faut répondre oui aux deux.

Question 1 : votre secteur figure-t-il aux annexes de la loi ?

La loi reprend les deux annexes de la directive. L’annexe I couvre les secteurs dits hautement critiques, l’annexe II d’autres secteurs critiques.

Deux points méritent l’attention d’un dirigeant qui se croit hors champ.

La gestion des services informatiques entre entreprises figure à l’annexe I. Une société qui infogère les systèmes d’autres entreprises est donc concernée, même si son activité n’a rien d’une infrastructure critique au sens courant.

La fabrication de l’annexe II couvre des industries très ordinaires : équipements électroniques, machines, véhicules. Beaucoup d’entreprises industrielles luxembourgeoises entrent dans cette catégorie sans s’être jamais pensées comme des cibles réglementaires.

Question 2 : dépassez-vous le seuil de taille ?

La loi applique la règle dite du plafond de taille. Seules les entreprises moyennes et grandes des secteurs couverts relèvent de l’application automatique (ILR).

Seuils de taille, en nombre de salariés

Petite entreprise, hors champ en principe49 salariés

Moyenne entreprise, dans le champ249 salariés

Grande entreprise, dans le champ250 salariés

Les critères financiers comptent autant que l’effectif :

Attention à la logique de ces seuils. Ils fonctionnent en alternative, pas en cumul : dépasser l’un d’eux suffit à changer de catégorie. Une entreprise de soixante personnes réalisant douze millions de chiffre d’affaires est une entreprise moyenne, donc dans le champ si son secteur est couvert.

Et attention aux exceptions. Certains prestataires de services numériques relèvent de la loi indépendamment de leur taille. Un très petit fournisseur de services DNS ou d’enregistrement de noms de domaine peut être concerné sans atteindre aucun seuil.

Entité essentielle ou entité importante : ce que la distinction change

Les entreprises concernées se répartissent en deux catégories. La distinction ne porte pas sur les obligations de sécurité, qui sont largement communes, mais sur l’intensité du contrôle et sur le plafond des sanctions.

Pour une entité importante, cela signifie en pratique que l’autorité ne viendra probablement pas frapper à la porte spontanément. Mais un incident, une plainte ou un signalement suffit à déclencher le contrôle, et l’entreprise devra alors démontrer qu’elle respectait ses obligations depuis le début.

L’échéance est passée. Que faire maintenant ?

L’auto-enregistrement devait être accompli dans un délai de deux mois à compter de l’entrée en vigueur, soit au plus tard le 10 juillet 2026. Nous sommes en août.

Si vous êtes concerné et non enregistré, la marche à suivre est la suivante.

Vérifiez d’abord votre situation. L’ILR met à disposition un outil de simulation permettant de déterminer si la loi s’applique à votre entreprise. Cet outil sert au diagnostic, pas à l’enregistrement lui-même.

Enregistrez-vous ensuite, via le formulaire en ligne du portail guichet.ilr.lu, disponible en français et en anglais. Un retard reste préférable à une absence d’enregistrement : la démarche est publique et datée, et une régularisation tardive se défend mieux qu’un silence prolongé.

Ne considérez pas l’enregistrement comme la conformité. C’est une formalité déclarative. Les obligations de fond, elles, courent depuis l’entrée en vigueur, que vous soyez enregistré ou non. Nous détaillons dans un article distinct par quoi commencer lorsque rien n’a encore été mis en place.

Ce que la loi exige concrètement

Au-delà de l’enregistrement, trois familles d’obligations pèsent sur les entités concernées.

La responsabilité de la direction. C’est le changement culturel le plus important. Les organes de direction doivent approuver les mesures de gestion des risques et en superviser la mise en œuvre. La cybersécurité cesse d’être un sujet délégué au service informatique : elle engage la direction elle-même.

Des mesures techniques et organisationnelles proportionnées. La loi cite notamment l’analyse de risques, l’authentification multifacteur, le chiffrement et la sécurité de la chaîne d’approvisionnement. Ce dernier point mérite attention : vous êtes responsable du risque introduit par vos fournisseurs, y compris ceux qui ne sont pas eux-mêmes soumis à NIS2.

Ces trois familles se déclinent en dix domaines à couvrir et à documenter : voir le détail des mesures et l’ordre dans lequel les prendre.

La notification des incidents, selon un calendrier serré :

Vingt-quatre heures, c’est court. En pratique, cela suppose de savoir à l’avance qui déclare, avec quelles informations et par quel canal. Une organisation qui découvre la procédure le jour de l’incident ne tiendra pas le délai.

Les sanctions, et qui les supporte

Pour les entités essentielles, les amendes administratives peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

Mais le montant n’est pas le seul levier. NIS2 prévoit que la responsabilité des dirigeants peut être engagée, et que l’autorité peut, dans les cas les plus graves, suspendre temporairement l’exercice de fonctions dirigeantes. C’est cette dimension personnelle, plus que le plafond financier, qui a changé la façon dont le sujet est traité dans les conseils d’administration européens.

Cet article n’est pas un conseil juridique. Il présente le cadre général tel qu’il ressort des sources publiques citées. L’applicabilité à une entreprise donnée dépend de son activité réelle et de sa structure : faites valider votre analyse par un conseil compétent.

Questions fréquentes

Mon entreprise de 30 personnes est-elle concernée ?

En principe non : les petites entreprises, sous les 50 salariés, sortent de l’application automatique. Deux réserves toutefois. Certains prestataires numériques sont concernés quelle que soit leur taille. Et les critères financiers peuvent faire basculer une petite structure à fort chiffre d’affaires.

Je suis sous-traitant d’une entreprise concernée. Suis-je soumis à NIS2 ?

Pas automatiquement. Mais votre client, lui, est tenu de sécuriser sa chaîne d’approvisionnement. Vous verrez donc arriver des exigences contractuelles de sécurité, des questionnaires et des clauses d’audit. L’obligation ne vous vise pas directement, ses effets vous atteignent quand même.

Que se passe-t-il si je ne me suis pas enregistré ?

L’absence d’enregistrement ne vous dispense d’aucune obligation prévue par la loi. La régularisation reste possible et préférable à l’inaction.

Le RGPD suffit-il ?

Non. Le RGPD protège les données personnelles, NIS2 vise la continuité et la sécurité des services. Les deux se recoupent partiellement, notamment sur l’analyse de risques, mais un dispositif RGPD conforme ne couvre ni la notification en 24 heures, ni la sécurité de la chaîne d’approvisionnement, ni la responsabilité de la direction.

En résumé

NIS2 est en vigueur au Luxembourg depuis le 10 mai 2026, et l’échéance d’enregistrement de juillet est passée. Deux questions suffisent à savoir si vous êtes concerné : votre secteur figure-t-il aux annexes, et dépassez-vous cinquante salariés ou les seuils financiers.

Si la réponse est oui aux deux, la priorité n’est pas de tout mettre en conformité d’un coup. C’est de vous enregistrer, puis d’établir la procédure de notification d’incident, parce que c’est la seule obligation dont le délai se compte en heures.