NIS2 au Luxembourg : les obligations concrètes et par quoi commencer

La conformité NIS2 ne se déclare pas. Elle se prouve, avec des documents que l’autorité peut demander à tout moment. Reste à savoir lesquels, et à quel niveau de détail.

Depuis le 3 août 2026, la réponse est publique : l’Institut Luxembourgeois de Régulation a mis en ligne quatre modèles de livrables qui montrent exactement ce qu’il attend (ILR). Aucun texte de loi ne descend à ce niveau de précision.

Cet article part du principe que vous savez déjà être dans le périmètre. Si ce n’est pas le cas, commencez par le test en deux questions qui permet de savoir si votre entreprise est concernée. Ici, on traite la suite : quoi faire, dans quel ordre, et comment le prouver.

À retenir

• La loi exige dix familles de mesures, à proportionner à la taille et à l’exposition de l’entreprise.
• L’analyse de risques est le point de départ obligé : l’article 12 de la loi impose à chaque entité de mener la sienne, avec la méthode de son choix.
• Un incident important déclenche une notification préliminaire sous 24 heures, une notification formelle sous 72 heures et un rapport final sous un mois.
• Les entités essentielles transmettent chaque année trois livrables à l’ILR ; les entités importantes en sont dispensées, sauf soupçon de manquement.
• L’auto-évaluation Fit4Cybersecurity et l’outil d’analyse de risques MONARC sont luxembourgeois, gratuits, et suffisent à démarrer.

Les dix familles de mesures, traduites en langage d’entreprise

La loi ne demande pas d’acheter dix outils. Elle demande que dix domaines soient couverts et documentés. La liste vient de l’article 21 de la directive européenne, que la loi du 5 mai 2026 transpose (EUR-Lex).

Le mot important est proportionnées. Le texte demande explicitement de tenir compte du degré d’exposition de l’entité, de sa taille et du coût de mise en œuvre. Une PME de quarante personnes n’est pas tenue au dispositif d’une banque. Elle est tenue de pouvoir expliquer pourquoi son dispositif est adapté à son risque, ce qui n’est pas la même exigence.

Par quoi commencer quand on part de zéro

Par l’analyse de risques. Les neuf autres domaines en découlent : sans elle, on ne sait pas quoi protéger en priorité, et surtout on ne peut pas justifier ses arbitrages.

Étape 1 — Mesurer où vous en êtes. L’auto-évaluation Fit4Cybersecurity, proposée par SECURITYMADEIN.LU, est anonyme et gratuite. Treize pages de questions, un quart d’heure, disponible en français, allemand et anglais. Au-delà de 65 sur 100, vous pouvez demander un diagnostic CASES approfondi, réalisé sans frais par un expert (SECURITYMADEIN.LU). C’est le point d’entrée le moins coûteux qui existe, et il est luxembourgeois.

Étape 2 — Mener votre propre analyse de risques. C’est une obligation de l’article 12 de la loi. L’ILR précise que le choix de la méthode relève de l’entité, et qu’il peut demander l’analyse détaillée ainsi que les éléments démontrant sa mise en œuvre effective (ILR). Autrement dit, un document dormant ne suffit pas. MONARC, méthode et plateforme d’analyse de risques développées au Luxembourg, est conçue exactement pour cet exercice.

Étape 3 — Décrire les mesures déjà en place. Beaucoup d’entreprises découvrent à ce stade qu’elles couvrent déjà six ou sept des dix domaines sans l’avoir formalisé. Le travail est de le mettre par écrit, pas de tout refaire.

Étape 4 — Écrire le plan d’action pluriannuel. Ce qui manque, avec un calendrier. Un plan qui étale des mesures sur trois ans est recevable ; une absence de plan ne l’est pas.

Étape 5 — Faire approuver le tout par la direction. Ce n’est pas une formalité de fin de parcours : c’est une obligation qui pèse nommément sur l’organe de direction, et elle conditionne la validité de l’ensemble.

Les quatre modèles de l’ILR, et ce qu’ils révèlent

Trois des quatre modèles correspondent aux livrables que les entités essentielles notifient annuellement : la description des mesures en place, l’analyse des principaux scénarios de risques cyber, sous forme de questionnaire à choix multiples, et le plan d’action pluriannuel. Le quatrième, la liste des dépendances envers les fournisseurs et prestataires directs, ne sera demandé qu’à certaines entités, selon une approche fondée sur les risques.

Ces modèles sont proposés à titre de référence. Leur intérêt dépasse largement les entités qui doivent les remplir : ils sont, aujourd’hui, la meilleure indication publique du niveau de détail que l’autorité juge suffisant. Une entité importante qui les utilise pour structurer sa documentation travaille avec le format de son superviseur.

Un contresens à éviter. L’analyse des principaux scénarios de risques est un outil de supervision allégé, limité à des scénarios prédéfinis. L’ILR écrit noir sur blanc qu’elle ne dispense pas l’entité de mener sa propre analyse de risques au titre de l’article 12. Remplir le questionnaire et considérer l’obligation satisfaite serait une erreur coûteuse.

Dernier point, et il est temporaire : les échéances et les modalités techniques seront fixées par des règlements ILR encore en préparation. Les consultations publiques CP/N26/1 et CP/N26/2, qui portent précisément sur les mesures de sécurité et la notification d’incidents, ont été prolongées jusqu’au 31 août 2026. Une entreprise concernée peut encore y répondre, et devrait au minimum lire les projets : ils préfigurent ses obligations de l’an prochain.

Ce qui déclenche le chronomètre : la notion d’incident important

C’est le point que la plupart des guides escamotent, au profit du tableau des délais. Or le tableau ne sert à rien tant qu’on ignore ce qui le déclenche.

La loi définit d’abord l’incident comme un événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou de services. Puis son article 14 restreint la notification aux incidents importants, définis par deux critères alternatifs (ILR) :

• l’incident a causé ou est susceptible de causer une perturbation opérationnelle grave des services, ou des pertes financières pour l’entité ;
• il a affecté ou est susceptible d’affecter d’autres personnes, physiques ou morales, en causant des dommages matériels, corporels ou moraux considérables.

Le « susceptible de causer » élargit considérablement le champ. Un rançongiciel maîtrisé avant chiffrement, mais qui aurait pu arrêter la production, entre dans la définition.

Vient ensuite la chaîne de notification, à destination de l’ILR via la plateforme SERIMA.

Le premier point de ce tableau est le plus utile en pratique : en cas de doute, on notifie. Le dispositif est conçu pour accueillir une alerte incomplète, pas pour sanctionner un excès de prudence.

Reste à savoir ce qu’on devra écrire. Le formulaire demande de qualifier ce qui rend l’incident important, à partir de critères connus d’avance : nombre et pourcentage d’utilisateurs touchés, durée de l’interruption, répartition géographique, perte financière directe, préjudice corporel, moral ou matériel, atteinte à la réputation. Une entreprise qui sait, avant l’incident, combien d’utilisateurs elle sert et ce que lui coûte une heure d’arrêt tiendra le délai de 24 heures. Les autres passeront la première nuit à chercher les chiffres.

Ce que la direction doit faire elle-même

Trois obligations pèsent sur l’organe de direction, et aucune n’est délégable au service informatique.

Il approuve les mesures de gestion des risques. Il en supervise la mise en œuvre. Et ses membres doivent suivre une formation en cybersécurité.

Cette dernière obligation est fréquemment mal lue. Le texte européen impose la formation aux membres de l’organe de direction, et se contente d’encourager les entités à en offrir une comparable à leur personnel. C’est l’inverse de l’intuition courante, qui voit la sensibilisation comme une affaire d’employés. Le raisonnement du législateur est cohérent : un dirigeant qui ne comprend pas le risque ne peut pas arbitrer sur les moyens.

Essentielle ou importante : ce que la catégorie change vraiment

Elle ne change pas les mesures à prendre. Elle change la surveillance, et le travail administratif qui va avec.

Une entité importante n’est donc pas contrôlée a priori, mais la dispense tombe « en cas d’éléments de preuve, d’indications ou d’informations » de non-respect de la loi. En clair : le premier incident notifié peut ouvrir l’examen du reste.

Les plafonds d’amende suivent la même logique de gradation, 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, 7 millions ou 1,4 % pour les importantes, le montant le plus élevé étant retenu. Le détail du régime de sanction figure dans notre analyse du champ d’application.

Ce que ça coûte, et ce qui ne coûte rien

Aucun chiffrage fiable propre au marché luxembourgeois n’est disponible publiquement. Les fourchettes qui circulent viennent de prestataires français qui vendent la prestation qu’ils chiffrent : elles ne valent rien comme référence. Nous n’en inventerons pas d’autres.

Ce qu’on peut affirmer, en revanche, c’est ce qui est gratuit :

• l’auto-évaluation Fit4Cybersecurity et, au-delà de 65 sur 100, le diagnostic CASES réalisé par un expert ;
• MONARC, pour conduire l’analyse de risques ;
• les quatre modèles de l’ILR et le document de référence du groupe de coopération NIS sur les mesures de sécurité.

Le premier poste de dépense réel n’est donc pas l’audit, c’est le temps interne : quelqu’un doit porter le sujet. Pour le financer, le diagnostic Fit 4 Digital, cofinancé par l’État, inclut un volet cybersécurité dans l’évaluation de maturité numérique.

Un cas particulier mérite l’attention des prestataires informatiques : le règlement d’exécution européen 2024/2690 du 17 octobre 2024 fixe des exigences techniques directement applicables à certaines catégories d’entités numériques, dont les fournisseurs de services gérés et de services de sécurité gérés. Pour elles, le niveau attendu est déjà écrit, et il ne se négocie pas.

Questions fréquentes

Faut-il recruter un responsable de la sécurité pour être conforme ?

La loi n’impose aucune fonction nominative. Elle impose que les mesures soient prises, approuvées par la direction et documentées. Dans une PME, cela se traduit le plus souvent par un référent identifié qui porte le dossier, pas par un poste à temps plein.

Mon prestataire informatique peut-il porter la conformité à ma place ?

Il peut exécuter les mesures. Il ne peut pas endosser l’obligation : elle pèse sur l’entité et sur son organe de direction. Ajoutons que votre prestataire fait lui-même partie de votre chaîne d’approvisionnement, donc de votre analyse de risques.

Que faire si un incident survient un vendredi soir ?

Le délai de 24 heures court à partir de la détection, week-end compris. C’est précisément pourquoi la notification préliminaire est conçue pour être envoyée avec des informations incomplètes : mieux vaut une alerte imprécise dans les temps qu’un dossier complet hors délai.

Une certification ISO 27001 vaut-elle conformité NIS2 ?

Non, mais elle couvre une grande partie du terrain. Un système de management de la sécurité certifié fournit l’essentiel des dix domaines et la documentation qui va avec. Restent à traiter les obligations propres à NIS2, notamment l’enregistrement, la notification d’incidents dans les délais légaux et l’implication formelle de l’organe de direction.

En résumé

Trois choses à faire cette semaine, si le sujet n’a pas encore été ouvert : passer l’auto-évaluation Fit4Cybersecurity, télécharger les quatre modèles de l’ILR pour voir ce qui sera demandé, et inscrire l’approbation des mesures à l’ordre du jour du prochain conseil. Le reste se construit sur ces trois points.

Cet article n’est pas un conseil juridique. Il présente le cadre général tel qu’il ressort des sources publiques citées, à la date du 20 août 2026. Les règlements ILR fixant les échéances étaient encore en consultation à cette date. L’application à une entreprise donnée dépend de son activité réelle et de sa structure : faites valider votre analyse par un conseil compétent.