Réglementation
NIS2 Luxembourg : guide complet
Qui est concerné, ce que la loi du 5 mai 2026 exige, ce qu’une entreprise risque à ne rien faire, et par quoi commencer. Écrit pour des dirigeants, pas pour des juristes.
Dernière mise à jour : 4 septembre 2026. Les sources officielles sont citées en bas de page.
En bref
NIS2, en deux minutes
NIS2 est la directive européenne qui rehausse le niveau d’exigence en cybersécurité des entreprises des secteurs jugés essentiels ou importants. Au Luxembourg, elle est entrée dans le droit par la loi du 5 mai 2026, en vigueur depuis le 15 mai 2026, et l’autorité compétente est l’Institut Luxembourgeois de Régulation (ILR).
Ce guide répond aux questions dans l’ordre où elles se posent : suis-je concerné, qu’attend-on de moi, qu’est-ce que je risque, par quoi je commence. Une chose y est répétée parce qu’elle est vraie : la conformité appartient à l’entreprise assujettie, pas à son prestataire informatique.
Qui est concerné ?
La loi ne parle pas de PME ni de grands groupes : elle parle de secteurs et de tailles, et elle distingue deux catégories. Les entités essentielles sont les grandes entreprises des secteurs hautement critiques. Les entités importantes sont les entreprises de taille moyenne, à partir de 50 salariés, dans les secteurs couverts.
Les secteurs visés incluent notamment l’énergie, les transports, la santé, l’eau, l’infrastructure numérique, les services TIC, l’administration publique et la fabrication de produits critiques.
Les seuils chiffrés qui séparent les deux catégories sont détaillés dans notre article sur l’échéance d’enregistrement, qui reste la pièce à lire si vous cherchez un nombre plutôt qu’une méthode.
PME de moins de 50 salariés : concernée ou pas ?
C’est la question qui revient le plus souvent, et la réponse honnête tient en une ligne : pas automatiquement, mais pas jamais. Le seuil d’entité importante démarre en principe à 50 salariés. En dessous, une structure peut tout de même être concernée si elle fournit un service critique, ou si elle travaille comme sous-traitante d’une entité régulée.
Et même hors périmètre, une PME sous-traitante reçoit les exigences de son client : celui-ci doit sécuriser sa chaîne d’approvisionnement, donc il les répercutera par contrat. C’est par ce chemin, et non par les seuils, que NIS2 touche le plus d’entreprises luxembourgeoises.
Les obligations, concrètement
Au-delà de l’enregistrement, les entités concernées doivent mettre en place des mesures proportionnées.
- analyse et gestion des risques de sécurité
- mesures techniques : sauvegardes, chiffrement, contrôle d’accès, détection
- notification des incidents à impact important, dans les délais fixés
- sécurité de la chaîne d’approvisionnement, fournisseurs et sous-traitants compris
- responsabilisation de la direction, qui approuve et supervise les mesures
« Proportionnées » est le mot qui compte : ce qu’on attend d’un hôpital n’est pas ce qu’on attend d’un atelier de vingt personnes. C’est une bonne nouvelle et un piège. Personne ne vous remettra la liste exacte de ce que vous devez faire : il faut la construire, et pouvoir la justifier.
Les sanctions
- jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles
- jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial pour les entités importantes
S’ajoutent le risque réputationnel et, en cas d’incident non maîtrisé, l’interruption d’activité. Dans les faits, c’est souvent ce dernier point qui coûte le plus cher, et le plus vite.
L’ILR, votre interlocuteur
L’Institut Luxembourgeois de Régulation est l’autorité compétente. C’est auprès de lui que se fait l’auto-enregistrement, et c’est lui qui assure la supervision. L’enregistrement n’est pas automatique : la démarche appartient à l’entreprise. L’échéance du 10 juillet 2026 est passée, et le retard ne suspend aucune obligation de fond, qui courent depuis le 15 mai 2026.
Un point à régler avant tout incident : savoir qui, chez vous, est habilité à notifier, et par quel canal. Une notification se prépare à froid, pas le jour où le chiffrement des serveurs commence.
Vos sous-traitants sont dans le périmètre
La sécurité de la chaîne d’approvisionnement est une obligation en propre, pas une recommandation. Elle dit deux choses. Vous devez savoir quels prestataires touchent à vos systèmes et à vos données, et ce qu’ils s’engagent à faire. Et vos clients régulés vous poseront exactement la même question.
En pratique : une liste à jour des prestataires, ce que chacun peut atteindre, les clauses de sécurité de leurs contrats, et ce qui se passe si l’un d’eux subit un incident. La plupart des entreprises découvrent cette liste en la faisant.
L’audit NIS2 : savoir où vous en êtes
Un audit NIS2 n’est pas un avis juridique et ne délivre aucun certificat. C’est un état des lieux : ce qui est en place, ce qui manque au regard des mesures que la loi attend, et dans quel ordre le traiter.
Le nôtre part de l’existant : équipements et réseau, règles de sécurité appliquées, sauvegardes, droits d’accès, journalisation, prestataires. Et il s’arrête là où commence la décision. La conformité s’apprécie chez l’entité assujettie, par son autorité de contrôle, jamais chez son prestataire informatique. Un fournisseur qui vous vend « la conformité NIS2 » vend quelque chose qu’il ne détient pas.
| Qui le tient | Ce que ça veut dire | |
|---|---|---|
| Les mesures techniques | Nous, si vous nous le confiez | Sauvegardes, chiffrement, accès, détection, journalisation |
| La trace et l’outillage | Nous | Audit, écarts priorisés, procédures écrites, rapports |
| La décision de conformité | Vous | C’est votre entreprise qui est assujettie, pas son prestataire |
| La gouvernance | Votre direction | Approuver et superviser les mesures, article 20 de la directive |
| L’appréciation | L’ILR | C’est l’autorité qui supervise et qui sanctionne |
La gap analysis, ou l’écart mesuré
C’est ce qui suit l’audit : la distance entre ce que vous faites et ce que la loi attend, ligne par ligne, avec un ordre de traitement. L’intérêt n’est pas la liste, c’est la priorisation. Une PME ne traite pas trente écarts à la fois ; elle en traite trois, ceux qui réduisent le plus le risque pour le moins d’effort, et elle sait pourquoi elle a laissé les autres pour plus tard.
Cette trace a une seconde utilité, moins évidente. Elle documente une décision. Devant un régulateur, « nous avions identifié cet écart, priorisé ainsi, pour cette raison » n’est pas la même position que « nous ne savions pas ».
Le SOC, et ce que nous n’affichons pas
Détecter suppose de collecter, de corréler et de regarder. La détection cyber d’Empirys s’appuie sur Microsoft Sentinel, ce qui rend la détection automatisée continue. La réponse humaine, elle, est assurée cinq jours sur sept.
Nous n’affichons pas de plage de supervision 24 heures sur 24, et c’est délibéré : la seule plage qui vaille est celle qu’un contrat fixe, et elle se lit dans le contrat, pas sur une page de site. Au niveau Premium, CyberOne y ajoute un SOC hybride actif, qui combine experts et automatisation.
Répondre à un incident
La loi n’attend pas de vous que vous soyez irréprochable. Elle attend que vous sachiez réagir, et que vous le disiez dans les délais. La directive (UE) 2022/2555 organise la notification en trois temps : une alerte précoce sous 24 heures, une notification d’incident sous 72 heures, un rapport final sous un mois.
Ce qui se prépare avant, et jamais pendant :
- qui décide qu’il s’agit d’un incident, et qui notifie
- les coordonnées de l’autorité et le canal de notification, écrits ailleurs que sur le réseau touché
- ce qu’on isole en premier, et ce qu’on restaure ensuite
- où sont les sauvegardes, et la dernière fois qu’une restauration a été essayée
Le dernier point est celui qui pardonne le moins. Une sauvegarde qu’on n’a jamais restaurée est une hypothèse, pas une sauvegarde.
La gouvernance : la direction est nommée
C’est le changement que les dirigeants voient le moins venir. Les mesures de gestion des risques doivent être approuvées et supervisées par la direction, et la directive prévoit que les membres des organes de direction suivent une formation. La cybersécurité cesse d’être un sujet délégué au service informatique.
En pratique : un point à l’ordre du jour, une trace écrite des décisions, et quelqu’un qui en répond. Une organisation où personne ne sait qui répond de la cybersécurité a déjà un écart, avant tout examen technique.
NIS2 et Microsoft 365
Beaucoup d’entreprises luxembourgeoises ont déjà l’essentiel de leur informatique dans Microsoft 365. Un tenant correctement réglé couvre une partie des mesures techniques : authentification multifacteur et accès conditionnel, droits d’accès, journalisation, chiffrement, classification des documents avec Purview.
Ce qu’il ne couvre pas, et il faut le dire dans le même souffle : la gouvernance, l’inventaire des prestataires, la procédure de notification, et la preuve que tout cela fonctionne. Un tenant n’est pas une conformité. C’est un socle, et c’est déjà beaucoup lorsqu’il est configuré, ce qu’il n’est presque jamais par défaut.
NIS2 et CyberOne
CyberOne existe en deux niveaux, Standard et Premium. Premium inclut tout le Standard et y ajoute quatre diagnostics et un SOC hybride actif.
Face à NIS2, ce que l’offre apporte est l’outillage et la régularité : les règles de sécurité, la sensibilisation des équipes, la surveillance, et des diagnostics qui alimentent la gap analysis. Ce qu’elle n’apporte pas est la décision de conformité, qui reste la vôtre.
Une partie de ces dépenses peut être financée par l’État : voir les SME Packages, jusqu’à 70 % de financement, sous conditions d’éligibilité et sur décision du ministère de l’Économie.
Les sources officielles
Cette page ne demande pas qu’on la croie sur parole. Les quatre textes qu’elle résume sont publics, et ce sont eux qui font foi, pas notre résumé.
- Le texte de la directive NIS2, au Journal officiel de l’Union européenne EUR-Lex
- La page NIS2 de la Commission européenne (en anglais) Commission européenne
- L’état de transposition, pays par pays (en anglais) Commission européenne
- La loi luxembourgeoise du 5 mai 2026, texte publié Legilux
- Les pages NIS2 de l’autorité compétente luxembourgeoise ILR
- L’auto-enregistrement, la démarche à faire soi-même ILR
- Le simulateur de périmètre : votre entreprise est-elle concernée ILR
Questions fréquentes
Questions fréquentes
Par quoi commencer si je ne sais pas si je suis concerné ?
Par le secteur et la taille, puis par la question du sous-traitant : travaillez-vous pour une entité régulée ? Les trois réponses tiennent dans une réunion, et c’est le point de départ de l’audit.
Un prestataire peut-il me rendre conforme à NIS2 ?
Non. Un prestataire installe des mesures, documente et outille. La conformité, elle, s’apprécie chez l’entité assujettie, par son autorité de contrôle. Une offre qui promet la conformité elle-même promet ce qu’elle ne détient pas.
Quelle est la différence entre un audit NIS2 et une gap analysis ?
L’audit constate ce qui existe. La gap analysis met ce constat en face des mesures attendues et en tire une liste priorisée. Le premier décrit, la seconde décide de l’ordre.
Combien de temps prend un audit NIS2 ?
Cela dépend de la taille du parc et du nombre de prestataires, et nous ne l’annonçons pas d’avance sur une page de site. Le périmètre et le délai sont fixés avant de commencer, dans le devis.
Faut-il un SOC pour être en règle ?
La loi demande une capacité de détection et de réaction, pas un SOC nommément. Un SOC est un moyen de l’obtenir, pertinent au-delà d’une certaine taille ou d’un certain niveau de risque. En dessous, une supervision plus légère et une procédure écrite peuvent suffire.
Le plus simple, c’est d’en parler
Un premier chiffrage sous 24 heures ouvrées, un devis ferme après audit de votre parc. Sans engagement, et autour d’un café si vous préférez.
Contact direct
Téléphone
E-mail commercial
Adresse
2 Am Brill, L-3961 Ehlange-sur-Mess
