NIS2 au Luxembourg : ce que la loi du 5 mai 2026 change pour vous et vos fournisseurs de logiciels

01La situation au Luxembourg fin 2026

Au niveau européen, la directive NIS2 (ouvre un site externe) est en vigueur depuis le 16 janvier 2023. Les lois nationales devaient être prêtes pour le 17 octobre 2024 et appliquées le 18 octobre, jour où la première directive NIS a cessé d’exister. Tous les pays n’ont pas tenu ce calendrier, et la Commission poursuit plusieurs retardataires.

Au Grand-Duché, le texte de référence est la loi du 5 mai 2026 (projet de loi n° 8364), publiée au Mémorial A n° 225 le 6 mai et applicable depuis le 10 mai 2026. L’ILR supervise la plupart des secteurs, notamment l’énergie, la santé, les infrastructures numériques et l’administration publique. Sur son site, un portail sert à l’enregistrement et un simulateur aide chaque organisation à savoir si elle est visée.

02Entités essentielles et entités importantes

Deux annexes délimitent le champ. L’annexe I regroupe les secteurs les plus critiques, parmi lesquels l’énergie, les transports, la banque, la santé, l’eau, les infrastructures numériques, la gestion des services TIC et l’administration publique. L’annexe II en ajoute d’autres, comme la poste, les déchets, la chimie, l’alimentation, l’industrie, les fournisseurs numériques et la recherche. Le critère de taille écarte en principe les petites entreprises, avec des exceptions : services de confiance, DNS ou administration centrale entrent dans le champ quelle que soit leur taille.

L’article 3 distingue ensuite deux statuts :

• Entité essentielle : en majorité de grandes organisations de l’annexe I, plus quelques acteurs visés sans seuil (services de confiance qualifiés, registres de domaines de premier niveau, DNS, administration centrale). L’autorité les contrôle de manière proactive, audits et visites sur site compris.
• Entité importante : toute autre organisation couverte par les annexes. L’autorité intervient après coup, sur indices de manquement.

Pour l’essentiel, les obligations sont identiques : gestion des risques (article 21), notification des incidents (article 23), engagement de la direction (article 20). Supervision et sanctions font la différence. La directive impose aux lois nationales des plafonds d’amende minimaux pour les manquements aux articles 21 et 23 : 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, 7 millions d’euros ou 1,4 % pour une entité importante, en retenant le montant le plus haut. L’application de ces amendes aux administrations est laissée à chaque État. Les montants luxembourgeois figurent dans la loi du 5 mai 2026.

Votre fournisseur de logiciels est-il lui-même visé ?

Le développement logiciel n’est pas un secteur NIS2. Un prestataire peut néanmoins être visé en tant que tel, car l’annexe I mentionne les fournisseurs de services gérés, notion large qui recouvre l’installation, la gestion, l’exploitation ou la maintenance de systèmes TIC pour le compte de clients, à distance ou sur site. Une société de taille moyenne qui fait tourner ou maintient les applications de ses clients peut ainsi être une entité à part entière, tout comme un hébergeur cloud ou un exploitant de centre de données. Le règlement d’exécution (UE) 2024/2690 (ouvre un site externe) précise leurs obligations techniques.

Dans la majorité des cas, pourtant, un éditeur ou un intégrateur découvre NIS2 à travers ses clients : clauses ajoutées au contrat, questionnaires de sécurité, audits. S’y ajoute le règlement (UE) 2024/2847 sur la cyberrésilience (ouvre un site externe) pour les produits logiciels, avec une obligation de déclarer failles exploitées et incidents graves depuis le 11 septembre 2026, et une application complète au 11 décembre 2027.

03Les dix mesures minimales de l’article 21

Les mesures de l’article 21 sont techniques, opérationnelles et organisationnelles. Elles couvrent tous les types de risques, suivent l’état de l’art et les normes reconnues, et se dimensionnent selon l’exposition de l’entité, sa taille et la gravité possible d’un incident. La liste minimale :

1. 01une politique d’analyse des risques et de sécurité de l’information ;
2. 02le traitement des incidents ;
3. 03la continuité d’activité, avec sauvegardes, plan de reprise et gestion de crise ;
4. 04la maîtrise des fournisseurs, c’est-à-dire la sécurité de la relation avec chaque fournisseur ou prestataire direct ;
5. 05la sécurité tout au long du cycle de vie des systèmes, de l’achat au développement et à la maintenance, gestion et divulgation des failles comprises ;
6. 06la mesure de l’efficacité de ces dispositifs ;
7. 07les bonnes pratiques d’hygiène numérique et la sensibilisation du personnel ;
8. 08le recours à la cryptographie et, si nécessaire, au chiffrement ;
9. 09la sécurité liée au personnel, la gestion des droits d’accès et l’inventaire des actifs ;
10. 10si besoin, l’authentification forte ou continue, ainsi que des moyens sécurisés pour la voix, la vidéo, l’écrit et les communications d’urgence.

Les points 4 et 5 concernent directement les fournisseurs. Le paragraphe 3 de l’article 21 demande à l’entité d’apprécier, pour chaque fournisseur direct, ses vulnérabilités, la qualité de ses produits, ses pratiques de cybersécurité et sa façon de développer. Autrement dit, le client examinera aussi votre méthode, et non le seul livrable.

04La direction approuve, supervise et répond

L’article 20 confie à l’organe de direction trois rôles : approuver les mesures, en surveiller l’application et répondre des manquements. Ses membres doivent être formés, et la directive invite les entités à former régulièrement leur personnel. Pour le secteur public, le régime national de responsabilité des institutions et des agents reste applicable.

Conséquence pratique : un conseil d’administration ou un comité de direction voudra des informations qu’il peut comprendre. Quel prestataire porte quel service, quel risque reste ouvert, quel test a vraiment eu lieu.

05Notifier un incident : 24 heures, 72 heures, un mois

Selon l’article 23 de la directive, un incident important est notifié au CSIRT ou à l’autorité. La loi du 5 mai 2026 prévoit au Luxembourg un signalement dans les 24 heures à l’autorité compétente, l’ILR dans la plupart des secteurs. Est important l’incident qui a provoqué, ou peut provoquer, une perturbation grave des activités, une perte financière pour l’entité ou un dommage sérieux pour des tiers. Le calendrier se déroule ainsi :

Si l’incident risque de toucher les utilisateurs de ses services, l’entité les en informe elle aussi rapidement. Formulaires et portails varient d’un pays à l’autre.

Le délai court dès que l’entité a connaissance de l’incident. Lorsque tout commence dans le système d’un fournisseur, le client ne tient ses 24 heures que si le fournisseur détecte l’incident, le reconnaît comme tel et le transmet en quelques heures. Détection, journalisation et canal d’alerte convenu sont donc des clauses du contrat, pas de simples détails techniques.

06Ce qu’un client soumis à NIS2 demandera à son fournisseur de logiciels

Sur le terrain, l’article 21 devient une liste de mesures et de justificatifs qu’un prestataire sérieux doit pouvoir fournir immédiatement. Les demandes les plus fréquentes :

• Développement sécurisé. Modélisation des menaces avant les changements importants, relecture du code, tests de sécurité et contrôle des dépendances automatisés, builds signés, SBOM (nomenclature logicielle) à chaque version.
• Traitement des vulnérabilités. Une adresse publique pour signaler une faille, des délais de correction par niveau de gravité, une information du client dès que son environnement est exposé.
• Accès des équipes du prestataire. Un compte par personne, double authentification, droits minimaux, élévation temporaire et traçabilité de toute opération d’administration chez le client.
• Traces exploitables. Des événements de sécurité correctement horodatés, gardés le temps convenu et exportables, pour nourrir l’alerte précoce et le rapport final.
• Réaction commune aux incidents. Un interlocuteur et un canal fixés à l’avance, un délai d’alerte compatible avec les 24 heures du client, une aide à l’analyse des causes.
• Reprise prouvée. Des restaurations réellement testées, des objectifs de reprise cohérents avec ceux du client, une procédure déjà jouée.
• Transparence sur la sous-traitance. Qui intervient, où sont hébergées les données, et de quels composants ou services externes dépend l’application.
• Réversibilité. Données restituées dans un format utilisable, documentation et transfert de connaissances, pour changer de prestataire en gardant la main.

Rien de neuf pour une équipe d’ingénierie expérimentée. La nouveauté tient à la charge de la preuve, qui pèse désormais sur le client. Notre page Confiance et conformité explique notre fonctionnement de fournisseur, avec un système de management de la sécurité de l’information certifié ISO/IEC 27001.

07Liste de contrôle pour les contrats et les marchés publics

1. 01Cartographier. Pour chaque service concerné, le ou les prestataires impliqués, et ceux qui accèdent à vos systèmes ou à vos données.
2. 02Hiérarchiser. Les exigences maximales visent les fournisseurs capables d’exploiter ou de modifier un système critique.
3. 03Écrire les exigences. Dans le contrat ou dans le cahier des charges : niveau de sécurité attendu, délai et canal d’alerte, gestion des failles, journaux et durée de conservation, droit d’audit ou de preuve, sous-traitance et lieux d’hébergement.
4. 04Exiger des pièces. Un certificat accompagné de son périmètre, des résultats de tests, un SBOM, la date de la dernière restauration réussie.
5. 05Organiser la sortie. Restitution des données, accompagnement et durée pendant laquelle le service reste assuré.
6. 06S’entraîner. Un exercice d’incident commun avec les fournisseurs critiques, y compris l’alerte à 24 heures.
7. 07Mettre à jour. Un registre des fournisseurs revu une seule fois par an est faux onze mois sur douze.

08Le droit national fixe les détails

Enregistrement, notification, formulaires, autorité et exigences complémentaires dépendent du droit national. Au Luxembourg, l’ILR est l’interlocuteur de la plupart des secteurs. Le principe veut qu’une entité relève de son pays d’établissement. L’article 26 l’écarte dans trois cas : un opérateur de communications électroniques publiques relève de chaque pays où il opère ; les acteurs du cloud, des centres de données, des services gérés et d’autres services numériques, du pays de leur établissement principal ; une administration, de l’État qui l’a instituée. Un groupe actif au Luxembourg, en Belgique et en France peut ainsi dépendre de plusieurs autorités.

09Points à suivre dans les prochains mois

• Ce que publie l’ILR sur la loi du 5 mai 2026 : enregistrement, formulaires de notification, lignes directrices par secteur.
• Le sort de la proposition « omnibus numérique » (ouvre un site externe) de la Commission, COM(2025) 837 du 19 novembre 2025. Elle prévoit un guichet unique géré par l’ENISA pour les notifications d’incidents dues au titre de NIS2, du RGPD, de DORA et d’autres textes. En octobre 2026, la procédure au Parlement européen (ouvre un site externe)) n’était pas close ; jusqu’à son application, rien ne change dans les canaux et les délais.
• Les analyses de risques que l’Union mène sur les chaînes d’approvisionnement TIC critiques (article 22) et que les entités doivent intégrer à leurs exigences.
• L’entrée en application complète du règlement sur la cyberrésilience le 11 décembre 2027.

Banques, gestionnaires de fonds, assureurs et autres entités financières appliquent DORA au lieu des règles NIS2 sur les risques TIC, les incidents et la supervision ; lire à ce sujet notre article DORA : ce que la place financière attend de ses prestataires TIC. L’ILR consacre une page à la loi NIS2 (ouvre un site externe), avec ses outils. La Commission présente la directive et ses actes d’exécution sur sa page consacrée à NIS2 (ouvre un site externe).