NIS2 PME Luxembourg : obligations et checklist de conformité

En savoir plus sur l'implémentation de l'IA au Luxembourg, et sur les outils de sécurité fondés sur l'IA dans notre guide IA et cybersécurité pour les entreprises luxembourgeoises.

Depuis que l'ILR a présenté la nouvelle loi en juillet, la question des dirigeants de PME luxembourgeoises n'est plus « qu'est-ce que NIS2 ? », mais « est-ce que cela nous concerne, et sinon, pourquoi un client m'envoie-t-il un questionnaire de sécurité de 60 questions ? ». Les deux questions ont une réponse courte, et le travail qui suit est surtout organisationnel : savoir ce que l'on a, qui en est responsable, et pouvoir le prouver.

Un mot sur l'auteur. 20 More est un studio d'automatisation par l'IA, pas une société de cybersécurité. Nous n'exploitons pas de SOC et ne faisons pas de tests d'intrusion. Ce que nous construisons, c'est la mécanique de conformité autour : collecte des preuves, questionnaires fournisseurs, registres des politiques et des actifs. Ce guide est la version simple que je donne à mes clients avant qu'ils parlent à leur prestataire informatique ou à leur avocat. Ce sont des informations pratiques, pas un avis juridique.

NIS2 s'applique-t-elle à mon entreprise ?

Trois questions suffisent. Répondez-y dans l'ordre.

Trois détails qui piègent souvent :

• La taille du groupe compte. La définition des PME additionne les effectifs et les chiffres des entreprises partenaires et liées (recommandation 2003/361/CE, annexe, art. 3 et 6). Une filiale luxembourgeoise de 30 personnes d'un grand groupe n'est généralement pas « petite ».
• Essentielle ou importante. Les entités de l'annexe I qui dépassent les plafonds des moyennes entreprises (250 salariés ou plus, ou chiffre d'affaires supérieur à 50 millions € et bilan supérieur à 43 millions €) sont en général essentielles ; les autres entités concernées sont en général importantes (directive, art. 3, par. 1 et 2). Les obligations sont les mêmes ; la supervision et les amendes maximales diffèrent.
• Les prestataires informatiques sont concernés. Les fournisseurs de services gérés et de services de sécurité gérés figurent à l'annexe I, sous « gestion des services TIC (interentreprises) ». Une société de services informatiques luxembourgeoise de 60 personnes est très probablement une entité concernée elle-même.

L'ILR propose un simulateur NIS 2 en ligne pour vérifier l'applicabilité (simulateur ILR). Il est indicatif et ne vaut pas avis juridique, mais c'est le premier contrôle le plus rapide.

Et si nous sommes une banque, un fonds ou une autre entité financière ?

Pour les entités financières couvertes par DORA, DORA est l'acte sectoriel qui prime sur NIS2 pour la gestion du risque TIC et la notification des incidents (règlement (UE) 2022/2554, art. 1, par. 2 ; NIS2, art. 4). Au Luxembourg, la CSSF est l'autorité compétente NIS2 pour le secteur bancaire et les infrastructures des marchés financiers, ainsi que pour les infrastructures numériques et la gestion des services TIC relevant de sa surveillance (FAQ NIS2 de l'ILR). Si votre question est « comment répondre aux exigences de la CSSF en matière de cybersécurité ? », notre guide DORA et AI Act pour les acteurs financiers luxembourgeois est le meilleur point de départ.

Quelles obligations la loi luxembourgeoise impose-t-elle ?

La loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité a été publiée le 6 mai 2026 et est entrée en vigueur le 10 mai 2026, en remplacement de la loi NIS1 de 2019 ; l'ILR est l'autorité compétente, y compris pour la supervision et l'exécution (ILR, cadre légal ; ILR, entrée en vigueur). Il s'agissait du projet de loi n° 8364 à la Chambre des députés (rapport de la commission).

1. S'enregistrer auprès de l'ILR. L'auto-enregistrement devait intervenir dans les deux mois suivant l'entrée en vigueur, soit au plus tard le 10 juillet 2026, et toute modification doit être notifiée dans les deux semaines. Ne pas s'enregistrer n'exonère pas des obligations de la loi (ILR, auto-enregistrement). Si vous êtes concerné et ne l'avez pas fait, faites-le maintenant.

2. Appliquer les dix mesures de gestion des risques de l'article 21, paragraphe 2, proportionnées à votre taille, à votre exposition et au coût des mesures (art. 21, par. 1, directive) :

3. Notifier les incidents importants selon un calendrier fixe (art. 23, par. 4, directive) :

• alerte précoce dans les 24 heures après en avoir eu connaissance ;
• notification d'incident dans les 72 heures, avec une première évaluation ;
• rapport final dans un délai d'un mois après la notification.

Au Luxembourg, les notifications passent par le portail d'incidents SERIMA de l'ILR (ILR, SERIMA).

4. Engager la direction. L'organe de direction doit approuver les mesures, superviser leur mise en œuvre et peut être tenu responsable des manquements ; ses membres doivent suivre une formation (art. 20, directive). Externaliser le travail technique n'externalise pas cette responsabilité.

5. S'attendre à des contrôles et à des amendes. Les entités essentielles font l'objet d'une supervision proactive, les entités importantes d'une supervision a posteriori, en général après un incident ou une plainte (art. 32 et 33). Les amendes maximales sont d'au moins 10 millions € ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles et de 7 millions € ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu (art. 34, par. 4 et 5, directive). L'ILR indique des sanctions allant de l'avertissement jusqu'à 10 millions € ou 2 % du chiffre d'affaires mondial (ILR).

Hors champ ? Vos clients vous poseront quand même les questions

C'est la partie que la plupart des petites entreprises luxembourgeoises ressentent en premier. L'article 21, paragraphe 2, point d), fait de la sécurité de la chaîne d'approvisionnement une obligation de chaque entité concernée, et l'article 21, paragraphe 3, lui demande de tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité de ses pratiques de cybersécurité (directive). Votre client concerné ne peut pas le faire sans vous interroger.

En pratique, cela arrive sous forme de :

• questionnaire de sécurité à l'entrée en relation ou au renouvellement (MFA, sauvegardes, correctifs, procédure d'incident, sous-traitants) ;
• clauses contractuelles : informer le client des incidents qui le concernent dans un délai fixé, maintenir certaines mesures, accepter un audit ou fournir des preuves ;
• demande de certificat ou de rapport (ISO/IEC 27001, rapport d'audit) ou, à défaut, de documents.

La bonne nouvelle : la checklist en 12 points ci-dessous est proche de ce que demandent ces questionnaires. Constituez les preuves une fois, et chaque nouveau questionnaire devient un exercice de copie et de vérification au lieu d'une semaine d'échanges d'e-mails.

Checklist de conformité NIS2 en 12 points pour une PME de 20 à 200 personnes

Que vous soyez dans le champ ou fournisseur d'une entreprise qui l'est, voici la liste que j'utilise. « Bien » signifie proportionné pour une entreprise sans équipe de sécurité dédiée.

Aucune de ces mesures n'exige un gros budget. La plupart exigent quelqu'un pour s'en charger et un endroit où conserver les preuves.

Deux points de départ nationaux gratuits : Fit4Cybersecurity, un auto-diagnostic en ligne anonyme du NC3 (Luxembourg House of Cybersecurity), qui peut déboucher sur un diagnostic gratuit par un expert pour les entreprises situées au Luxembourg (NC3), et le CIRCL, le CERT du secteur privé, des communes et des entités non gouvernementales au Luxembourg, à contacter en cas d'incident (CIRCL).

Un SOC est-il accessible pour une petite entreprise ?

NIS2 n'impose pas de centre opérationnel de sécurité (SOC). Elle impose la gestion des incidents et la capacité de notifier un incident important dans les 24 heures (art. 21, par. 2, point b), et art. 23, par. 4), de manière proportionnée à votre taille et à vos risques (art. 21, par. 1, directive). La vraie question : si quelque chose arrive à 2 heures du matin un samedi, qui s'en aperçoit, et qui agit ?

Pour la plupart des PME luxembourgeoises dans le champ, externaliser la surveillance de la cybersécurité 24 heures sur 24 est la réponse réaliste. Avant de signer, demandez au prestataire : quelles sources de journaux il surveille ; ce qu'il peut faire de lui-même (isoler un ordinateur, désactiver un compte) ; en combien de temps il vous appelle ; s'il vous aidera à préparer l'alerte précoce sous 24 heures ; où les données sont traitées ; et comment sortir du contrat. N'oubliez pas que ce prestataire est votre fournisseur au sens de l'article 21, paragraphe 2, point d), et qu'en tant que fournisseur de services de sécurité gérés il peut être lui-même une entité NIS2. La responsabilité reste à votre organe de direction (art. 20).

Quelle place pour l'IA ?

Deux endroits. Côté attaque, NIS2 ne cite pas les deepfakes, mais les « appels du PDG » à voix clonée et le phishing rédigé par IA sont exactement ce que visent les mesures g) formation et j) communications sécurisées : une règle de rappel pour tout changement de paiement vaut mieux que n'importe quel outil de détection. Côté défense, la plupart des outils modernes de sécurité de la messagerie et des postes utilisent déjà l'apprentissage automatique ; nous le détaillons dans notre guide IA et cybersécurité au Luxembourg.

Le troisième endroit est celui où travaille 20 More : l'administration de la conformité. Tenir à jour l'inventaire et le registre fournisseurs, pré-remplir les questionnaires clients à partir de votre dossier de preuves, relancer chaque trimestre les tests de restauration et les revues d'accès. C'est de l'automatisation documentaire et de workflows, le même travail que nos projets d'automatisation par l'IA réalisent pour les équipes finance et RH.

Questions fréquentes

NIS2 s'applique-t-elle aux PME au Luxembourg ?

Elle s'applique aux moyennes et grandes entreprises (50 salariés ou plus, ou chiffre d'affaires et bilan tous deux supérieurs à 10 millions €) des secteurs des annexes I et II de la directive (UE) 2022/2555, et à certaines catégories quelle que soit leur taille, comme les fournisseurs de télécommunications, de services de confiance et de DNS. Les petites entreprises hors de ces catégories ne sont pas directement concernées, mais doivent souvent satisfaire des exigences similaires en tant que fournisseurs de clients concernés. Le simulateur en ligne de l'ILR donne une première indication.

Qui supervise NIS2 au Luxembourg ?

L'Institut Luxembourgeois de Régulation (ILR) est l'autorité compétente en vertu de la loi du 5 mai 2026, en vigueur depuis le 10 mai 2026. La CSSF est l'autorité compétente pour le secteur bancaire et les infrastructures des marchés financiers, et de nombreuses entités financières suivent DORA plutôt que NIS2 pour le risque TIC et la notification des incidents. Les entités concernées devaient s'auto-enregistrer auprès de l'ILR au plus tard le 10 juillet 2026 (ILR).

Quels sont les délais de notification NIS2 ?

Selon l'article 23, paragraphe 4, de la directive, une entité concernée envoie une alerte précoce dans les 24 heures après avoir eu connaissance d'un incident important, une notification d'incident dans les 72 heures et un rapport final dans un délai d'un mois après la notification. Au Luxembourg, les notifications passent par le portail SERIMA de l'ILR. Préparez l'étape des 24 heures à l'avance, c'est celle que la plupart des petites entreprises manquent.

Quelles sont les amendes NIS2 ?

L'article 34 de la directive fixe des amendes administratives maximales d'au moins 10 millions € ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et d'au moins 7 millions € ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Les mesures de l'ILR vont de l'avertissement jusqu'à ces plafonds. Les membres de l'organe de direction peuvent aussi être tenus responsables en vertu de l'article 20.

Existe-t-il une checklist NIS2 pour les PME ?

La checklist de la directive elle-même, ce sont les dix mesures de l'article 21, paragraphe 2, appliquées en proportion de votre taille et de vos risques. Le tableau en 12 points de ce guide les traduit en actions concrètes pour une entreprise de 20 à 200 personnes, avec les preuves à conserver. L'auto-diagnostic gratuit Fit4Cybersecurity du NC3 permet de savoir où vous en êtes avant de commencer.

Si vous voulez transformer cette checklist en registres et en dossier de preuves qui se tiennent à jour tout seuls, décrivez-nous comment vous procédez aujourd'hui.