Tech··4 min
NIS2 au Luxembourg : quelles entreprises sont concernées et par où commencer
Depuis mai 2026, la loi transposant la directive NIS2 impose de nouvelles obligations de cybersécurité à des centaines d'entreprises luxembourgeoises. Voici comment savoir si vous êtes concerné, et que faire si vous avez raté l'échéance du 10 juillet.
Depuis le 10 mai 2026, la loi du 5 mai 2026 « concernant des mesures destinées à assurer un niveau élevé de cybersécurité » transpose au Luxembourg la directive européenne NIS2 (UE 2022/2555), selon l'Institut Luxembourgeois de Régulation (ILR). Publiée au Mémorial A 225, elle étend les obligations de cybersécurité bien au-delà des grands opérateurs historiques, vers des PME industrielles, logistiques ou agroalimentaires qui ne se pensaient pas concernées.
L'ILR, guichet unique de la nouvelle loi
L'ILR agit comme autorité compétente chef de file et point de contact unique pour NIS2 au Luxembourg, selon ses propres informations. Le CSSF conserve sa compétence spécifique pour le secteur bancaire et les infrastructures des marchés financiers, ce qui évite un double enregistrement pour les établissements déjà supervisés par la Commission de surveillance du secteur financier. Pour toute entreprise hors finance, c'est donc vers l'ILR que se tournent les démarches d'enregistrement, de notification d'incident et de questions de conformité.
Suis-je concerné ? Deux catégories, des seuils précis
La loi distingue deux catégories d'entités, selon leur taille et leur secteur d'activité, d'après le communiqué du gouvernement du 6 juillet 2026.
| Catégorie | Seuils | Secteurs concernés |
|---|---|---|
| Entités essentielles | ≥ 250 salariés, ou CA > 50 M€, ou bilan > 43 M€ | Secteurs hautement critiques de l'annexe I : énergie, transport, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion B2B ICT, administration publique, espace |
| Entités importantes | ≥ 50 salariés, ou CA > 10 M€ | PME de l'annexe I, ou entreprises de l'annexe II : industrie manufacturière, plateformes en ligne, production alimentaire, services postaux, gestion des déchets, chimie, recherche |
Dans les faits, cela couvre un spectre large : un hébergeur ou fournisseur de services cloud relève de l'infrastructure numérique de l'annexe I et devient entité essentielle dès qu'il dépasse les seuils de taille, un transporteur ou logisticien luxembourgeois entre dans le même secteur hautement critique via le transport, une clinique ou un laboratoire relève de la santé, et un fabricant agroalimentaire de taille moyenne peut se retrouver entité importante au titre de la production alimentaire de l'annexe II, même avec un effectif modeste. Le bon réflexe est de croiser votre secteur d'activité principal avec votre effectif, votre chiffre d'affaires et votre bilan, plutôt que de vous fier à une impression de taille.
Vous avez raté l'auto-enregistrement du 10 juillet : que faire maintenant
Les entités concernées devaient s'auto-enregistrer auprès de l'ILR au plus tard le 10 juillet 2026, une échéance présentée par l'ILR lors d'une conférence de presse le 6 juillet 2026, selon gouvernement.lu. Si votre entreprise a dépassé cette date sans s'enregistrer, la situation n'est pas bloquée : selon la FAQ de l'ILR, le formulaire d'auto-enregistrement reste accessible en continu, sans date de fermeture ferme annoncée. Mieux vaut donc régulariser sans attendre plutôt que de laisser la situation en suspens, en s'appuyant sur le formulaire et la FAQ publiés par le régulateur.
Le non-respect des obligations de la loi expose par ailleurs à des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, selon gouvernement.lu. C'est cette échelle de sanction qui donne la mesure du risque à ne pas laisser traîner un enregistrement en retard.
Notification d'incident : le compte à rebours de 24 heures
Une fois enregistrées, les entités essentielles et importantes doivent notifier tout incident ayant un impact important dans un délai de 24 heures, selon gouvernement.lu. Concrètement, cela suppose d'avoir identifié à l'avance qui, en interne, reçoit l'alerte un dimanche soir, qui décide si l'incident franchit le seuil d'un « impact important », et par quel canal la notification part vers l'ILR. Une entreprise qui découvre cette procédure au moment de l'incident perd un temps précieux sur un délai déjà serré.
- Vérifier votre statut sur le formulaire d'auto-enregistrement de l'ILR si ce n'est pas déjà fait.
- Désigner en interne un point de contact et un circuit de décision pour la notification d'incident sous 24 heures.
- Consulter la FAQ NISS/NIS2 de l'ILR pour les questions spécifiques à votre secteur.
Ce que cet article ne remplace pas
Cet article donne des repères pour situer votre entreprise face à la loi du 5 mai 2026, pas un avis juridique définitif : la qualification exacte de votre entité (essentielle, importante, ou hors périmètre) dépend de votre situation précise et mérite d'être vérifiée directement auprès de l'ILR, via sa page NIS2 et sa FAQ dédiée. Pour les entreprises qui avancent en parallèle sur d'autres chantiers réglementaires numériques, notre article sur la facturation électronique B2B avec l'État détaille un calendrier comparable de mise en conformité.
