Accueil / Cybersécurité / NIS2 au Luxembourg

NIS2 au Luxembourg : ce qui s'applique et ce qu'il faut faire maintenant

Loi du 5 mai 2026 transposant NIS2 — en vigueur depuis le 10 mai 2026. Autorité : l'Institut Luxembourgeois de Régulation (ILR). Les estimations du nombre d'entités luxembourgeoises concernées vont d'environ 1 200 à 2 000.

→ Parler à un conseiller en cybersécurité

L'essentiel

• La loi du 5 mai 2026 a été publiée au Mémorial A (n° 225) et s'applique depuis le 10 mai 2026.
• L'autorité compétente est l'ILR. L'auto-enregistrement devait être fait dans les deux mois, soit au plus tard le 10 juillet 2026.
• Les entités doivent adopter une politique de gestion des risques cyber couvrant les dix mesures minimales de la directive (analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, cryptographie…).
• Notification des incidents : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois.

Obligations une fois concerné

1. 01 Analyse des risques et politiques de sécurité des systèmes d'information
2. 02 Gestion des incidents
3. 03 Continuité d'activité, sauvegardes et gestion de crise
4. 04 Sécurité de la chaîne d'approvisionnement (vos fournisseurs et prestataires)
5. 05 Sécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris la gestion des vulnérabilités
6. 06 Politiques d'évaluation de l'efficacité des mesures
7. 07 Hygiène informatique de base et formation du personnel
8. 08 Cryptographie et chiffrement
9. 09 Sécurité des ressources humaines, contrôle des accès et gestion des actifs
10. 10 Authentification multifacteur et communications sécurisées

Incidents importants : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois.

Amendes prévues par la directive : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes (le montant le plus élevé étant retenu).

NIS2 par secteur au Luxembourg

Vous n'êtes pas concerné vous-même ?

Si vous fournissez des entreprises qui le sont, vous recevrez leurs exigences. Voir les 30 questions d'un questionnaire de sécurité fournisseur →

Autres pays

Questions fréquentes

NIS2 s'applique-t-elle à mon entreprise au Luxembourg ?

Elle s'applique aux moyennes et grandes entreprises des secteurs listés par la directive, et à certains fournisseurs quelle que soit leur taille. Utilisez notre test NIS2 gratuit pour obtenir une réponse au Luxembourg en deux minutes.

Quelle est l'autorité compétente au Luxembourg ?

L'Institut Luxembourgeois de Régulation (ILR).

Et si nous avons manqué la date limite d'inscription ?

Inscrivez-vous maintenant et documentez la raison du retard. Les autorités tiennent compte de la bonne foi et de ce que vous faites ensuite ; rester non inscrit est la pire option.

Sources

• Guichet.lu / ILR — NIS2
• PwC Luxembourg — NIS2 in Luxembourg
• Paperjam — Up to 2,000 entities face NIS2 deadline

Dernière vérification : 28 septembre 2026. Cette page est une information générale, pas un avis juridique.