Accueil / Cybersécurité / NIS2 au Luxembourg / Transport

NIS2 pour les opérateurs de transport au Luxembourg

Le secteur « Transport » figure à l'annexe I de la directive NIS2. Les grandes entreprises sont des entités essentielles ; les moyennes entreprises sont des entités importantes. Au Luxembourg, les règles découlent de la loi du 5 mai 2026 transposant NIS2, applicable depuis le 10 mai 2026. Autorité : l'Institut Luxembourgeois de Régulation (ILR).

→ Parler à un conseiller en cybersécurité

Qui est couvert dans ce secteur

• Transporteurs aériens, aéroports et contrôle de la circulation aérienne
• Gestionnaires d'infrastructure ferroviaire et entreprises ferroviaires
• Compagnies de transport par voie d'eau intérieure, maritime et côtier, exploitants portuaires et services de trafic maritime
• Autorités routières et exploitants de systèmes de transport intelligents

Les entreprises ordinaires de transport routier de marchandises et de logistique ne sont pas concernées au titre du transport ; mais elles reçoivent souvent des exigences de sécurité de clients concernés — voir la page sur le questionnaire fournisseur.

Les menaces les plus fréquentes dans ce secteur

• Rançongiciel sur les systèmes de planification, de billetterie et d'entrepôt
• Attaques sur les systèmes opérationnels des ports, du rail et de l'aviation
• Fraude et prise de contrôle de comptes dans les flux de réservation et de paiement
• Compromission de fournisseurs (IT, OT, maintenance)

Cinq mesures prioritaires

1. 01 Cartographier les systèmes dont la panne arrête l'exploitation
2. 02 Segmenter les réseaux opérationnels de l'informatique de bureau
3. 03 MFA et contrôle des accès à privilèges pour les fournisseurs
4. 04 Plans de continuité avec procédures manuelles de repli
5. 05 Procédure de notification d'incident pour l'alerte précoce sous 24 heures

Ce qu'exige la réglementation au Luxembourg

• La loi du 5 mai 2026 a été publiée au Mémorial A (n° 225) et s'applique depuis le 10 mai 2026.
• L'autorité compétente est l'ILR. L'auto-enregistrement devait être fait dans les deux mois, soit au plus tard le 10 juillet 2026.
• Les entités doivent adopter une politique de gestion des risques cyber couvrant les dix mesures minimales de la directive (analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, cryptographie…).
• Notification des incidents : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois.

Incidents importants : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. Amendes prévues par la directive : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes (le montant le plus élevé étant retenu).

Outils et guides

Transport dans les autres pays

Autres secteurs au Luxembourg

Questions fréquentes

Une entreprise du secteur « Transport » est-elle concernée par NIS2 au Luxembourg ?

Le secteur « Transport » figure à l'annexe I. Les grandes entreprises sont des entités essentielles ; les moyennes entreprises sont des entités importantes. Les petites entreprises ne sont généralement pas concernées, sauf désignation. Notre test NIS2 vous donne la réponse en deux minutes.

Par quoi commencer ?

Inscrivez-vous si vous êtes concerné, désignez un responsable, menez une courte analyse des risques et réglez les bases : MFA, sauvegardes testées, correctifs, procédure d'incident.

Nous sommes fournisseur de ce secteur. Sommes-nous concernés ?

Oui, indirectement : vos clients doivent sécuriser leur chaîne d'approvisionnement et vous demanderont des preuves. Consultez notre guide du questionnaire fournisseur.

Sources

• Guichet.lu / ILR — NIS2
• PwC Luxembourg — NIS2 in Luxembourg
• Paperjam — Up to 2,000 entities face NIS2 deadline

Dernière vérification : 28 septembre 2026. Cette page est une information générale, pas un avis juridique.