← Alle artikelen

NIS2 Luxemburg: vallen accountantskantoren eronder?

Gepubliceerd op 15 oktober 2026 · 8 min lezen · CyberNovaLabs.io

De wet van 5 mei 2026 noemt het woord accountancy nergens. Toch is uw kantoor daarmee niet klaar: er blijven drie ingangen over, en één ervan raakt Luxemburgse fiduciaires echt.

Het korte antwoord

Voor NIS2 Luxemburg vallen accountantskantoren en fiduciaires in de overgrote meerderheid van de gevallen buiten het toepassingsgebied. De wet van 5 mei 2026, in werking sinds 10 mei 2026, geldt alleen voor entiteiten « van een type bedoeld in bijlage I of II »^[1]. Die twee bijlagen noemen energie, vervoer, bankwezen, infrastructuur van de financiële markten, zorg, water, digitale infrastructuur, beheer van ICT-diensten, overheid, ruimtevaart, post, afvalbeheer, chemie, levensmiddelen, maakindustrie, onlinemarktplaatsen en onderzoek. Accountancy, fiduciair werk en domiciliëring van vennootschappen staan er niet bij.

Drie voorbehouden veranderen het antwoord voor een minderheid van de kantoren, en het zijn precies de voorbehouden die men vergeet: de IT die u voor uw klanten draait, de positie van enige aanbieder in het Groothertogdom, en aanwijzing door de toezichthouder.

NIS2 Luxemburg: valt u eronder? De toetsen op volgorde

Neem ze in deze volgorde. Het eerste « ja » betekent dat u eronder valt.

• De omvang. De wet raakt alleen entiteiten die ten minste een middelgrote onderneming zijn in de zin van artikel 2 van de bijlage bij aanbeveling 2003/361/EG, of die de daar genoemde grenzen overschrijden^[1]. Typisch Luxemburgs: artikel 1 verklaart artikel 3, lid 4, van die bijlage uitdrukkelijk niet van toepassing^[1], zodat u via de eigendomsstructuur niet « klein » kunt blijven op papier.
• Het type entiteit. Komt uw hoofdactiviteit overeen met een regel uit de bijlagen? Voor een accountantspraktijk niet. Voor een fiduciaire die ook een datacenter exploiteert wel.
• IT-diensten aan klanten. Dit is de enige echte valkuil van de sector: zie het volgende onderdeel.
• Enige aanbieder. Artikel 1, lid 2, brengt een entiteit ongeacht haar omvang binnen het toepassingsgebied wanneer zij « in het Groothertogdom Luxemburg de enige aanbieder is van een dienst die essentieel is voor het behoud van kritieke maatschappelijke of economische activiteiten »^[1]. In een markt van deze omvang is dat geen theorie.
• Aanwijzing. Hetzelfde lid maakt aanwijzing mogelijk wegens « het specifieke belang op nationaal of regionaal niveau »^[1]. Dat is een besluit van de toezichthouder, geen rekensom die u zelf maakt.
• DORA. De wet sluit entiteiten uit die buiten verordening (EU) 2022/2554 vallen op grond van artikel 2, lid 4, daarvan^[1]. Is uw structuur een financiële entiteit onder DORA, dan regelt DORA uw digitale weerbaarheid.

De valkuil van de sector: de fiduciaire die aanbieder van beheerde diensten wordt

Bijlage I kent een regel « beheer van ICT-diensten (business-to-business) », die « aanbieders van beheerde diensten » en « aanbieders van beheerde beveiligingsdiensten » omvat^[1]. De wettelijke definitie is ruim: een entiteit die diensten verleent in verband met « de installatie, het beheer, de exploitatie of het onderhoud van ICT-producten, netwerken, infrastructuur of toepassingen », via « bijstand of actief beheer, hetzij bij de klant, hetzij op afstand »^[1].

Veel Luxemburgse fiduciaires doen precies dat zonder het zo te noemen: zij hosten de boekhoudsoftware van de klant, beheren zijn inloggegevens, beheren zijn werkplekken en bewaren zijn authenticatiecertificaten. Drie concrete gevolgen:

• Geen automatische uitzondering op de omvang. Aanbieders van beheerde diensten staan niet op de lijst « ongeacht hun omvang » van artikel 1, lid 2, die alleen openbare elektronische communicatienetwerken en -diensten, vertrouwensdienstaanbieders, registers van topleveldomeinen en DNS-aanbieders noemt^[1]. Een klein kantoor blijft op die grond dus buiten het bereik zolang het niet middelgroot is.
• De toezichthouder wisselt. De ILR is bevoegd voor de bijlagen I en II, maar de CSSF is bevoegd voor digitale infrastructuur en beheer van ICT-diensten « voor zover het gaat om activiteiten die onder het toezicht van de Commission de Surveillance du Secteur Financier vallen »^[1]. Een fiduciaire met vergunning die de IT van financiële klanten beheert, heeft dus een andere toezichthouder dan haar buurkantoor.
• De registratiedatum ligt al achter u. Artikel 17 noemt 17 januari 2025 als datum waarop aanbieders van beheerde diensten en beheerde beveiligingsdiensten, cloudaanbieders en datacenteraanbieders hun gegevens moeten aanleveren^[1] — een datum die vóór de inwerkingtreding van de wet zelf ligt. Andere entiteiten binnen het bereik leveren hun gegevens binnen twee maanden na de inwerkingtreding^[1], dus op 10 juli 2026; de ILR stelt daarvoor een zelfregistratie ter beschikking^[3].

Herkent u zich hierin, lees dan onze pagina over beheerde IT-diensten onder NIS2 in Luxemburg.

Wie houdt in Luxemburg toezicht op wat

Wat ook buiten het toepassingsgebied voor u geldt

Een kantoor buiten NIS2 is geen kantoor zonder verplichtingen. Vier concrete punten, eigen aan de Luxemburgse markt.

• De beveiligingsvragenlijsten van uw klanten. Uw klanten onder toezicht vallen wél onder NIS2 of DORA en moeten hun toeleveringsketen beheersen. De vraag komt van hun inkoopafdeling, niet van een toezichthouder. Onze gids over de beveiligingsvragenlijst voor leveranciers geeft de lijn voor uw antwoorden.
• Door domiciliëring bent u kritiek voor uw klanten. De gewijzigde wet van 31 mei 1999 behoudt de rol van domiciliataris voor aan een gesloten lijst van gereglementeerde beroepen: kredietinstellingen en andere professionals uit de financiële en verzekeringssector, avocats à la Cour op lijst I, Europese advocaten op lijst IV, réviseurs d'entreprises, erkende réviseurs d'entreprises en expert-comptables^[5]. Een schriftelijke overeenkomst is verplicht, en schending van die regel is « een ernstige overtreding van de wet » die de gedomicilieerde vennootschap gerechtelijke ontbinding of sluiting kan kosten^[5]. In beveiligingstermen: u beheert de zetel, de post, de inloggegevens voor de registers en vaak de bankmandaten van tientallen vennootschappen. Eén gekraakte mailbox bij u, en hun juridische bestaan staat op het spel.
• De dossiers voor witwasbestrijding. De wet van 12 november 2004^[7] en de wet van 10 juni 1999 houdende organisatie van het beroep van expert-comptable^[6] verplichten u identificatiedossiers te bewaren: identiteitsbewijzen, bewijs van de herkomst van middelen, schema's van uiteindelijk begunstigden. Dat is precies het materiaal waarmee CEO-fraude slaagt.
• De AVG staat los van NIS2. Uw plichten rond beveiliging en het melden van datalekken blijven op zichzelf bestaan, onder toezicht van de Commission nationale pour la protection des données.

De eerste vijf acties

1. Beslecht de vraag over het toepassingsgebied schriftelijk, op één pagina. De zes toetsen hierboven, uw antwoord, de datum en de handtekening van een partner. Dat is het document dat u overlegt als ernaar wordt gevraagd, en het is beter dat het bestaat vóór de vraag komt.
2. Zet op een rij wat u voor klanten draait. Hosting, beheer van toegangsrechten, back-ups, onderhoud op afstand. Is die lijst niet leeg, lees dan de definitie van aanbieder van beheerde diensten opnieuw en doe de omvangstoets.
3. Zet meerfactorauthenticatie op alles wat naar buiten staat. E-mail, VPN, aangifteportalen, betaalmiddelen. Kantoren worden via hun mailbox aangevallen, niet via hun firewall.
4. Schrijf de incidentprocedure vóór het eerste incident. Wie beslist, wie belt de klant, wie belt het CSIRT, en binnen welke tijd. CIRCL is uw standaard contactpunt^[1].
5. Zoek de subsidie vóór u koopt. De regeling SME Packages – Cybersecurity van het ministerie van Economie vergoedt 70 % van de in aanmerking komende kosten voor een project tussen € 3.000 en € 25.000 exclusief btw, na een verplichte vooranalyse door de Luxembourg House of Cybersecurity^[8]. De zelfevaluatie Fit4Cybersecurity van SECURITYMADEIN.LU is gratis^[9].

Twee verwante stukken: dezelfde oefening voor accountantskantoren en fiduciaires in Frankrijk, en het geval van de maakindustrie in Luxemburg, waar bijlage II werkelijk bijt.

Bij CyberNovaLabs.io

Begin met onze gratis NIS2-check: zes vragen, een beargumenteerd antwoord over uw situatie, zonder registratie. De beschikbare steun staat samengevat op onze pagina subsidies cyberbeveiliging.

Heeft uw kantoor vooral nieuwe opdrachten nodig, dan maken wij gekwalificeerde afspraken voor accountantskantoren en fiduciaires, ook in Brussel, zonder looptijdverplichting en op kwalificatiecriteria die vóór de start zijn vastgelegd. De methode staat op onze pagina B2B-afspraken laten maken. Voor beveiligingstraining van uw mensen kunt u ons een bericht sturen: wij antwoorden met een programma en een prijsopgave.

Bronnen

1. Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (Mémorial A n° 225)
2. ILR — La loi NIS 2
3. ILR — Auto-enregistrement NIS 2
4. ILR — Décision ILR/N26/9 contre Eltrona Interdiffusion S.A. pour défaut de notification d'un incident (9 septembre 2026)
5. CSSF — Loi modifiée du 31 mai 1999 régissant la domiciliation des sociétés (texte coordonné)
6. Loi du 10 juin 1999 portant organisation de la profession d'expert-comptable
7. Loi du 12 novembre 2004 relative à la lutte contre le blanchiment et le financement du terrorisme
8. Guichet.lu — SME Packages – Cybersecurity
9. SECURITYMADEIN.LU — Fit4Cybersecurity

Lees ook