← Alle artikelen

NIS2 Luxemburg: vallen advocatenkantoren eronder?

Gepubliceerd op 30 oktober 2026 · 7 min lezen · CyberNovaLabs.io

Een Luxemburgs advocatenkantoor is geen NIS2-entiteit. Drie zijdeuren in de wet van 5 mei 2026 bereiken het toch, en artikel 35 van de wet van 1991 legt een eis op die de cyberwet niet kent.

Het korte antwoord

Nee. Een Luxemburgs advocatenkantoor is geen NIS2-entiteit omdat het de advocatuur uitoefent. De wet van 5 mei 2026, in werking sinds 10 mei 2026, geldt alleen voor entiteiten van een type dat in de bijlagen I en II staat^[1]. De Luxemburgse toezichthouder ILR publiceert de zestien sectoren: energie, vervoer, zorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten tussen bedrijven, openbaar bestuur, ruimtevaart, post- en koeriersdiensten, afval, chemie, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek^[3]. Juridische dienstverlening staat op geen enkele regel van die lijst. De echte vraag achter NIS2 Luxemburg en advocatenkantoren is dus niet of de wet u aanwijst, maar via welke zijdeur zij u toch bereikt. Er zijn er drie, en alle drie staan letterlijk in de Luxemburgse tekst.

NIS2 Luxemburg en advocatenkantoren: valt u eronder?

• Valt uw activiteit onder een van de zestien sectoren? Voor een kantoor dat op het tableau van de orde staat: nee.
• Oefent u naast de advocatuur een aparte activiteit uit die er wel onder valt? Een kantoor dat zelf een platform voor cliënten host, managed IT doorverkoopt of een ICT-dienst tussen bedrijven exploiteert, krijgt een ander antwoord. De werkelijke activiteit beslist, niet de beroepstitel.
• Gaat u over de size cap? De ILR beschouwt een entiteit als middelgroot bij minstens 50 en maximaal 249 medewerkers, of een jaaromzet tussen 10 en 50 miljoen euro, of een balanstotaal tussen 10 en 43 miljoen euro, beoordeeld op groepsniveau^[3]. Die toets doet alleen mee als de eerste vraag ja is: buiten de bijlagen speelt omvang geen rol.
• Bent u directe leverancier of dienstverlener van een essentiële of belangrijke entiteit? Dan gaat de rest van deze pagina volledig over u.

Wat de wet van 5 mei 2026 regelt

De ILR is de enige bevoegde autoriteit voor de bijlagen I en II, met een uitzondering voor de financiële toezichthouder CSSF voor het bankwezen, de infrastructuur van de financiële markten en de activiteiten digitale infrastructuur en beheer van ICT-diensten die onder haar eigen toezicht vallen^[1]. Het Haut-Commissariat à la Protection nationale is het centrale aanspreekpunt en de autoriteit voor cybercrisisbeheer. De CSIRT-rol is gesplitst: GOVCERT.LU voor de staat, openbare instellingen en kritieke entiteiten; CIRCL voor alle overige gevallen^[1]. Een particulier kantoor met een incident belt dus CIRCL, waarvan de operationele statistieken openbaar zijn^[11].

De zelfregistratie moest binnen twee maanden na inwerkingtreding gebeuren, dus uiterlijk 10 juli 2026^[10]. Belangrijke incidenten volgen drie stappen: eerste melding na vierentwintig uur, formele melding na tweeënzeventig uur, eindrapport na een maand^[1]. De ILR publiceerde op 28 september 2026 operationele richtsnoeren voor incidentbehandeling^[5] en op 3 augustus 2026 vier modellen: beschrijving van de getroffen maatregelen, analyse van cyberrisicoscenario's, meerjarig actieplan en lijst van afhankelijkheden^[2]. Dat laatste model raakt u.

De drie deuren die een Luxemburgs kantoor toch bereiken

1. De lijst van afhankelijkheden. Bij het bepalen van haar toezichtprioriteiten in de zin van artikel 21, lid 1, van de wet kan de ILR bepaalde categorieën essentiële entiteiten verplichten de lijst van hun afhankelijkheden van directe leveranciers of dienstverleners aan te leveren, en die lijst daarna jaarlijks opnieuw in te dienen^[4]. Een afhankelijkheid bestaat zodra de activiteit van de entiteit een beroep op een andere entiteit vereist. Anders gezegd: uw naam kan elk jaar in een document staan dat uw cliënt bij de toezichthouder indient, zonder dat u ooit een NIS2-entiteit bent geworden.

2. Beveiliging van de toeleveringsketen. Artikel 12, lid 2, punt 4, verplicht entiteiten de beveiliging van de toeleveringsketen aan te pakken, met inbegrip van beveiligingsaspecten van de betrekkingen tussen elke entiteit en haar directe leveranciers of dienstverleners; lid 4 voegt toe dat de entiteit rekening houdt met de specifieke kwetsbaarheden van elke directe dienstverlener en met de algemene kwaliteit van diens praktijken^[1]. En artikel 22, lid 2, geeft de autoriteit de bevoegdheid om bij een essentiële entiteit toegang tot documenten en bewijs van de uitvoering van haar beleid te vorderen, inclusief auditresultaten^[1]. Die druk zakt langs contract en vragenlijst door naar het kantoor.

3. De vrijwillige melding. Artikel 20, lid 1, punt 2, staat entiteiten die geen essentiële of belangrijke entiteit zijn uitdrukkelijk toe, ongeacht of zij onder het toepassingsgebied van deze wet vallen, bij de ILR een belangrijk incident, een cyberdreiging of een bijna-incident te melden; lid 2 stelt dat een vrijwillige melding geen extra verplichtingen oplegt aan de meldende entiteit^[1]. Het is de enige bepaling in de wet die een deur opent zonder u erachter op te sluiten.

Beroepsgeheim, de eis die NIS2 niet kent

Hier gaat het Luxemburgse beroepsrecht verder dan de cyberwet. Artikel 35, lid 1, van de wet van 10 augustus 1991 onderwerpt de advocaat aan het beroepsgeheim overeenkomstig artikel 458 van het Strafwetboek; lid 3 verklaart de werkplek van de advocaat en het geheim van de communicatie tussen advocaat en cliënt, met welk middel dan ook, onaantastbaar, en eist dat bij een civielrechtelijke of strafrechtelijke onderzoeksmaatregel bij of ten aanzien van een advocaat de deken of zijn vertegenwoordiger aanwezig is, op straffe van nietigheid te vermelden in de beslag- en huiszoekingsstukken^[6].

Het huishoudelijk reglement van de orde, het RIO, trekt die regel tot in uw systemen door. Artikel 7.1.3 somt op wat het geheim dekt: adviezen, correspondentie, gespreksaantekeningen, de namen van de cliënten, de agenda van de advocaat en de geldelijke afrekeningen tussen advocaat en cliënt^[7]. Een weggesluisde cliëntenlijst of een gestolen agenda is dus niet alleen een datalek: het is een schending van het geheim. Artikel 7.1.5 voegt toe dat de advocaat erop toeziet dat zijn medewerkers en iedere andere persoon met wie hij in zijn beroepsuitoefening samenwerkt zich eraan houden^[7]: uw hostingpartij en uw IT-beheerder zitten via het beroepsrecht binnen de kring van het geheim, nog voor enig NIS2-contract.

Het contrast met de wet van 5 mei 2026 is scherp: de enige twee vermeldingen van beroepsgeheim in die wet gaan over medewerkers van de CSSF en de ILR, nooit over de entiteit onder toezicht^[1]. De cybertekst voorziet geen enkele regeling voor een beroep met strafrechtelijk gesanctioneerd geheim. Het inrichten daarvan ligt bij u en bij uw afspraken met uw dienstverleners.

Eén incident, drie verschillende adressen

Drie adressen, drie klokken, één gebeurtenis. Dit is de tabel die een kantoor klaar moet hebben voor het incident, niet tijdens.

Wat de CNPD ziet, en waarom het een kantoor vol raakt

In 2025 ontving de Luxemburgse toezichthouder CNPD 425 meldingen van datalekken, tegen 442 in 2024, bijna 35 per maand, en 2 893 sinds de AVG op 25 mei 2018 van toepassing werd^[8]. Naar oorzaak: niet-kwaadwillige interne handeling 49 %, kwaadwillige externe handeling 30 %, kwaadwillige interne handeling 4 %. Naar type: verstrekking aan de verkeerde ontvanger 28,7 %, hacken 24,9 %. Naar impact vooral: 82,6 % van de gemelde lekken is verlies van vertrouwelijkheid^[8].

Voor elk ander bedrijf is een mail naar de verkeerde ontvanger een pijnlijk incident. Voor een Luxemburgse advocaat raakt diezelfde klik artikel 7.1.3 van het RIO en artikel 458 van het Strafwetboek. De CNPD merkt daarbij op dat hack- en phishingpogingen zich richten op de leiding van een organisatie en haar directe omgeving, assistenten of directiesecretariaat^[8]: in een kantoor is dat precies de plek waar honorariumovereenkomsten en bankgegevens langskomen.

De eerste vijf acties

1. Breng uw NIS2-cliënten in kaart. Noteer per cliënt of die essentieel of belangrijk is: zij vragen u om bewijs, en hun lijst van afhankelijkheden draagt uw naam. Onze gratis NIS2-check kwalificeert een cliënt in enkele minuten.
2. Bereid uw antwoorden op de leveranciersvragenlijst voor. Een set schriftelijke, gedateerde, ondertekende en herbruikbare antwoorden: hosting en locatie van de gegevens, versleuteling, back-ups en teststores, logging, meervoudige authenticatie, onderaannemers. Onze beveiligingsvragenlijst voor leveranciers volgt de meest gevraagde rubrieken.
3. Zet uw kring van het geheim schriftelijk in uw IT-contracten. Artikel 7.1.5 van het RIO verplicht u daar al toe; laat uw afspraken met uw hostingpartij, uw IT-beheerder en uw dossiersysteem dat ook zeggen, met een meldplicht binnen vierentwintig uur zodat u uw eigen termijnen kunt halen.
4. Schrijf de tabel met drie adressen hierboven uit, met namen, nummers en de verantwoordelijke per telefoontje, en test die een keer per jaar. De operationele richtsnoeren van de ILR geven ook buiten het toepassingsgebied een bruikbaar raamwerk^[5].
5. Verstevig het directiesecretariaat. Meervoudige authenticatie overal, vierogenfiattering bij elke wijziging van bankgegevens en een controle voor verzending van uitgaande post, want 28,7 % van de in Luxemburg gemelde lekken is een verzending aan de verkeerde ontvanger^[8].

Financiering: de voorwaarde die u eerst moet nagaan

De regeling SME Packages van het ministerie van Economie vergoedt 70 % van de subsidiabele kosten van een oplossing met digitale impact, bij een project tussen 3 000 en 25 000 euro exclusief btw. De op Guichet.lu gepubliceerde voorwaarden gelden cumulatief: beschikken over een vestigingsvergunning van het ministerie van Economie, voldoen aan de mkb-criteria voor personeel, omzet en balans, en de statutaire zetel in Luxemburg hebben; de onderneming wordt terugbetaald na de oplevering van het pakket^[9]. Voor een advocatenkantoor, dat zijn beroep uitoefent op grond van inschrijving op het tableau van de orde en niet op grond van een vergunning van het ministerie van Economie, is juist die eerste voorwaarde het punt om te laten bevestigen voordat u de steun in een begroting zet. Wij houden de subsidies voor cyberbeveiliging en de deadlines per land bij.

Ter vergelijking: onze gids NIS2 Frankrijk en advocatenkantoren behandelt dezelfde vraag onder Frans recht, en NIS2 Luxemburg voor accountantskantoren en fiduciaires laat zien hoe een Luxemburgse fiduciaire zelf binnen het toepassingsgebied kan belanden door managed serviceprovider te worden. Het landdetail staat op onze pagina NIS2 in Luxemburg en het blad beheer van ICT-diensten.

Bij CyberNovaLabs.io

Wij helpen Luxemburgse kantoren twee eisen tegelijk te dragen: het beroepsgeheim van artikel 35 en het bewijs dat hun onder NIS2 vallende cliënten vragen. Concreet: cliënten en afhankelijkheden in kaart, een dossier met antwoorden op de leveranciersvragenlijst, een toets van de IT-contracten langs artikel 7.1.5 van het RIO, en het verstevigen van de meest blootgestelde plek, het directiesecretariaat. Wij werken ook aan inkomende vraag, via software op maat en via B2B-afspraken laten maken, met een regionale ingang in Brussel; voor de deontologische regels rond prospectie, zie B2B-afspraken laten maken voor advocatenkantoren. Prijs op aanvraag.

Uw dossier bespreken met CyberNovaLabs.io

Bronnen

1. Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité — Legilux
2. ILR — La loi NIS 2 (aperçu, nouveautés, publications)
3. ILR — NIS 2 : périmètre et champ d'application (secteurs et size-cap)
4. ILR — Modèle NIS 2 : liste des dépendances (publié le 3 août 2026)
5. ILR — Operational Guidance For Incident Handling (publié le 28 septembre 2026)
6. Loi du 10 août 1991 sur la profession d'avocat — Legilux
7. Barreau de Luxembourg — Règlement intérieur de l'Ordre (RIO), version consolidée au 23.08.2022
8. CNPD — Rapport annuel 2025 (violations de données notifiées)
9. Guichet.lu — SME Packages : solution à impact digital (ministère de l'Économie)
10. ILR — Auto-enregistrement des entités importantes et essentielles
11. CIRCL — Operational Statistics (CSIRT du Luxembourg)

Lees ook