← Alle artikelen

NIS2 Luxemburg: valt de bouw onder de wet?

Gepubliceerd op 4 november 2026 · 8 min lezen · CyberNovaLabs.io

In Luxemburg staat de bouw niet op de NIS2-sectorlijst van het ILR. De wet van 5 mei 2026, de omvangdrempel en de registratie van 10 juli 2026 gelden niet louter omdat een firma bouwt.

Het korte antwoord

Nee, in de overgrote meerderheid van de gevallen. Een bouwbedrijf of aannemer gevestigd in Luxemburg is geen NIS2-entiteit louter omdat het bouwt. De pagina van het Institut luxembourgeois de régulation (ILR) die de sectoren van de bijlagen I en II samenvat, noemt noch de bouw van gebouwen, noch de civiele techniek, noch gespecialiseerde bouwwerken.^[1]

Drie feiten zijn eigen aan Luxemburg, en ze kopieert u niet uit België of Frankrijk. De wet van 5 mei 2026 is op 10 mei 2026 in werking getreden. De autoriteit die de sectoren onder die wet houdt, is het ILR.^[2] Registratie van entiteiten die werkelijk onder de wet vallen, was vereist uiterlijk op 10 juli 2026.^[3] Uitvoeringsverordening (EU) 2024/2690, die het ILR publiceert, geldt voor soorten digitale entiteiten, niet voor bouwplaatsen.^[4]

Deze gids citeert de pagina's van het ILR en de teksten waarnaar zij verwijzen. Hij vervangt noch de wet, noch het advies van uw eigen raadsman. Het ILR zegt zelf dat zijn vragen en antwoorden geen einduitleg zijn.^[6]

Valt u eronder?

Deze gids is voor u als u een onderneming leidt, of aan haar verkoopt, waarvan het hoofdberoep de bouwplaats in Luxemburg is:

• hoofdaannemer, ruwbouw, afwerking, of een ontwikkelaar die zelf bouwt;
• civiele techniek, wegen, grondwerken, bijzondere funderingen;
• specialisten: gebouwelektriciteit, HVAC, dakwerk, schrijnwerk, schilderwerk, stellingen;
• een groep met een Luxemburgse aannemingsdochter en een andere activiteit elders;
• een leverancier die een veiligheidsvragenlijst beantwoordt van een opdrachtgever, een ziekenhuis, een energiebeheerder of een overheid.

Het woord « bouw » volstaat niet. Het ILR past de wet toe op entiteiten die actief zijn in een of meer sectoren van de bijlagen I en II, en daarna, standaard, op die welke een zekere omvang halen.^[1] Staat het beroep niet op de lijst, dan schept de omvang de plicht niet.

Wat de wet in Luxemburg eist

Richtlijn (EU) 2022/2555 is omgezet door de wet van 5 mei 2026 betreffende maatregelen voor een hoog niveau van cyberbeveiliging. Het ILR stelt dat deze wet op 10 mei 2026 in werking is getreden. Zij heeft de NIS1-wet ingetrokken, alsook de artikelen 42 en 43 van de wet van 17 december 2021 over elektronische-communicatienetwerken en -diensten.^[2] De tekst staat op Legilux.^[7]

De lijst die het ILR samenvat, en die voor deze gids opnieuw is gelezen, is: energie; vervoer; gezondheid; drinkwater; afvalwater; digitale infrastructuur; beheer van ICT-diensten (B2B); openbaar bestuur; ruimtevaart; post- en koeriersdiensten; afvalbeheer; vervaardiging, productie en distributie van chemische stoffen; productie, verwerking en distributie van levensmiddelen; maakindustrie (manufacturing); digitale aanbieders; onderzoek.^[1] De bouw staat er niet op. Het woord komt op die pagina niet voor.

De omvangdrempel geldt alleen als de sector op de lijst staat

Voor een activiteit die wél op de lijst staat, herhaalt het ILR de omvangregel. Een entiteit is middelgroot als zij ten minste 50 en niet meer dan 249 werknemers heeft, of een jaaromzet tussen 10 en 50 miljoen euro, of een balanstotaal tussen 10 en 43 miljoen euro. Wordt een van deze criteria overschreden, dan is de onderneming groot.^[1]

De berekening gebeurt op groepsniveau. Het ILR verwijst naar artikel 6 van de bijlage bij Aanbeveling 2003/361/EG: 100 procent van de gegevens van de onderzochte onderneming, 100 procent van de verbonden ondernemingen, en het evenredige aandeel van de partnerondernemingen. Partners van partners tellen niet mee.^[1] Een Luxemburgse werf met 30 mensen kan dus meetellen voor de drempel van een moeder waarvan een andere activiteit wél op de lijst staat. Het omgekeerde geldt niet: 400 vaklieden op werven maken op zich geen NIS2-entiteit.

Los van de omvang merkt het ILR op dat een entiteit als essentieel of belangrijk kan worden aangewezen volgens precieze criteria, bijvoorbeeld als zij al als kritieke entiteit is aangewezen, of als zij de enige leverancier in haar vak is.^[1] Dat is een aanwijzing, geen automatisch gevolg van het bouwberoep.

Activiteit van de groep	Op de lijst van het ILR	Gevolg in de praktijk
Bouwplaats, ruwbouw, afwerking, civiele techniek	Nee. Deze beroepen staan niet in de samenvatting van de bijlagen.[1]	Geen NIS2-entiteit louter door dit beroep. Geen registratie « voor de zekerheid ».
Een fabriek of maakindustrie	« Manufacturing » is een aparte regel. Het ILR preciseert dat sommige sectoren deelsectoren hebben.[1]	Besluit niet vanaf de bouwplaats. Lees de sectordefinitie vóór u beslist.
Vervoer, afval, energie, zorg, water, digitaal, beheerde ICT-diensten	Ja, als dat de activiteit is, en niet een werktuig op de werf.[1]	De drempel wordt dan op groepsniveau berekend. De registratie mikte op 10 juli 2026.[3]
Leverancier van een klant die al onder de wet valt	De klant kan eronder vallen. U daarom niet.	Een contractuele vragenlijst. Geen inschrijving bij het ILR.

Wat het ILR vraagt van wie er wél onder valt

Haalt een genoemde activiteit van de groep de drempel, dan tellen twee verschillen, en die lopen niet door naar de naburige werf.

De registratie. Het ILR noemt haar een wettelijke verplichting, te vervullen binnen twee maanden na de inwerkingtreding, dus uiterlijk op 10 juli 2026. Registraties van vóór de inwerkingtreding blijven geldig als de gegevens juist zijn en bijgewerkt blijven. Niet registreren ontslaat de entiteit niet van haar verplichtingen.^[3] Op 4 november 2026 is die datum verstreken voor wie al onder de wet viel.

Het toezicht. De FAQ van het ILR stelt dat belangrijke entiteiten in beginsel dezelfde beveiligingseisen moeten naleven als essentiële entiteiten. Het verschil zit in het toezicht: essentiële entiteiten worden vooraf en achteraf gevolgd; belangrijke entiteiten alleen achteraf. Belangrijke entiteiten leveren niet routinematig bepaalde stukken, zoals de risicoanalyse of de beschrijving van de maatregelen. Na een incident kan het ILR die stukken vragen.^[6]

Het incident. Voor entiteiten in de sectoren die het instituut houdt, vraagt het ILR een melding binnen de eerste 24 uur.^[5] Een incident, in de zin van artikel 2, lid 5, van de wet, tast de beschikbaarheid, de authenticiteit, de integriteit of de vertrouwelijkheid aan van opgeslagen, verzonden of verwerkte gegevens, of van de diensten die worden aangeboden door, of toegankelijk zijn via, netwerk- en informatiesystemen. Het is significant, in de zin van artikel 14, lid 3, als het een ernstige operationele verstoring of financieel verlies voor de entiteit heeft veroorzaakt of kan veroorzaken, of als het andere natuurlijke of rechtspersonen heeft geraakt of kan raken door aanzienlijke materiële of immateriële schade.^[5]

Het tijdschema dat het ILR publiceert is daarna: een voorlopige melding uiterlijk 24 uur nadat u kennis heeft van het significante incident; een formele melding binnen 72 uur; een eindrapport uiterlijk een maand na de incidentmelding. Is het incident niet gesloten, dan kan een verlenging van een maand worden gevraagd, met een voortgangsrapport.^[5] Het kanaal dat op de pagina's van het ILR wordt genoemd, is SERIMA.^[9] Dat tijdschema geldt voor entiteiten in de gehouden sectoren. Het is geen sanctie op het metselvak.

Wat u toch aangaat

Niet op de lijst is niet buiten onderwerp. Drie vragen keren terug op Luxemburgse werven, en geen ervan lost u op door u ten onrechte in te schrijven.

De vragenlijst van een klant die zelf onder de wet valt. Een ziekenhuis, een energiebeheerder, een overheid of een genoemde fabrikant kan een incidentcontact eisen, een regel voor toegang tot plannen, en een bewijs van back-up, vóór u op zijn netwerk mag. Dat is een clausule van zijn contract. Het is geen bewijs dat uw onderneming een essentiële of belangrijke entiteit is.

De andere activiteit van dezelfde groep. De regel « beheer van ICT-diensten (B2B) » geldt voor wie die diensten levert, niet voor de firma die planningssoftware op de werf gebruikt.^[1] Een dochter die een netwerk uitbaat, afval verwerkt, of produceert in een genoemde deelsector, wordt apart beoordeeld. De drempel wordt wel berekend met de verbonden ondernemingen.^[1]

Gegevens en e-mail. Dossiers van vaklieden, plannen en contactgegevens van opdrachtgevers blijven persoonsgegevens: deze gids herhaalt de praktijk van de CNPD niet, die hier niet opnieuw is gelezen. Een vragenlijst van een klant vraagt vaak of het domein verstuurt met SPF, DKIM en DMARC. Dat is een maatregel voor aflevering en tegen misbruik van de afzender. Het is op zich geen NIS2-plicht van de bouw.

De eerste 5 acties

1. Schrijf de werkelijke activiteiten van de groep tegenover de lijst van het ILR, niet tegenover het woord « bouw ». Verschijnt alleen de bouw, zeg dat schriftelijk: het beroep staat niet in de samenvatting van de bijlagen.^[1]
2. Bereken de omvangdrempel, op groepsniveau, alleen als een genoemde activiteit bestaat. Gebruik de drie criteria van het ILR, niet één ervan.^[1]
3. Haalt een genoemde activiteit de drempel, registreer haar bij het ILR. De gepubliceerde datum was 10 juli 2026, en het ontbreken van een registratie zet de andere plichten niet uit.^[3] Registreer een zuiver bouwberoep niet om « in orde » te zijn.
4. Stuurt een klant die onder de wet valt een vragenlijst, antwoord als leverancier: incidentcontact, wie de plannen inkijkt, waar de back-ups staan. Leg dat antwoord apart van elke ILR-inschrijving.
5. Doe de gratis test, en scheid e-mailbeveiliging van de NIS2-vraag. De test toont of een andere activiteit van de groep het antwoord verandert.

Hetzelfde beroep, beoordeeld in Frankrijk, staat in NIS2 en bouw in Frankrijk. In Luxemburg hebben twee sectoren die wél op de lijst van het ILR staan al een pagina: maakindustrie en vervoer en logistiek. De landpagina is NIS2 Luxemburg. Het aanbod staat op B2B-afspraken laten maken.

Bij CyberNovaLabs.io

CyberNovaLabs.io verkoopt geen NIS2-inschrijving, en belooft geen resultaat van naleving. De gratis test dient om te zien of een activiteit van de groep op de lijst staat, vóór enige afspraak. B2B-afspraken laten maken, als dat wordt gevraagd, gebeurt op offerte, per afspraak of voor een vast bedrag, zonder duurtijdverbintenis. Er wordt geen volume beloofd. Hier staat geen prijs.

De test staat op de pagina NIS2-test. Om de activiteitenlijst van de groep te laten nalezen, beschrijf de onderneming.

De stand opmaken

Bronnen

1. ILR, Scope and field of application of the NIS 2 Act
2. ILR, The NIS 2 Act (loi du 5 mai 2026, entrée en vigueur le 10 mai 2026)
3. ILR, Self-registration
4. ILR, Commission Implementing Regulation (EU) 2024/2690
5. ILR, Incident notification
6. ILR, Frequently asked questions about NIS2
7. Legilux, loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité
8. Directive (UE) 2022/2555
9. SERIMA, notification d'incident

Lees ook