← Alle artikelen

NIS2 Luxemburg: vallen hotels en toerisme eronder?

Gepubliceerd op 20 oktober 2026 · 9 min lezen · CyberNovaLabs.io

Horeca staat in geen enkele bijlage van de Luxemburgse NIS2-wet. Toch raken drie verplichtingen u, en een daarvan beslist nu al of uw zakelijke contracten verlengd worden.

Het korte antwoord

Nee. In Luxemburg is een hotel, een camping, een restaurant of een reisbureau geen NIS2-entiteit. De wet van 5 mei 2026 over maatregelen voor een hoog niveau van cyberbeveiliging trad op 10 mei 2026 in werking^[1][3] en neemt de bijlagen van de Europese richtlijn over: energie, vervoer, bankwezen, zorg, water, digitale infrastructuur, openbaar bestuur en ruimtevaart aan de ene kant; post, afval, chemie, levensmiddelenproductie, maakindustrie, onlineplatforms en onderzoek aan de andere^[3]. Horeca komt er nergens in voor. U hoeft zich dus niet bij de ILR te registreren, u hebt geen melding binnen 24 uur en geen NIS2-boete te vrezen.

Drie zaken raken u wel, en de derde beslist nu al over contracten: de AVG over uw gastgegevens, met de CNPD als toezichthouder; de beveiligingsvragenlijsten van uw zakelijke klanten, waarvan sommige zelf wel NIS2-entiteit zijn; en uw gebouw- en keukenregelaars, die vanaf internet bereikbaar zijn. Deze pagina behandelt alle drie, met de Luxemburgse loketten en cijfers.

NIS2 Luxemburg: valt u eronder? De toetsen op rij

Eén toets die u niet haalt, zet u buiten de wet. Neem ze in de volgorde die de ILR aanhoudt.

1. Staat uw activiteit in bijlage I of II? Voor een hotel, camping, restaurant, cateraar of touroperator: nee. Let wel op de regel "productie, verwerking en distributie van levensmiddelen" in bijlage II: een centrale keuken die maaltijden produceert en aan derden levert, is voor de wet geen restaurant meer maar levensmiddelenproductie.
2. Haalt u de omvangsdrempel? Essentiële entiteit: minstens 250 medewerkers, of 50 miljoen euro jaaromzet, of 43 miljoen euro balanstotaal. Belangrijke entiteit: minstens 50 medewerkers, of 10 miljoen euro omzet of balanstotaal^[3]. Reken op groepsniveau, niet per vestiging.
3. Oefent u een activiteit uit die ongeacht de omvang onder de wet valt? Aanbieders van DNS-diensten, registers van domeinnamen, vertrouwensdienstverleners en enkele andere vallen eronder zonder drempel. Een hotelgroep die de systemen van andere exploitanten in haar eigen datacenter host, verkoopt geen kamers meer maar digitale infrastructuur.
4. Bent u leverancier van een entiteit die er wel onder valt? U blijft buiten de wet, maar uw verplichtingen worden contractueel. Dat is het punt dat geld kost, en het staat hieronder.

De officiële simulator van de ILR op nis2.ilr.lu geeft binnen enkele minuten een indicatief oordeel^[4]; het is geen registratie. Classificeert hij u als essentiële of belangrijke entiteit, dan moest de zelfregistratie bij de ILR uiterlijk op 10 juli 2026 gebeuren, twee maanden na de inwerkingtreding^[2]. Wie te laat is, lost dat op door zich nu op guichet.ilr.lu te melden, niet door op een brief te wachten.

Wie houdt waarop toezicht in Luxemburg

Luxemburg heeft de rollen over vier instanties verdeeld. Weten wie u belt, levert u de eerste uren van een incident op.

Voor entiteiten binnen de wet loopt de melding in drie stappen: vroegtijdige waarschuwing binnen 24 uur, incidentmelding binnen 72 uur, eindrapport uiterlijk een maand later^[1]. De bestuurlijke boetes gaan tot 10 miljoen euro of 2% van de wereldwijde omzet voor een essentiële entiteit^[3] en tot 7 miljoen euro of 1,4% voor een belangrijke entiteit^[5], waarbij het hoogste bedrag geldt.

De valkuil van de sector: uw regelaars praten met internet

Een modern Luxemburgs hotel heeft meer machines online staan dan een kantoor met evenveel personeel: gebouwbeheer, kamersloten, camerabewaking, de check-inzuil, de koelcel in de keuken, de gasten-wifi en het kassasysteem. Elk onderdeel is meestal door een andere installateur geplaatst, met toegang op afstand die "voor het onderhoud" is blijven openstaan.

Dat is geen theorie. CERT-FR waarschuwde in oktober 2026 voor Danfoss-koelregelaars die vanaf internet te besturen waren, precies het type apparaat dat achter een hotelkeuken staat. We schreven erover in onze analyse van koelregelaars die online staan. Een koelcel die op zaterdagavond uitvalt, kost u de zondagsservice en de voorraad; daar is geen wet voor nodig om de rekening te krijgen.

De tweede brandhaard is uw reserveringsketen. Het PMS, de channel manager en de boekingssites verwerken namen, verblijfsdata, kaartnummers en soms kopieën van identiteitsbewijzen. Kaartgegevens brengen u onder de PCI DSS-regels van uw betaaldienstverlener, en dat is een contract en geen wet: raakt u die conformiteit kwijt, dan raakt u het betaalmiddel kwijt. Allergieën en dieetwensen voor een banket zijn gezondheidsgegevens onder de AVG en vragen om beperkte toegang en een vastgelegde bewaartermijn.

De andere valkuil: het account van de seizoenskracht die in september vertrok

Luxemburg registreerde in 2025 3.586.219 overnachtingen in betaalde logies, bij 1.597.720 aankomsten en een gemiddelde verblijfsduur van 2,24 nachten^[9]. Korte verblijven, volume geconcentreerd in het seizoen en teams die doorstromen: de sector opent en sluit permanent gebruikersaccounts — receptie, huishouding, keuken, banketkrachten, stagiairs.

Precies daar beginnen de incidenten. De CNPD behandelde in 2025 425 meldingen van datalekken, met menselijke fouten als belangrijkste oorzaak op 49%, vóór cyberaanvallen en verstrekking aan een onbevoegde ontvanger^[8]. Het aantal klachten steeg in één jaar met 40%, naar 846^[8]: uw gasten kennen hun rechten. Bij een Nederlandse bezorger waren de inloggegevens van één oud-medewerker genoeg voor een datalek, zoals we beschreven in inloggegevens van een oud-medewerker.

Wat u wél bindt: de klant die zelf NIS2-entiteit is

Entiteiten binnen de wet moeten de beveiliging van hun toeleveringsketen beheersen. Dat doen ze op de enige manier die ze hebben: via contracten met hun leveranciers. Een Luxemburgs hotel heeft daar veel van — een bank onder CSSF-toezicht die seminars boekt, een maakbedrijf uit bijlage II dat projectteams onderbrengt, een vervoerder, een Europese instelling op de Kirchberg met een raamcontract voor kamers en zalen.

In de praktijk komt de beveiligingsvragenlijst vóór de verlenging, niet erna. De vragen die deals blokkeren zijn altijd dezelfde: hebt u tweefactorauthenticatie op toegang op afstand, een schriftelijke meldprocedure met een termijn, geteste back-ups, een lijst van uw eigen digitale onderaannemers? Hoe u die beantwoordt, staat in onze gids voor de beveiligingsvragenlijst van leveranciers. Het dichtstbijzijnde parallel is dat van de accountantskantoren en fiduciaires in Luxemburg: ook buiten de wet, ook gecontroleerd door hun klanten. Voor de vergelijking over de grens: onze gids over NIS2 voor hotels en toerisme in Frankrijk, en het overzicht van NIS2 in Luxemburg.

Eén landspecifiek punt verdient aandacht: een groot deel van het horecapersoneel in Luxemburg woont in België, Frankrijk of Duitsland, en een deel van de administratie gebeurt vanuit het buitenland. Elke toegang op afstand tot uw PMS vanaf een woning over de grens moet via tweefactorauthenticatie lopen, anders kunt u geen enkele vragenlijst eerlijk invullen.

De eerste vijf stappen

1. Doorloop de ILR-simulator op nis2.ilr.lu en bewaar het gedateerde resultaat als pdf^[4]. Dat is uw schriftelijke bewijs dat u buiten de wet valt, en het document waar uw klant om vraagt.
2. Sluit de accounts van vertrokken medewerkers en verwijder gedeelde logins in het PMS, de kassa en het slotsysteem. Wijs één verantwoordelijke voor die lijst aan, met een maandelijkse controle in de planning.
3. Inventariseer uw regelaars en sluit hun toegang op afstand af: koelcellen, gebouwbeheer, camerabewaking, zuilen. Voor elke toegang die een installateur eist, verlangt u een account op naam en tweefactorauthenticatie.
4. Schrijf uw datalekprocedure uit: wie het ziet, wie beslist, wie binnen 72 uur bij de CNPD meldt, wie CIRCL belt^[6][8]. Eén pagina is genoeg, ophangen bij de receptie en bij de directie.
5. Doe de gratis Fit4Cybersecurity-zelfevaluatie en de MONARC-risicoanalyse, beide Luxemburgs en bereikbaar via CASES.lu^[12]. Het rapport dat eruit komt, dient meteen als antwoord op klantvragenlijsten.

Bij CyberNovaLabs.io

Begin met de gratis NIS2-check: tien vragen, een schriftelijk oordeel over uw situatie, en de lijst van wat u ook buiten de wet kan worden tegengeworpen. Onze pagina over subsidies voor cyberbeveiliging vat de regelingen in de vier landen samen waar wij werken.

Is uw vraag eerder commercieel — een agenda vullen met seminars, banketten of zakelijke raamcontracten — dan doen wij ook B2B-afspraken laten maken, zonder looptijdverplichting en op aanvraag geprijsd. Een vragenlijst die ingevuld moet worden, een regelaar waarvan u niet weet of hij online staat, twijfel over uw classificatie: schrijf ons en we bekijken uw concrete geval.

Bronnen

1. ILR — NIS 2 (loi du 5 mai 2026)
2. ILR — Auto-enregistrement NIS 2
3. gouvernement.lu — Cybersecurite : l'ILR presente la nouvelle loi NIS 2 (06/07/2026)
4. ILR — Simulateur NIS 2
5. Directive (UE) 2022/2555, article 34 (amendes)
6. CIRCL — CSIRT national du Luxembourg
7. HCPN — Circulaire NIS2
8. CNPD — Rapport annuel 2025
9. Luxembourg for Tourism / STATEC — Key tourism figures 2025
10. Guichet.lu — Programmes Fit 4 (dont Fit 4 Cybersecurity)
11. Guichet.lu — SME Packages
12. CASES.lu — Fit4Cybersecurity et MONARC

Lees ook