← Toutes les ressources

NIS2 Luxembourg : les cabinets d'avocats sont-ils concernés ?

Publié le 30 octobre 2026 · 7 min de lecture · CyberNovaLabs.io

Un cabinet d'avocats luxembourgeois n'est pas une entité NIS2. Trois portes latérales de la loi du 5 mai 2026 l'atteignent quand même, et l'article 35 de la loi de 1991 lui impose une contrainte que la loi cyber ignore.

La réponse courte

Non. Un cabinet d'avocats luxembourgeois n'est pas une entité NIS2 du fait qu'il exerce le droit. La loi du 5 mai 2026, entrée en vigueur le 10 mai 2026, ne s'applique qu'aux entités d'un type visé à ses annexes I et II^[1]. L'Institut luxembourgeois de régulation (ILR) en publie les seize secteurs : énergie, transport, santé, eau potable, eaux usées, infrastructure numérique, gestion de services TIC entre entreprises, administration publique, espace, services postaux et d'expédition, déchets, produits chimiques, denrées alimentaires, fabrication, fournisseurs numériques, recherche^[3]. Les services juridiques n'y figurent à aucune ligne. La vraie question n'est donc pas de savoir si la loi vous désigne, mais par quelle porte latérale elle vous atteint : il y en a trois, toutes écrites dans le texte luxembourgeois.

NIS2 Luxembourg et cabinets d'avocats : êtes-vous concerné ?

• Votre activité relève-t-elle d'un des seize secteurs ? Pour une étude inscrite au tableau de l'Ordre : non.
• Exercez-vous, à côté du barreau, une activité distincte qui en relève ? Un cabinet qui héberge lui-même une plateforme pour ses clients, revend de l'infogérance ou opère un service TIC entre entreprises change de réponse. C'est l'activité réelle qui compte, pas le statut professionnel.
• Dépassez-vous le size-cap ? L'ILR retient comme moyenne une entité comptant au moins 50 et au plus 249 personnes, ou réalisant un chiffre d'affaires annuel entre 10 et 50 millions d'euros, ou présentant un total de bilan entre 10 et 43 millions d'euros, apprécié au niveau du groupe^[3]. Ce critère ne joue que si le premier est rempli : hors annexes, la taille est sans effet.
• Êtes-vous fournisseur ou prestataire direct d'une entité essentielle ou importante ? Si oui, la suite de cette page vous concerne entièrement.

Ce que la loi du 5 mai 2026 organise au Luxembourg

L'ILR est l'autorité compétente unique pour les annexes I et II, avec une dérogation au profit de la Commission de surveillance du secteur financier pour le secteur bancaire, les infrastructures des marchés financiers et les activités d'infrastructure numérique et de gestion de services TIC placées sous sa surveillance^[1]. Le Haut-Commissariat à la Protection nationale est le point de contact unique et l'autorité de gestion des crises cyber. Le CSIRT est dédoublé : GOVCERT.LU pour l'État, les établissements publics et les entités critiques ; le CIRCL pour tous les autres cas^[1]. Une étude privée qui subit un incident appelle donc le CIRCL, dont les statistiques opérationnelles sont publiques^[11].

L'auto-enregistrement était dû dans les deux mois de l'entrée en vigueur, soit au 10 juillet 2026^[10]. Les incidents importants suivent trois temps : notification préliminaire à vingt-quatre heures, notification formelle à soixante-douze heures, rapport final à un mois^[1]. L'ILR a publié un guide opérationnel de traitement des incidents le 28 septembre 2026^[5], et quatre modèles le 3 août 2026 : description des mesures en place, analyse des scénarios de risques cyber, plan d'action pluriannuel, et liste des dépendances^[2]. Ce dernier est celui qui vous concerne.

Les trois portes qui rattrapent un cabinet luxembourgeois

1. La liste des dépendances. Dans la fixation de ses priorités de supervision au sens de l'article 21, paragraphe 1er, de la loi, l'ILR peut soumettre certaines catégories d'entités essentielles à l'obligation de communiquer la liste de leurs dépendances à l'égard de leurs fournisseurs directs ou prestataires de services, puis de la communiquer sur une base annuelle^[4]. Une dépendance existe dès que l'activité de l'entité requiert le recours à une autre entité. Autrement dit : votre nom peut figurer chaque année dans un document déposé chez le régulateur par votre client, sans que vous soyez jamais devenu une entité NIS2.

2. La chaîne d'approvisionnement. L'article 12, paragraphe 2, point 4, impose de traiter la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ; le paragraphe 4 ajoute que l'entité tient compte des vulnérabilités propres à chaque prestataire direct et de la qualité globale de ses pratiques^[1]. Et l'article 22, paragraphe 2, permet à l'autorité de demander à une entité essentielle l'accès aux documents et les preuves de la mise en œuvre de ses politiques, y compris des résultats d'audits^[1]. La pression redescend sur le cabinet, par contrat et par questionnaire.

3. Le signalement volontaire. L'article 20, paragraphe 1er, point 2, autorise expressément les entités autres que les entités essentielles et importantes, indépendamment du fait qu'elles relèvent ou non du champ d'application de la présente loi, à notifier à l'ILR un incident important, une cybermenace ou un incident évité ; le paragraphe 2 précise qu'un signalement volontaire n'impose aucune obligation supplémentaire à celui qui le transmet^[1]. C'est la seule disposition de la loi qui vous ouvre une porte sans vous enfermer derrière.

Le secret professionnel, la contrainte que NIS2 ne connaît pas

Ici le droit luxembourgeois de la profession va plus loin que la loi cyber. L'article 35, paragraphe 1er, de la loi du 10 août 1991 soumet l'avocat au secret professionnel conformément à l'article 458 du Code pénal ; le paragraphe 3 déclare inviolables le lieu de travail de l'avocat et le secret des communications, par quelque moyen que ce soit, entre l'avocat et son client, et exige, lorsqu'une mesure de procédure civile ou d'instruction criminelle est effectuée auprès ou à l'égard d'un avocat, la présence du Bâtonnier ou de son représentant, mentionnée à peine de nullité dans les actes de saisie et procès-verbaux de perquisition^[6].

Le Règlement intérieur de l'Ordre prolonge la règle jusque dans vos systèmes. L'article 7.1.3 énumère ce que couvre le secret : consultations, correspondances, notes d'entretien, le nom des mandants, l'agenda de l'avocat et les règlements pécuniaires entre l'avocat et son mandant^[7]. Un annuaire client exfiltré ou un agenda volé n'est donc pas seulement une violation de données : c'est une atteinte au secret. L'article 7.1.5 ajoute que l'avocat veille à ce que les personnes qu'il emploie et toute autre personne avec qui il coopère et/ou collabore dans son activité professionnelle s'y conforment^[7] : votre hébergeur et votre infogérant sont dans le périmètre du secret par la déontologie, avant tout contrat NIS2.

Le contraste avec la loi du 5 mai 2026 est net : les deux seules occurrences de secret professionnel y visent les agents de la CSSF et de l'ILR, jamais l'entité surveillée^[1]. Le texte cyber ne prévoit aucun aménagement pour une profession à secret pénalement sanctionné. C'est à vous, et à vos conventions avec vos prestataires, de l'organiser.

Un seul incident, trois destinataires différents

Trois adresses, trois horloges, un seul événement. C'est le tableau qu'un cabinet doit avoir écrit avant l'incident, pas pendant.

Ce que la CNPD observe, et qui vise un cabinet de plein fouet

En 2025, la CNPD a reçu 425 notifications de violations de données, contre 442 en 2024, soit près de 35 par mois, et 2 893 depuis l'entrée en application du RGPD le 25 mai 2018^[8]. Côté causes : acte interne non malveillant 49 %, acte externe malveillant 30 %, acte interne malveillant 4 %. Côté types : divulgation au mauvais destinataire 28,7 %, piratage 24,9 %. Côté impact, surtout : 82,6 % des violations notifiées sont une perte de confidentialité^[8].

Pour toute autre entreprise, un courriel parti au mauvais destinataire est un incident regrettable. Pour un avocat luxembourgeois, le même geste touche l'article 7.1.3 du RIO et l'article 458 du Code pénal. La CNPD note par ailleurs que des actes de piratage et de hameçonnage ciblent le personnel de direction et son entourage, assistant ou secrétariat de direction^[8] : dans une étude, c'est exactement le poste qui voit passer les conventions d'honoraires et les coordonnées bancaires.

Les cinq premières actions

1. Tracez vos clients soumis à NIS2. Notez pour chacun s'il est essentiel ou important : ce sont eux qui vous demanderont des preuves, et c'est leur liste de dépendances qui portera votre nom. Le test NIS2 gratuit qualifie un client en quelques minutes.
2. Préparez vos réponses au questionnaire fournisseur. Un jeu de réponses écrites, datées, signées et réutilisables : hébergement et localisation des données, chiffrement, sauvegardes et test de restauration, journalisation, authentification à plusieurs facteurs, sous-traitants. Notre questionnaire de sécurité fournisseur reprend les rubriques les plus demandées.
3. Mettez votre périmètre de secret par écrit dans vos contrats informatiques. L'article 7.1.5 du RIO vous l'impose déjà ; faites-le dire aux conventions avec votre hébergeur, votre infogérant et votre outil de gestion de dossiers, avec une clause de notification sous vingt-quatre heures qui vous laisse tenir vos propres délais.
4. Écrivez le tableau des trois destinataires ci-dessus, avec les noms, les numéros et le responsable de chaque appel, et testez-le une fois par an. Le guide opérationnel de l'ILR donne une trame utile même hors champ^[5].
5. Durcissez le secrétariat de direction. Authentification à plusieurs facteurs partout, validation à deux personnes de tout changement de coordonnées bancaires, et contrôle avant transmission des envois sortants, puisque 28,7 % des violations notifiées au Luxembourg sont un envoi au mauvais destinataire^[8].

Financement : la condition à vérifier avant de compter dessus

Le dispositif SME Packages du ministère de l'Économie cofinance 70 % des coûts éligibles d'une solution à impact digital, pour un projet compris entre 3 000 et 25 000 euros hors TVA. Les conditions publiées sur Guichet.lu sont cumulatives : disposer d'une autorisation d'établissement octroyée par le ministère de l'Économie, remplir les critères de PME en effectifs, chiffre d'affaires et bilan, et avoir son siège social au Luxembourg ; l'entreprise est remboursée après la mise en place du package^[9]. Pour un cabinet d'avocats, dont l'exercice repose sur l'inscription au tableau de l'Ordre et non sur une autorisation du ministère de l'Économie, cette première condition est précisément le point à faire confirmer avant d'inscrire l'aide dans un budget. Nous tenons à jour les aides à la cybersécurité et les échéances par pays.

Pour comparer, notre guide NIS2 France et les cabinets d'avocats traite la même question sous le droit français, et NIS2 Luxembourg pour les cabinets comptables et fiduciaires montre comment une fiduciaire luxembourgeoise peut, elle, basculer dans le champ en devenant fournisseur de services gérés. Le détail du pays est sur notre page NIS2 au Luxembourg et sa fiche gestion de services informatiques.

Chez CyberNovaLabs.io

Nous aidons les cabinets luxembourgeois à tenir deux exigences à la fois : le secret professionnel de l'article 35 et les preuves que réclament leurs clients soumis à NIS2. Concrètement : cartographie des clients et des dépendances, dossier de réponses au questionnaire fournisseur, revue des contrats informatiques sous l'angle de l'article 7.1.5 du RIO, et durcissement du poste le plus exposé, le secrétariat de direction. Nous travaillons aussi la demande entrante, par le logiciel sur mesure et par la prise de rendez-vous B2B au Luxembourg ; pour les règles déontologiques de la prospection, voyez la prise de rendez-vous B2B pour les cabinets d'avocats. Prix sur devis.

Parler de votre dossier avec CyberNovaLabs.io

Sources

1. Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité — Legilux
2. ILR — La loi NIS 2 (aperçu, nouveautés, publications)
3. ILR — NIS 2 : périmètre et champ d'application (secteurs et size-cap)
4. ILR — Modèle NIS 2 : liste des dépendances (publié le 3 août 2026)
5. ILR — Operational Guidance For Incident Handling (publié le 28 septembre 2026)
6. Loi du 10 août 1991 sur la profession d'avocat — Legilux
7. Barreau de Luxembourg — Règlement intérieur de l'Ordre (RIO), version consolidée au 23.08.2022
8. CNPD — Rapport annuel 2025 (violations de données notifiées)
9. Guichet.lu — SME Packages : solution à impact digital (ministère de l'Économie)
10. ILR — Auto-enregistrement des entités importantes et essentielles
11. CIRCL — Operational Statistics (CSIRT du Luxembourg)

À lire aussi