← Toutes les ressources

NIS2 Luxembourg : cabinets comptables et fiduciaires, concernés ?

Publié le 15 octobre 2026 · 8 min de lecture · CyberNovaLabs.io

La loi du 5 mai 2026 ne nomme nulle part la comptabilité. Cela ne veut pas dire que votre cabinet est tranquille : trois portes d'entrée subsistent, et une seule concerne vraiment les fiduciaires luxembourgeoises.

La réponse courte

En matière de NIS2 Luxembourg, les cabinets comptables et les fiduciaires sont, dans la très grande majorité des cas, hors du champ. La loi du 5 mai 2026, entrée en vigueur le 10 mai 2026, ne s'applique qu'aux entités « d'un type visé à l'annexe I ou II »^[1]. Ces deux annexes listent l'énergie, les transports, la banque, les infrastructures des marchés financiers, la santé, l'eau, les infrastructures numériques, la gestion des services TIC, l'administration publique, l'espace, les services postaux, la gestion des déchets, la chimie, l'agroalimentaire, la fabrication, le commerce en ligne et la recherche. Ni la comptabilité, ni l'activité fiduciaire, ni la domiciliation n'y figurent.

Trois réserves changent la réponse pour une minorité de cabinets : l'informatique que vous exploitez pour vos clients, le statut de prestataire unique au Grand-Duché, et la désignation par l'autorité.

NIS2 Luxembourg : êtes-vous concerné ? Les critères dans l'ordre

Prenez-les dans cet ordre. Le premier « oui » vous met dans le champ.

• La taille. La loi ne vise que les entités qui constituent au moins une entreprise moyenne au sens de l'article 2 de l'annexe de la recommandation 2003/361/CE, ou qui dépassent ses plafonds^[1]. Particularité luxembourgeoise : l'article 1er écarte expressément l'article 3, paragraphe 4, de cette annexe^[1] — impossible donc de rester « petit » par le jeu des participations.
• Le type d'entité. Votre activité principale correspond-elle à une ligne des annexes ? Pour un cabinet d'expertise comptable, non. Pour une fiduciaire qui exploite aussi un centre de données, oui.
• Les services informatiques rendus aux clients. C'est le seul vrai piège du secteur : voir la section suivante.
• Le prestataire unique. L'article 1er, paragraphe 2, met dans le champ, quelle que soit la taille, l'entité qui est « au Grand-Duché de Luxembourg, le seul prestataire d'un service qui est essentiel au maintien d'activités sociétales ou économiques critiques »^[1]. Sur un marché de cette dimension, le critère n'est pas théorique.
• La désignation. Le même paragraphe permet de viser une entité « critique en raison de son importance spécifique au niveau national ou régional »^[1] : c'est une décision de l'autorité, pas un calcul que vous faites seul.
• DORA. La loi écarte expressément les entités exclues du champ du règlement (UE) 2022/2554 par son article 2, paragraphe 4^[1]. Relevez-vous de DORA, c'est DORA qui gouverne votre résilience numérique.

Le piège du secteur : la fiduciaire qui devient fournisseur de services gérés

L'annexe I comporte une ligne « Gestion des services TIC (interentreprises) », qui couvre les « fournisseurs de services gérés » et les « fournisseurs de services de sécurité gérés »^[1]. La définition du texte est large : une entité qui fournit des services liés « à l'installation, à la gestion, à l'exploitation ou à l'entretien de produits, de réseaux, d'infrastructures ou d'applications TIC », « par l'intermédiaire d'une assistance ou d'une administration active, soit dans les locaux des clients, soit à distance »^[1].

Beaucoup de fiduciaires luxembourgeoises font exactement cela sans le nommer ainsi : héberger le logiciel comptable du client, administrer ses accès, gérer son parc, détenir ses certificats. Trois conséquences :

• Pas d'exonération automatique de taille. Les fournisseurs de services gérés ne figurent pas dans la liste « quelle que soit leur taille » de l'article 1er, paragraphe 2, qui ne vise que les réseaux et services de communications électroniques publics, les prestataires de services de confiance, les registres de domaines de premier niveau et les fournisseurs DNS^[1]. Un petit cabinet reste donc dehors tant qu'il n'atteint pas la taille moyenne.
• L'autorité change. L'ILR est l'autorité compétente pour les annexes I et II, mais la CSSF l'est pour les infrastructures numériques et la gestion des services TIC « en ce qui concerne les activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier »^[1]. Une fiduciaire agréée qui exploite l'informatique de clients financiers ne répond donc pas au même régulateur.
• La date d'enregistrement est déjà derrière vous. L'article 17 fixe au 17 janvier 2025 la transmission des informations pour les fournisseurs de services gérés et de sécurité gérés, les fournisseurs de cloud et de centres de données^[1] — une date antérieure à l'entrée en vigueur de la loi. Pour les autres entités du champ, les informations sont dues dans les deux mois de l'entrée en vigueur^[1], soit le 10 juillet 2026 ; l'ILR met à disposition un mécanisme d'auto-enregistrement^[3].

Concerné ? Voyez notre page sur les services informatiques gérés sous NIS2 au Luxembourg.

Qui contrôle quoi au Luxembourg

Ce qui vous concerne même hors du champ

Un cabinet hors NIS2 n'est pas un cabinet sans obligations. Quatre points propres au Luxembourg.

• Les questionnaires de sécurité de vos clients. Vos clients surveillés, eux, sont dans le champ de NIS2 ou de DORA, et doivent maîtriser leur chaîne d'approvisionnement. La question arrive par leur service achats, pas par le régulateur. Notre guide du questionnaire de sécurité fournisseur donne la trame des réponses.
• La domiciliation vous rend critique pour vos clients. La loi modifiée du 31 mai 1999 réserve la qualité de domiciliataire à une liste fermée de professions réglementées : établissement de crédit ou autre professionnel du secteur financier et des assurances, avocat à la Cour inscrit sur la liste I, avocat européen inscrit sur la liste IV, réviseur d'entreprises, réviseur d'entreprises agréé, expert-comptable^[5]. Une convention écrite est obligatoire, et le non-respect de cette règle constitue « une contravention grave à la loi » susceptible de faire encourir à la société domiciliée la dissolution ou la fermeture judiciaires^[5]. Or vous détenez le siège, le courrier, les accès aux registres et souvent les mandats bancaires de dizaines de sociétés : une boîte e-mail compromise chez vous expose leur existence juridique.
• Les données de la lutte anti-blanchiment. La loi du 12 novembre 2004^[7] et la loi du 10 juin 1999 organisant la profession d'expert-comptable^[6] vous imposent de conserver des dossiers d'identification : pièces d'identité, justificatifs d'origine des fonds, organigrammes de bénéficiaires effectifs. C'est le matériau d'une fraude au président réussie.
• Le RGPD ne dépend pas de NIS2. Vos obligations de sécurité et de notification de violation de données subsistent indépendamment, sous le contrôle de la Commission nationale pour la protection des données.

Les 5 premières actions

1. Trancher la question du champ, par écrit, en une page. Les six critères ci-dessus, votre réponse, la date, la signature d'un associé. C'est le document que vous produirez si on vous le demande ; mieux vaut qu'il existe avant la question.
2. Lister ce que vous exploitez pour vos clients. Hébergement, administration d'accès, sauvegardes, télémaintenance. Liste non vide : relisez la définition du fournisseur de services gérés et faites l'exercice de taille.
3. Mettre l'authentification à plusieurs facteurs sur tout ce qui sort. Messagerie, VPN, portails de télédéclaration, outils de paiement. Les cabinets sont attaqués par leur boîte e-mail, pas par leur pare-feu.
4. Écrire la procédure d'incident avant d'en avoir un. Qui décide, qui appelle le client, qui appelle le CSIRT, en combien de temps. Le CIRCL est votre point de contact par défaut^[1].
5. Chercher le financement avant d'acheter. Le programme SME Packages – Cybersecurity du ministère de l'Économie rembourse 70 % des coûts éligibles pour un projet compris entre 3 000 € et 25 000 € hors TVA, après une préanalyse obligatoire de la Luxembourg House of Cybersecurity^[8]. L'auto-évaluation Fit4Cybersecurity de SECURITYMADEIN.LU est gratuite^[9].

Deux lectures voisines : le même exercice pour les cabinets comptables et fiduciaires en France, et le cas de l'industrie et de la production au Luxembourg, où l'annexe II joue vraiment.

Chez CyberNovaLabs.io

Commencez par notre test NIS2 gratuit : six questions, une réponse motivée sur votre situation, sans inscription. Les aides mobilisables sont récapitulées sur notre page aides à la cybersécurité.

Pour de nouveaux mandats, nous prenons des rendez-vous qualifiés pour les cabinets comptables et fiduciaires, y compris sur la place de Luxembourg, sans engagement de durée et sur critères écrits — méthode sur la page prise de rendez-vous B2B. Pour former vos équipes, écrivez-nous.

Sources

1. Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (Mémorial A n° 225)
2. ILR — La loi NIS 2
3. ILR — Auto-enregistrement NIS 2
4. ILR — Décision ILR/N26/9 contre Eltrona Interdiffusion S.A. pour défaut de notification d'un incident (9 septembre 2026)
5. CSSF — Loi modifiée du 31 mai 1999 régissant la domiciliation des sociétés (texte coordonné)
6. Loi du 10 juin 1999 portant organisation de la profession d'expert-comptable
7. Loi du 12 novembre 2004 relative à la lutte contre le blanchiment et le financement du terrorisme
8. Guichet.lu — SME Packages – Cybersecurity
9. SECURITYMADEIN.LU — Fit4Cybersecurity

À lire aussi