← Toutes les ressources

NIS2 Luxembourg : construction et BTP, concernés ?

Publié le 4 novembre 2026 · 8 min de lecture · CyberNovaLabs.io

Au Luxembourg, la construction et le BTP ne figurent pas dans la liste des secteurs NIS2 publiée par l'ILR. La loi du 5 mai 2026, le seuil de taille et l'enregistrement du 10 juillet 2026 ne s'appliquent pas du seul fait de construire.

La réponse courte

Non, dans la très grande majorité des cas. Une entreprise de construction ou de BTP établie au Luxembourg n'est pas une entité NIS2 du seul fait qu'elle construit. La page de l'Institut luxembourgeois de régulation (ILR) qui résume les secteurs des annexes I et II ne cite ni la construction de bâtiments, ni le génie civil, ni les travaux spécialisés.^[1]

Trois faits propres au Luxembourg fixent la suite, et ils ne se recopient pas depuis la Belgique ou la France. La loi du 5 mai 2026 est entrée en vigueur le 10 mai 2026. L'autorité qui supervise les secteurs de cette loi est l'ILR.^[2] L'enregistrement des entités réellement dans le périmètre était exigé au plus tard le 10 juillet 2026.^[3] Le règlement d'exécution (UE) 2024/2690, que l'ILR publie, vise des types d'entités numériques, pas les chantiers.^[4]

Ce guide cite les pages de l'ILR et les textes qu'elles désignent. Il ne remplace ni la loi ni l'avis de votre conseil. L'ILR indique elle-même que ses questions-réponses ne sont pas une interprétation finale.^[6]

Êtes-vous concerné ?

Ce guide vous concerne si vous dirigez, ou si vous vendez à, une entreprise dont le métier principal est le chantier au Luxembourg :

• entreprise générale, gros œuvre, second œuvre, promotion immobilière qui construit ;
• génie civil, voiries, terrassement, fondations spéciales ;
• métiers spécialisés : électricité du bâtiment, CVC, couverture, menuiserie, peinture, échafaudage ;
• groupe qui a une filiale de chantier au Luxembourg et une autre activité ailleurs ;
• fournisseur qui répond à un questionnaire de sécurité envoyé par un maître d'ouvrage, un hôpital, un gestionnaire d'énergie ou une administration.

Le mot « BTP » ne suffit pas. L'ILR applique la loi aux entités actives dans un ou plusieurs secteurs des annexes I et II, puis, par défaut, à celles qui atteignent une certaine taille.^[1] Si le métier n'est pas dans la liste, la taille ne crée pas l'obligation.

Ce que la loi exige au Luxembourg

La directive (UE) 2022/2555 a été transposée par la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité. L'ILR indique que cette loi est entrée en vigueur le 10 mai 2026. Elle a abrogé la loi NIS1, ainsi que les articles 42 et 43 de la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques.^[2] Le texte est publié sur Legilux.^[7]

La liste résumée par l'ILR, et relue pour ce guide, est la suivante : énergie ; transport ; santé ; eau potable ; eaux usées ; infrastructure numérique ; gestion de services TIC (B2B) ; administration publique ; espace ; services postaux et de courrier ; gestion des déchets ; fabrication, production et distribution de produits chimiques ; production, transformation et distribution de denrées alimentaires ; fabrication (manufacturing) ; fournisseurs numériques ; recherche.^[1] La construction n'y figure pas. Le mot n'apparaît pas sur cette page.

Le seuil de taille, seulement si le secteur est listé

Pour une activité qui est, elle, dans la liste, l'ILR reprend la règle de taille. Une entité est moyenne si elle a au moins 50 salariés et pas plus de 249, ou un chiffre d'affaires annuel compris entre 10 et 50 millions d'euros, ou un total de bilan compris entre 10 et 43 millions d'euros. Si l'un de ces critères est dépassé, l'entreprise est grande.^[1]

Le calcul se fait au niveau du groupe. L'ILR renvoie à l'article 6 de l'annexe de la recommandation 2003/361/CE : 100 % des données de l'entreprise examinée, 100 % des entreprises liées, et la quote-part des entreprises partenaires. Les partenaires des partenaires ne comptent pas.^[1] Un chantier luxembourgeois de 30 personnes peut donc compter dans le seuil d'une maison mère dont une autre activité est listée. L'inverse n'est pas vrai : 400 compagnons sur des chantiers ne font pas, à eux seuls, une entité NIS2.

Hors taille, l'ILR rappelle qu'une entité peut être identifiée comme essentielle ou importante selon des critères précis, par exemple si elle est déjà identifiée comme entité critique, ou si elle est le fournisseur unique de son domaine.^[1] C'est une identification, pas une conséquence automatique du métier de construire.

Activité du groupe	Sur la liste publiée par l'ILR	Conséquence pratique
Chantier, gros œuvre, second œuvre, génie civil	Non. Ces métiers ne sont pas dans le résumé des annexes.[1]	Pas d'entité NIS2 du seul fait de ce métier. Pas d'enregistrement « par précaution ».
Usine ou fabrication	« Manufacturing » est une ligne distincte. L'ILR précise que certains secteurs ont des sous-secteurs.[1]	Ne pas conclure depuis le chantier. Lire la définition du secteur avant de trancher.
Transport, déchets, énergie, santé, eau, numérique, services TIC gérés	Oui, si c'est bien cette activité, pas un outil utilisé sur le chantier.[1]	Le seuil se calcule alors au niveau du groupe. L'enregistrement visait le 10 juillet 2026.[3]
Fournisseur d'un client déjà dans le périmètre	Le client peut l'être. Vous ne l'êtes pas pour autant.	Questionnaire contractuel. Ce n'est pas une inscription auprès de l'ILR.

Ce que l'ILR demande à celles qui sont dedans

Si une activité listée du groupe franchit le seuil, deux différences comptent, et elles ne s'étendent pas au chantier voisin.

L'enregistrement. L'ILR le qualifie d'obligation légale, à remplir dans les deux mois de l'entrée en vigueur, donc au plus tard le 10 juillet 2026. Les enregistrements faits avant cette entrée en vigueur restent valables si les données sont exactes et tenues à jour. Ne pas s'enregistrer n'exonère pas l'entité de ses obligations.^[3] Au 4 novembre 2026, cette date est passée pour quiconque était déjà dans le périmètre.

La surveillance. La FAQ de l'ILR indique que les entités importantes doivent en principe les mêmes exigences de sécurité que les entités essentielles. La différence est le contrôle : les essentielles sont suivies avant et après ; les importantes, seulement après. Les importantes ne fournissent pas en routine certains livrables, comme l'analyse de risques ou la description des mesures. Après un incident, l'ILR peut demander ces éléments.^[6]

L'incident. Pour les entités des secteurs qu'il supervise, l'ILR demande un signalement dans les 24 premières heures.^[5] Un incident, au sens de l'article 2, paragraphe 5, de la loi, compromet la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données stockées, transmises ou traitées, ou des services offerts par des réseaux et systèmes d'information, ou accessibles via eux. Il est significatif, au sens de l'article 14, paragraphe 3, s'il a causé ou peut causer une perturbation opérationnelle grave ou une perte financière, ou s'il a affecté ou peut affecter d'autres personnes en causant un dommage matériel ou immatériel considérable.^[5]

Le calendrier publié par l'ILR est ensuite celui-ci : notification préliminaire au plus tard 24 heures après avoir pris connaissance de l'incident significatif ; notification formelle dans les 72 heures ; rapport final au plus tard un mois après la notification d'incident. Si l'incident n'est pas clos, une prolongation d'un mois peut être demandée, avec un rapport d'avancement.^[5] Le canal nommé sur les pages de l'ILR est SERIMA.^[9] Ce calendrier vise les entités des secteurs supervisés. Il n'est pas une astreinte du métier de maçon.

Ce qui vous concerne quand même

Hors liste ne veut pas dire hors sujet. Trois demandes reviennent sur les chantiers luxembourgeois, et aucune ne se règle en s'inscrivant à tort.

Le questionnaire d'un client qui, lui, est dans le périmètre. Un hôpital, un gestionnaire d'énergie, une administration ou un industriel listé peut exiger un contact incident, une règle d'accès aux plans, et une preuve de sauvegarde avant de vous laisser entrer dans son réseau. C'est une clause de son contrat. Ce n'est pas la preuve que votre entreprise est une entité essentielle ou importante.

L'autre activité du même groupe. La ligne « gestion de services TIC (B2B) » vise ceux qui fournissent ces services, pas l'entreprise qui utilise un logiciel de planning sur le chantier.^[1] En revanche, une filiale qui exploite un réseau, traite des déchets, ou fabrique dans un sous-secteur listé, se juge à part. Le seuil, lui, se calcule avec les entreprises liées.^[1]

Les données et les e-mails. Les fiches des compagnons, les plans et les coordonnées des maîtres d'ouvrage restent des données de personnes : le présent guide ne restitue pas la pratique de la CNPD, qui n'a pas été relue ici. Un questionnaire client demande souvent si le domaine envoie avec SPF, DKIM et DMARC. C'est une mesure de délivrabilité et d'usurpation. Ce n'est pas, à soi seul, une obligation NIS2 du BTP.

Les 5 premières actions

1. Écrivez les activités réelles du groupe en face de la liste de l'ILR, pas en face du mot « BTP ». Si seule la construction apparaît, dites-le par écrit : le métier n'est pas dans le résumé des annexes.^[1]
2. Ne calculez le seuil de taille, au niveau du groupe, que si une activité listée existe. Reprenez les trois critères de l'ILR, pas un seul.^[1]
3. Si une activité listée franchit le seuil, enregistrez-la auprès de l'ILR. La date publiée était le 10 juillet 2026, et l'absence d'enregistrement n'éteint pas les autres obligations.^[3] N'enregistrez pas un pur métier de chantier pour « être en règle ».
4. Si un client dans le périmètre envoie un questionnaire, répondez comme fournisseur : nom du contact incident, qui accède aux plans, où sont les sauvegardes. Rangez la réponse à part de toute inscription ILR.
5. Faites le test gratuit, puis séparez la sécurité des e-mails de la question NIS2. Le test dit si une autre activité du groupe change la réponse.

Le même métier, jugé en France, est traité dans le guide NIS2 et construction en France. Au Luxembourg, deux secteurs qui sont, eux, sur la liste de l'ILR ont déjà leur page : industrie et production et transport et logistique. La page pays est NIS2 Luxembourg. Pour un rendez-vous sur place, voir Luxembourg.

Chez CyberNovaLabs.io

CyberNovaLabs.io ne vend pas une inscription NIS2, et ne promet pas un résultat de mise en conformité. Le test gratuit sert à voir si une activité du groupe est sur la liste, avant tout rendez-vous. La prise de rendez-vous B2B, lorsqu'elle est demandée, se fait sur devis, au rendez-vous ou au forfait, sans engagement de durée. Aucun volume n'est promis. Aucun prix n'est affiché ici.

Le test est sur la page test NIS2. Pour faire lire la liste des activités du groupe, décrivez l'entreprise.

Faire le point

Sources

1. ILR, Scope and field of application of the NIS 2 Act
2. ILR, The NIS 2 Act (loi du 5 mai 2026, entrée en vigueur le 10 mai 2026)
3. ILR, Self-registration
4. ILR, Commission Implementing Regulation (EU) 2024/2690
5. ILR, Incident notification
6. ILR, Frequently asked questions about NIS2
7. Legilux, loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité
8. Directive (UE) 2022/2555
9. SERIMA, notification d'incident

À lire aussi