← Toutes les ressources

NIS2 Luxembourg : l'e-commerce est-il concerne ?

Publié le 6 octobre 2026 · 9 min de lecture · CyberNovaLabs.io

Au Luxembourg, NIS2 est entree dans le droit national par la loi du 5 mai 2026. Une boutique en ligne qui vend ses propres produits n'est, dans la grande majorite des cas, pas une entite visee. Mais trois situations la font entrer dans le champ, et une quatrieme la rattrape par la chaine d'approvisionnement. Voici les tests a passer, dans l'ordre.

La reponse courte

Si votre boutique en ligne luxembourgeoise vend vos propres produits, vous n'etes tres probablement pas une entite visee par la loi du 5 mai 2026 concernant des mesures destinees a assurer un niveau eleve de cybersecurite^[1], le texte qui transpose NIS2 au Grand-Duche et qui est en vigueur depuis le 10 mai 2026^[1][2]. Le commerce de detail en ligne ne figure ni a l'annexe I ni a l'annexe II de la directive. Ce qui y figure, c'est la place de marche en ligne : un service qui permet a des vendeurs tiers de proposer leurs biens et de conclure des ventes par votre intermediaire^[4][5].

Deux nuances changent tout. D'abord, beaucoup de boutiques luxembourgeoises sont devenues hybrides : elles ont ouvert leur catalogue a des vendeurs tiers sans y voir un changement de statut reglementaire. Ensuite, meme hors du champ, vous subissez NIS2 par ricochet : vos clients professionnels, votre transporteur, votre hebergeur et votre prestataire de paiement sont souvent dedans, et ils vous le feront savoir par ecrit. Le sujet n'est donc pas si NIS2 vous atteint, mais par quelle porte.

Un chiffre pour situer le marche : selon Eurostat, 12,2 % des entreprises luxembourgeoises declaraient avoir realise des ventes electroniques en 2023, contre 13,4 % en 2022^[8]. Le vivier d'entites concernees par la porte 1 est donc etroit, mais le vivier concerne par la porte 4 est, lui, presque general.

Etes-vous concerne ? Les quatre questions, dans cet ordre

Ne commencez pas par la taille de l'entreprise : commencez par l'activite. La taille ne sert qu'a trancher une fois l'activite reconnue.

1. Hebergez-vous des vendeurs tiers ? Si des commercants independants publient leurs offres sur votre site et concluent la vente par votre intermediaire, vous exercez une activite de place de marche en ligne. La notion se lit a l'article 6 de la directive et s'eclaire par la definition des services d'intermediation en ligne du reglement 2019/1150^[4][5]. Vendre votre propre stock, meme en gros volume, ne suffit pas.
2. Exercez-vous une autre activite listee ? Beaucoup d'acteurs du e-commerce font plus que vendre : hebergement ou cloud pour des tiers, exploitation d'un centre de donnees, service DNS, services informatiques geres, livraison postale ou de colis en propre, production agroalimentaire. Chacune de ces activites a sa propre ligne en annexe I ou II^[4].
3. Quelle est votre taille ? Le seuil est celui de la moyenne entreprise : au moins 50 salaries, ou plus de 10 millions d'euros de chiffre d'affaires annuel, ou plus de 10 millions d'euros de bilan^[4]. Les trois criteres ne se cumulent pas : un seul suffit. Une place de marche de 20 personnes et 4 millions d'euros reste donc, en principe, hors du regime general.
4. Etes-vous un acteur financier agree ? Si vous etes vous-meme etablissement de paiement ou de monnaie electronique, l'autorite competente n'est pas l'ILR mais la CSSF, qui supervise le secteur bancaire et les infrastructures de marches financiers^[2][6]. Accepter des paiements par un prestataire tiers ne vous transforme pas en acteur financier.

Si vous repondez non aux questions 1 et 2, arretez-vous la : vous n'avez pas d'obligation d'enregistrement. Passez directement a la section sur la chaine d'approvisionnement, qui est votre vrai sujet.

Ce que la loi luxembourgeoise exige des entites visees

Au Luxembourg, l'autorite de supervision pour la plupart des secteurs est l'Institut luxembourgeois de regulation (ILR)^[2][6]. Une place de marche en ligne releve de l'annexe II : elle est une entite importante, soumise a une supervision ex post, c'est-a-dire declenchee par une plainte ou un indice de manquement, et non par un controle programme.

Les sanctions administratives maximales sont de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entite essentielle, et de 7 millions d'euros ou 1,4 % pour une entite importante, le montant le plus eleve etant retenu^[1][2]. Une place de marche en ligne relevant de l'annexe II, c'est le second plafond qui s'applique.

Les risques qui visent vraiment une boutique en ligne

La conformite est une chose, les incidents une autre. Dans le e-commerce, quatre scenarios reviennent, et aucun n'est propre au Luxembourg, mais tous y sont traites par les memes interlocuteurs : CIRCL pour la reponse a incident du secteur prive et CASES pour la prevention et la sensibilisation^[10][11].

• L'extension du CMS. Une boutique sous CMS porte en moyenne des dizaines de modules de tiers. Chacun est un chemin d'execution de code que vous ne maintenez pas. C'est la premiere cause de compromission de site marchand, et c'est exactement ce que NIS2 appelle la securite de la chaine d'approvisionnement.
• Le vol de la page de paiement. Un script injecte dans le tunnel de commande copie les donnees de carte au moment de la saisie, sans rien casser. Le symptome n'est pas une panne : c'est un appel de votre prestataire de paiement.
• Le bourrage d'identifiants. Les comptes clients sont testes en masse avec des mots de passe fuites ailleurs. L'authentification multifacteur sur les comptes d'administration est le minimum ; la limitation des tentatives sur les comptes clients est le complement.
• La fraude au changement de coordonnees bancaires. Elle passe par votre boite e-mail, pas par votre site. Un domaine sans SPF, DKIM et DMARC correctement publies facilite l'usurpation de votre propre adresse aupres de vos clients.

Sur le volet donnees personnelles, l'autorite luxembourgeoise est la CNPD^[9]. Une boutique en ligne traite des comptes clients, des adresses de livraison, un historique d'achats et des traceurs : ces obligations existent independamment de NIS2 et ne disparaissent pas si vous concluez que vous etes hors champ.

Hors du champ, mais pas hors du sujet : la chaine d'approvisionnement

C'est la porte par laquelle NIS2 atteint la quasi-totalite des boutiques luxembourgeoises. Les entites visees doivent gerer la securite de leurs fournisseurs^[4]. Concretement, trois choses vous arrivent sans que vous ayez rien demande.

D'abord, vos clients professionnels concernes vous envoient un questionnaire de securite, parfois long, souvent mal calibre pour une PME. Y repondre vite et juste devient un argument commercial. Nous avons detaille la methode dans le guide sur les secteurs qui se croient hors champ et recoivent quand meme des questionnaires de securite.

Ensuite, votre hebergeur, votre prestataire cloud et votre transporteur sont, eux, souvent dans le champ : le cloud, les centres de donnees et les services postaux et de messagerie ont chacun leur ligne dans les annexes^[4]. Leurs nouvelles exigences contractuelles descendent jusqu'a vous.

Enfin, si vous fournissez des biens ou des services a une entite industrielle concernee, vous entrez dans son perimetre de controle fournisseurs. Le raisonnement est le meme que celui expose dans notre guide NIS2 Luxembourg pour l'industrie et la production, qui detaille comment une entite visee repercute ses obligations. Pour le panorama par secteur au Grand-Duche, la page NIS2 au Luxembourg recapitule les autorites et les echeances.

Les 5 premieres actions

1. Tranchez la question 1 par ecrit. Une note d'une page : hebergeons-nous des vendeurs tiers, oui ou non, et depuis quand. Datee et signee par la direction. C'est elle que vous produirez si l'ILR pose la question.
2. Si la reponse est oui et que vous depassez un seuil de taille, enregistrez-vous. L'auto-enregistrement passe par le guichet en ligne de l'ILR, et toute modification doit etre signalee dans les deux semaines^[3].
3. Mettez l'authentification multifacteur sur les acces d'administration du site, du CMS, du back-office de paiement et du registrar de votre domaine. C'est la mesure qui coupe le plus de scenarios pour le moins d'effort.
4. Inventoriez vos modules et vos fournisseurs techniques en une feuille : nom, version, qui le met a jour, ou sont les sauvegardes, en combien de temps on restaure. Testez une restauration reelle une fois.
5. Verifiez SPF, DKIM et DMARC sur votre domaine et preparez une procedure d'incident d'une page avec les delais 24 h / 72 h / un mois, meme si vous pensez etre hors champ : le jour de l'incident, personne ne lit la directive.

Chez CyberNovaLabs.io

Nous travaillons aux Pays-Bas, en Belgique, en France et au Luxembourg, et la question qui revient le plus souvent dans le e-commerce n'est pas comment se conformer mais suis-je dedans. Commencez par le test NIS2 gratuit : il vous situe en quelques minutes par activite et par taille. Si vos clients vous envoient des questionnaires, le questionnaire de securite fournisseur vous donne la trame des reponses attendues, et le test de securite e-mail verifie SPF, DKIM et DMARC sur votre domaine.

Quand la boutique elle-meme doit evoluer, nous construisons et reprenons des plateformes de vente sur mesure : voir logiciel sur mesure. Nos interventions sont sur devis, sans engagement de duree.

Decrivez-nous votre boutique en ligne et nous vous disons, par ecrit, si NIS2 vous concerne.

Sources

1. Loi du 5 mai 2026 concernant des mesures destinees a assurer un niveau eleve de cybersecurite (Legilux)
2. ILR - The NIS 2 Act
3. ILR - Frequently asked questions about NIS2 (FAQ)
4. Directive (UE) 2022/2555 (NIS2)
5. Reglement (UE) 2019/1150 (services d'intermediation en ligne, P2B)
6. Gouvernement luxembourgeois - Cybersecurite : l'ILR presente la nouvelle loi NIS 2
7. Guichet.lu - Programme Fit 4 Digital
8. Eurostat - E-commerce statistics
9. CNPD - Commission nationale pour la protection des donnees
10. CASES Luxembourg
11. CIRCL - Computer Incident Response Center Luxembourg

À lire aussi