← Toutes les ressources

NIS2 Luxembourg : hôtellerie et tourisme sont-ils concernés ?

Publié le 20 octobre 2026 · 9 min de lecture · CyberNovaLabs.io

L'hébergement et la restauration ne figurent dans aucune annexe de la loi luxembourgeoise NIS2. Trois obligations vous rattrapent pourtant, et l'une d'elles décide déjà de vos contrats d'entreprise.

La réponse courte

Non. Au Luxembourg, un hôtel, un camping, un restaurant ou une agence de voyages n'est pas une entité NIS2. La loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité est entrée en vigueur le 10 mai 2026^[1][3] et reprend les annexes de la directive européenne : énergie, transport, banque, santé, eau, infrastructures numériques, administration publique et espace d'un côté ; poste, déchets, chimie, production alimentaire, industrie manufacturière, plateformes en ligne et recherche de l'autre^[3]. L'hébergement et la restauration n'y figurent nulle part. Vous n'avez donc pas à vous auto-enregistrer auprès de l'ILR, pas de rapport d'incident à 24 heures, pas d'amende NIS2 à craindre.

Trois choses vous rattrapent pourtant, et la troisième décide déjà de vos contrats : le RGPD sur les données de vos clients, surveillé par la CNPD ; les questionnaires de sécurité que vous envoient vos clients entreprises, dont certains sont, eux, des entités NIS2 ; et vos automates de bâtiment et de cuisine, joignables depuis internet. Cette page traite les trois, avec les guichets et les chiffres luxembourgeois.

NIS2 Luxembourg : êtes-vous concerné ? Les critères dans l'ordre

Un seul critère manquant vous sort du champ. Prenez-les dans cet ordre, c'est l'ordre que suit l'ILR.

1. Votre activité figure-t-elle en annexe I ou II ? Pour un hôtel, un camping, un restaurant, un traiteur ou un tour-opérateur : non. Attention à la ligne « production, transformation et distribution de denrées alimentaires » de l'annexe II : une cuisine centrale qui produit et livre des repas à des tiers n'est plus un restaurant au sens de la loi, c'est de la production alimentaire.
2. Atteignez-vous la taille ? Entité essentielle : au moins 250 salariés, ou 50 millions d'euros de chiffre d'affaires annuel, ou 43 millions d'euros de total de bilan. Entité importante : au moins 50 salariés, ou 10 millions d'euros de chiffre d'affaires ou de bilan^[3]. Comptez l'effectif du groupe, pas celui de l'établissement.
3. Exercez-vous une activité visée quelle que soit la taille ? Fournisseurs de services DNS, registres de noms de domaine, prestataires de services de confiance et quelques autres sont dans le champ sans seuil. Un groupe hôtelier qui héberge les systèmes d'autres exploitants dans son propre centre de données ne vend plus des nuits, il vend de l'infrastructure numérique.
4. Êtes-vous le fournisseur d'une entité concernée ? Vous restez hors du champ, mais vos obligations deviennent contractuelles. C'est le point qui coûte, et il est traité plus bas.

Le simulateur officiel de l'ILR, sur nis2.ilr.lu, rend un avis indicatif en quelques minutes^[4] ; il ne vaut pas enregistrement. S'il vous classe en entité essentielle ou importante, l'auto-enregistrement auprès de l'ILR était dû au plus tard le 10 juillet 2026, soit deux mois après l'entrée en vigueur de la loi^[2]. Un retard se corrige en se déclarant maintenant, sur guichet.ilr.lu, pas en attendant un courrier.

Qui contrôle quoi au Luxembourg

Le Luxembourg a réparti les rôles entre quatre organismes. Savoir qui appeler vous fait gagner les premières heures d'un incident.

Pour les entités dans le champ, la cadence de notification est de trois temps : alerte précoce dans les 24 heures, notification d'incident dans les 72 heures, rapport final au plus tard un mois après^[1]. Les amendes administratives plafonnent à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle^[3], 7 millions d'euros ou 1,4 % pour une entité importante^[5], le montant le plus élevé étant retenu.

Le piège du secteur : vos automates parlent à internet

Un hôtel luxembourgeois moderne expose plus de machines qu'un bureau de la même taille : la gestion technique du bâtiment, les serrures de chambre, la vidéosurveillance, la borne d'enregistrement, la chambre froide de la cuisine, le réseau Wi-Fi des clients et le système de caisse. Chacune de ces briques a souvent été posée par un installateur différent, avec un accès distant laissé ouvert « pour la maintenance ».

Ce n'est pas théorique. Le CERT-FR a alerté en octobre 2026 sur des automates de froid Danfoss pilotables depuis internet, exactement le type d'équipement qu'on trouve derrière une cuisine d'hôtel : nous l'avons raconté dans notre analyse des automates de froid exposés sur internet. Une chambre froide arrêtée un samedi soir, c'est le service du dimanche perdu et la marchandise à jeter — aucune loi n'est nécessaire pour que la facture tombe.

Le deuxième foyer est votre système de réservation. Le PMS, le channel manager et les canaux de distribution en ligne manipulent des noms, des dates de séjour, des numéros de carte et parfois des copies de pièces d'identité. Les données de carte vous soumettent aux règles PCI DSS de vos prestataires d'encaissement, qui ne sont pas une loi mais un contrat : perdre la conformité, c'est perdre le moyen de paiement. Les allergies et régimes notés pour un banquet sont, eux, des données de santé au sens du RGPD : elles réclament un accès restreint et une durée de conservation écrite.

L'autre piège : le compte du saisonnier parti en septembre

Le Luxembourg a enregistré 3 586 219 nuitées en hébergement payant en 2025, pour 1 597 720 arrivées et une durée moyenne de séjour de 2,24 nuits^[9]. Des séjours courts, un volume concentré sur la saison et des équipes qui tournent : le secteur ouvre et referme des comptes utilisateurs en permanence — réception, étages, cuisine, extras de banquet, stagiaires.

C'est précisément là que les incidents commencent. La CNPD a traité 425 notifications de violation de données en 2025, et l'erreur humaine en est la première cause, à 49 %, devant les cyberattaques et les divulgations à un destinataire non autorisé^[8]. Les plaintes, elles, ont bondi de 40 % en un an, à 846^[8] : vos clients connaissent leurs droits. Un identifiant d'ancien salarié resté actif a suffi à provoquer une fuite chez un acteur néerlandais de la livraison, que nous avons documentée dans le compte d'un ancien salarié a suffi.

Ce qui vous concerne quand même : le client qui est, lui, une entité NIS2

Les entités dans le champ doivent gérer la sécurité de leur chaîne d'approvisionnement. Elles le font de la seule manière dont elles disposent : en l'imposant par contrat à leurs fournisseurs. Pour un hôtel luxembourgeois, ces clients-là sont nombreux — une banque supervisée par la CSSF qui place ses séminaires, un industriel de l'annexe II qui loge ses équipes, un opérateur de transport, une institution européenne du Kirchberg qui réserve des salles et des chambres au contrat-cadre.

Concrètement, vous recevrez un questionnaire de sécurité avant le renouvellement, pas après. Les questions qui bloquent le plus souvent sont toujours les mêmes : avez-vous l'authentification à deux facteurs sur les accès distants, une procédure de notification écrite avec un délai, des sauvegardes testées, une liste de vos propres sous-traitants numériques ? Nous avons rassemblé la méthode de réponse dans notre guide du questionnaire de sécurité fournisseur. Le parallèle le plus proche du vôtre est celui des cabinets comptables et fiduciaires au Luxembourg : hors champ eux aussi, mais contrôlés par leurs clients. Pour la comparaison transfrontalière, voyez notre guide NIS2 pour l'hôtellerie et le tourisme en France, et la vue d'ensemble sur NIS2 au Luxembourg.

Un point propre au pays mérite votre attention : une grande partie de la main-d'œuvre de l'hôtellerie luxembourgeoise habite en Belgique, en France ou en Allemagne, et une partie de l'administratif se fait depuis l'étranger. Tout accès distant à votre PMS depuis un domicile frontalier doit passer par une authentification à deux facteurs, sinon vous ne pourrez répondre honnêtement à aucun questionnaire.

Les 5 premières actions

1. Passez le simulateur de l'ILR sur nis2.ilr.lu et conservez le résultat daté en PDF^[4]. C'est votre preuve écrite d'être hors champ, et la pièce que votre client vous demandera.
2. Fermez les comptes des partants et supprimez les comptes partagés dans le PMS, la caisse et le système de serrures. Nommez un responsable unique de cette liste, avec une revue mensuelle inscrite au planning.
3. Inventoriez vos automates et coupez leurs accès distants : chambres froides, gestion technique du bâtiment, vidéosurveillance, bornes. Pour chaque accès que l'installateur réclame, exigez un identifiant nominatif et une double authentification.
4. Écrivez votre procédure de violation de données : qui constate, qui décide, qui notifie la CNPD dans les 72 heures, qui appelle le CIRCL^[6][8]. Une page suffit, affichée en réception et à la direction.
5. Faites l'auto-évaluation gratuite Fit4Cybersecurity et l'analyse de risques MONARC, tous deux luxembourgeois et accessibles via CASES.lu^[12]. Le rapport produit sert directement de réponse aux questionnaires clients.

Chez CyberNovaLabs.io

Commencez par le test NIS2 gratuit : dix questions, un verdict écrit sur votre situation, et la liste de ce qui vous est opposable même hors du champ. Notre page sur les aides à la cybersécurité récapitule les dispositifs des quatre pays où nous travaillons.

Si votre sujet est plutôt commercial — remplir un carnet de séminaires, de banquets ou de contrats-cadres entreprises —, nous faisons aussi de la prise de rendez-vous B2B, y compris sur la place de Luxembourg, sans engagement de durée et sur devis. Un questionnaire de sécurité à remplir, un automate dont vous ne savez pas s'il est exposé, un doute sur votre classement : écrivez-nous et nous regardons votre cas précis.

Sources

1. ILR — NIS 2 (loi du 5 mai 2026)
2. ILR — Auto-enregistrement NIS 2
3. gouvernement.lu — Cybersecurite : l'ILR presente la nouvelle loi NIS 2 (06/07/2026)
4. ILR — Simulateur NIS 2
5. Directive (UE) 2022/2555, article 34 (amendes)
6. CIRCL — CSIRT national du Luxembourg
7. HCPN — Circulaire NIS2
8. CNPD — Rapport annuel 2025
9. Luxembourg for Tourism / STATEC — Key tourism figures 2025
10. Guichet.lu — Programmes Fit 4 (dont Fit 4 Cybersecurity)
11. Guichet.lu — SME Packages
12. CASES.lu — Fit4Cybersecurity et MONARC

À lire aussi