← Toutes les ressources

NIS2 Luxembourg : transport et logistique sont-ils concernés ?

Publié le 24 octobre 2026 · 8 min de lecture · CyberNovaLabs.io

La loi luxembourgeoise ne met pas les transporteurs routiers dans le champ de NIS2. Elle y met les autorités routières, les exploitants de systèmes de transport intelligents, l'aérien, le ferroviaire, les ports — et, par l'annexe II, les services d'expédition. Voici comment trancher votre cas, avec les articles, l'autorité et les délais réels.

La réponse courte

Un transporteur routier, un commissionnaire de transport ou un exploitant d'entrepôt luxembourgeois n'est, en règle générale, pas une entité NIS2 du fait de son activité de transport. Au Luxembourg, la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité est entrée en vigueur le 10 mai 2026^[1][2]. Pour le transport routier, son annexe I ne retient que deux types d'entités : les autorités routières chargées du contrôle de la gestion de la circulation et les exploitants de systèmes de transport intelligents^[1]. Charger des semi-remorques à Bettembourg n'y figure pas.

Trois portes ramènent pourtant une bonne partie du secteur dans le champ : les services d'expédition de l'annexe II, le statut de fournisseur d'une entité concernée, et une échéance d'auto-enregistrement déjà passée — le 10 juillet 2026^[3]. Les trois se vérifient en une heure, et c'est l'objet de ce guide.

NIS2 Luxembourg : êtes-vous concerné ? Les critères dans l'ordre

1. Votre activité est-elle nommée dans une annexe ? C'est le premier filtre, et le plus souvent décisif pour le transport. Le tableau ci-dessous reprend les quatre sous-secteurs tels que la loi luxembourgeoise les écrit.
2. Votre taille, calculée au niveau du groupe. L'ILR applique la règle du « size-cap » : une entité est moyenne à partir de 50 personnes, ou avec un chiffre d'affaires annuel entre 10 et 50 millions d'euros, ou un total de bilan entre 10 et 43 millions d'euros ; au-delà, elle est grande^[4]. Le calcul intègre 100 % des données des entreprises liées et le prorata des entreprises partenaires^[4]. Qui dépasse les plafonds des moyennes entreprises dans un secteur de l'annexe I est essentiel ; les autres entités listées sont importantes (art. 11)^[1].
3. Étiez-vous opérateur de services essentiels sous NIS1 ? L'article 11, paragraphe 1er, point 7° reprend d'office comme entités essentielles celles identifiées comme opérateurs de services essentiels sous la loi du 28 mai 2019^[1]. Pas de nouvelle décision à attendre : le statut est acquis.
4. Faites-vous de l'expédition ? L'annexe II vise les prestataires de services postaux au sens de l'article 1er, point 12°, de la loi modifiée du 26 décembre 2012 sur les services postaux, y compris les prestataires de services d'expédition^[1]. C'est la ligne la plus mal lue du secteur : une activité de messagerie, de livraison de colis ou de groupage peut suffire là où le transport pur ne suffisait pas. Notre page NIS2 Luxembourg pour le postal et le coursier détaille ce cas.

Transport : ce que l'annexe luxembourgeoise dit exactement

La loi ne se contente pas de recopier la directive : chaque ligne renvoie à un texte national. C'est ce renvoi qui tranche votre cas.

Deux lectures en découlent. D'abord, la ligne « entités gestionnaires des ports » ne peut trouver, au Luxembourg, qu'une application : le port fluvial de Mertert. Ensuite, le routier est le seul sous-secteur où la loi exclut explicitement les entités publiques pour lesquelles la gestion de la circulation ou l'exploitation de systèmes de transport intelligents constituent une partie non essentielle de leur activité générale^[1]. Une commune qui gère trois feux tricolores n'est pas visée ; l'exploitant d'un système d'information routière en temps réel l'est.

Ce que la loi exige au Luxembourg — et ce qu'elle ajoute

Une autorité, avec une exception. L'Institut luxembourgeois de régulation est l'autorité compétente pour tous les secteurs des annexes I et II et pour les entités critiques. Par dérogation, la Commission de surveillance du secteur financier l'est pour le secteur bancaire, les infrastructures des marchés financiers, et les activités d'infrastructure numérique ou de gestion de services TIC qui tombent sous sa surveillance^[1]. Pour une entreprise de transport, l'interlocuteur est donc l'ILR, et lui seul.

Deux CSIRT, selon qui vous êtes. Le Haut-Commissariat à la Protection nationale, dans sa fonction de GOVCERT.LU, est le CSIRT des administrations et services de l'État, des établissements publics et des entités critiques. Le CIRCL est le CSIRT « pour tous les autres cas »^[1]. Une PME logistique privée appelle donc le CIRCL, pas GOVCERT.LU : à écrire dans la fiche de crise avant d'en avoir besoin.

L'enregistrement, et sa suite. L'auto-enregistrement auprès de l'ILR devait être accompli dans les deux mois suivant l'entrée en vigueur, soit au plus tard le 10 juillet 2026^[3]. L'ILR le rappelle sans détour : l'absence d'auto-enregistrement ne dispense pas une entité de ses obligations^[3]. Détail que peu de dirigeants connaissent : toute modification des informations enregistrées doit être notifiée dans un délai de deux semaines^[1]. Un changement d'adresse e-mail de contact ou de plage d'IP déclenche ce délai.

Une obligation proprement luxembourgeoise. Au-delà des dix rubriques de mesures de l'article 12, paragraphe 2 — analyse des risques, gestion des incidents, continuité et sauvegardes, sécurité de la chaîne d'approvisionnement, divulgation des vulnérabilités, cyberhygiène et formation, cryptographie, contrôle d'accès, authentification à plusieurs facteurs — l'article 12, paragraphe 3 impose aux entités essentielles de notifier leurs mesures à l'autorité compétente, selon un format et un délai fixés par règlement ou circulaire^[1]. Ce n'est pas une formalité de plus : c'est un dossier à produire, et il n'existe pas sous cette forme dans tous les pays voisins.

Les sanctions, et un précédent déjà jugé

Pour une violation des mesures de gestion des risques ou des obligations de notification, l'article 26 prévoit jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, et jusqu'à 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu^[1]. Pour les manquements d'enregistrement, d'information et de coopération visés à l'article 25, l'amende administrative ne peut excéder 250 000 euros, après procédure contradictoire, avec recours en réformation devant le tribunal administratif ; le recouvrement est confié à l'Administration de l'enregistrement, des domaines et de la TVA^[1].

Ces montants ne sont pas théoriques. Le 11 juin 2026, l'ILR a prononcé une amende d'ordre de 25 000 euros contre Eltrona Interdiffusion S.A. pour ne pas avoir pré-notifié dans les 24 heures une panne majeure détectée le 9 avril 2026 : l'Institut l'avait apprise par un utilisateur touché et par la presse^[5]. La décision relève du régime des communications électroniques, pas de NIS2 — mais c'est la même autorité, le même délai de 24 heures, et la même conclusion : ce qui se sanctionne d'abord, c'est le silence, pas la panne.

Ce qui vous concerne même hors du champ

Si votre entreprise n'est pas visée, trois choses continuent de la toucher.

• Les questionnaires de sécurité de vos clients. L'article 12, paragraphe 2, point 4° impose aux entités concernées de sécuriser leur chaîne d'approvisionnement, y compris les relations avec leurs fournisseurs et prestataires directs, en tenant compte des vulnérabilités propres à chacun^[1]. Votre chargeur essentiel vous interrogera donc, et votre réponse pèsera sur le renouvellement du contrat. Le même mécanisme joue pour les cabinets comptables et fiduciaires luxembourgeois, rarement visés eux non plus mais systématiquement questionnés.
• La notification volontaire. L'article 20 ouvre à toute entité, qu'elle relève ou non du champ, la possibilité de signaler à l'ILR un incident important, une cybermenace ou un incident évité — sans que ce signalement crée des obligations supplémentaires^[1].
• Le risque lui-même. ENISA a analysé 98 incidents publiquement rapportés dans le transport européen entre janvier 2021 et octobre 2022, dont 24 (24 %) sur le transport routier, automobile incluse. Dans ce sous-secteur, le rançongiciel représente 43 % des menaces, devant les atteintes aux données (26 %) et les logiciels malveillants (17 %) ; sur l'ensemble du transport, la part du rançongiciel est passée de 13 % en 2021 à 25 % en 2022^[6].

Et le volume croît : lux-Airport table sur 1,25 million de tonnes de fret à l'horizon 2050, soit une hausse de 50 %^[7]. Plus de flux, plus de systèmes d'échange de données, plus de surface d'attaque. Le même raisonnement vaut en France, où nous avons publié le guide NIS2 transport et logistique : les critères diffèrent, le risque est identique.

Les 5 premières actions

1. Passez un test de périmètre, deux fois. L'ILR met à disposition un simulateur NIS 2 au résultat indicatif^[3] ; recoupez-le avec notre test NIS2 gratuit. Deux résultats concordants valent mieux qu'une intuition.
2. Tranchez la question de l'expédition. Reprenez vos codes d'activité et vos trois plus gros contrats : y a-t-il de la messagerie, du colis, du groupage ? Si oui, l'annexe II s'applique et votre entreprise est au minimum une entité importante.
3. Calculez votre taille au niveau du groupe. Effectif, chiffre d'affaires et bilan, en intégrant les entreprises liées à 100 % et les partenaires au prorata^[4]. Beaucoup de filiales luxembourgeoises de 30 personnes basculent par leur maison mère.
4. Si vous êtes concerné, enregistrez-vous sans attendre. L'échéance du 10 juillet 2026 est passée^[3] : l'enregistrement reste dû, et chaque modification ultérieure court sur deux semaines. Notre page échéances cybersécurité tient le calendrier des quatre pays.
5. Écrivez la fiche incident « 24 heures » avant d'en avoir besoin. Qui détecte, qui qualifie, qui décide, qui ouvre SERIMA, qui appelle le CIRCL, à quelle adresse de l'ILR la notification part. Une page, affichée, testée une fois par an. C'est ce document qui manquait dans le dossier Eltrona.

Chez CyberNovaLabs.io

Nous travaillons aux Pays-Bas, en Belgique, en France et au Luxembourg, et nous intervenons sur deux terrains pour les entreprises de transport et de logistique : poser le périmètre NIS2 noir sur blanc, et préparer les réponses aux questionnaires de sécurité qui conditionnent vos contrats. Nous intervenons aussi sur l'automatisation des flux administratifs du secteur et sur la prospection, avec une prise de rendez-vous B2B au Luxembourg pour les prestataires qui adressent la place logistique. Les prestations sont sur devis, sans engagement de durée.

Pour un avis sur votre cas, écrivez-nous : décrivez votre activité, votre effectif et vos deux plus gros clients, nous vous dirons quelle annexe vous regarde.

Sources

1. Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (Mémorial A n° 225, doc. parl. 8364)
2. ILR — La loi NIS 2
3. ILR — Auto-enregistrement NIS 2 et simulateur
4. ILR — Périmètre et champ d'application (size-cap)
5. ILR — Décision ILR/N26/9 du 11 juin 2026 contre Eltrona Interdiffusion S.A.
6. ENISA Threat Landscape: Transport Sector (21 mars 2023)
7. lux-Airport — communiqué masterplan de l'aéroport de Luxembourg, 16 avril 2026
8. ILR — Notification d'incident sous NIS 2 (plateforme SERIMA)

À lire aussi