Vous avez manqué le délai d'enregistrement auprès de l'ILR. Et maintenant ?
L'enregistrement était dû pour le 10 juillet 2026. Ne pas s'enregistrer est un manquement en soi — mais se manifester tardivement n'a rien à voir avec être découvert.
À l'entrée en vigueur de la loi du 5 mai 2026, les entités concernées ont disposé d'une fenêtre de deux mois pour se déclarer auprès de l'Institut Luxembourgeois de Régulation. Cette fenêtre s'est refermée le 10 juillet 2026. Un nombre significatif d'entreprises luxembourgeoises ne s'est pas enregistré, et la plupart pour la même raison : elles ignoraient que la loi les visait.
Si cela décrit votre situation, elle est rattrapable. Elle l'est de moins en moins avec le temps.
Pourquoi un enregistrement tardif n'est pas anodin
L'enregistrement n'est pas une formalité administrative accessoire aux vraies obligations. C'est une obligation à part entière. Ne pas s'enregistrer constitue un manquement autonome, sanctionnable en tant que tel, indépendamment de la qualité de vos mesures de sécurité.
Cela produit une conséquence inconfortable. Une entreprise peut disposer d'une sécurité réellement solide — systèmes à jour, authentification à plusieurs facteurs, sauvegardes testées — et se trouver malgré tout en infraction simplement parce que personne n'a déposé un formulaire. Le régulateur n'a aucun moyen de savoir que vous existez, ce à quoi sert précisément l'obligation d'enregistrement.
La distinction qui compte vraiment
Il existe une différence considérable entre deux situations qui se ressemblent sur le papier.
| Se manifester | Être découvert |
|---|---|
| Vous vous enregistrez tardivement, spontanément | L'ILR vous identifie lors d'une cartographie sectorielle, ou après un incident |
| Vous arrivez avec un plan d'action documenté | Vous arrivez avec une explication |
| La discussion porte sur votre calendrier | La discussion porte sur votre manquement |
De manière générale, les régulateurs distinguent l'entité qui a identifié sa propre défaillance et l'a corrigée de celle qui a été découverte. Rien dans la loi ne garantit une quelconque clémence pour une démarche volontaire, et nous ne le promettrons pas. Mais se présenter avec un enregistrement, une analyse de risques et un plan de remédiation daté est une position nettement plus solide que de ne rien avoir de tout cela après un courrier de supervision.
La pire version du scénario. Une entité non enregistrée subit un incident significatif, doit le notifier sous 24 heures, et révèle ainsi au régulateur à la fois l'incident et le fait qu'elle aurait dû s'enregistrer onze mois plus tôt. Deux manquements apparaissent d'un coup, au pire moment possible.
Que faire, dans l'ordre
- Vérifiez que vous êtes réellement concerné. Ne vous enregistrez pas par précaution. Enregistrer une entité hors du champ crée des obligations que vous n'avez pas. Passez d'abord correctement les tests de secteur et de taille.
- Rassemblez ce que demande l'enregistrement. En principe : numéro RCS, code NACE, effectif et chiffre d'affaires, services fournis, sites au Luxembourg, et un contact sécurité joignable en permanence. Ce dernier point n'est pas une formalité : c'est le numéro que les autorités appelleront.
- Déposez. Via le formulaire d'auto-enregistrement de l'ILR.
- Ayez quelque chose derrière. L'enregistrement vous inscrit au registre ; il ne vous rend pas conforme. Vous enregistrer puis ne rien faire revient à indiquer au régulateur où vous trouver sans rien lui donner à trouver. Ayez au minimum une analyse de risques et un plan d'action daté en cours.
Si vous ne savez pas si vous étiez concerné
Beaucoup d'entreprises ont manqué le délai de bonne foi. Les secteurs de l'annexe II — industrie, alimentation, déchets, services postaux, fournisseurs numériques, recherche — ne se décrivent pas comme des infrastructures critiques, et leurs dirigeants n'avaient aucune raison particulière de lire une loi de cybersécurité.
Établir son périmètre est un exercice court : votre secteur au regard des annexes, votre effectif et votre chiffre d'affaires au regard des seuils, et une vérification des catégories indépendantes de la taille. Cela prend une demi-heure environ et produit une réponse écrite à conserver, utile quel qu'en soit le résultat.
Une note sur l'exactitude. Ceci est un résumé en langage courant, fourni à titre d'information et non comme un conseil juridique ; il ne préjuge pas du traitement que l'ILR réservera à un cas particulier. Les textes faisant foi sont la loi du 5 mai 2026 (Mémorial A n° 225), la directive (UE) 2022/2555 et les orientations publiées par l'Institut Luxembourgeois de Régulation.