Amendes NIS2 et responsabilité des dirigeants au Luxembourg
Les amendes sont lourdes ; ce qui surprend les conseils, c'est que la responsabilité leur revient personnellement — et ne peut être entièrement déléguée à un prestataire.
En bref : les amendes sont lourdes — jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial — mais ce que la plupart des dirigeants-propriétaires ratent est plus tranchant : sous la loi du 5 mai 2026, l'organe de direction est personnellement engagé. Ce n'est pas une responsabilité que vous pouvez confier entièrement à votre prestataire informatique.
Les amendes
| Entité essentielle | Entité importante | |
|---|---|---|
| Amende administrative maximale | 10 millions € ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu | 7 millions € ou 1,4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu |
| Mode de surveillance | Proactif — l'ILR peut contrôler et demander des preuves à tout moment | Réactif — après un incident ou une plainte |
Ce sont des plafonds, pas des tarifs. Un premier manquement divulgué honnêtement, assorti d'un plan de remédiation crédible, n'a rien à voir avec une non-conformité découverte après un incident. Mais ces plafonds disent le sérieux attendu.
Ce qui surprend les dirigeants : la responsabilité personnelle
L'article 20 de la directive NIS2, transposé par la loi luxembourgeoise, impose des obligations précises à l'organe de direction — le conseil, les administrateurs, les gérants :
- Il doit approuver les mesures de gestion des risques de cybersécurité.
- Il doit superviser leur mise en œuvre.
- Il doit suivre une formation lui-même, pour identifier les risques et juger les mesures — et est encouragé à proposer une formation équivalente au personnel.
La conséquence est l'essentiel : parce que la loi nomme l'organe de direction, la responsabilité ne peut pas être entièrement déléguée. « Notre prestataire informatique gère la sécurité » ne décharge pas un dirigeant de son devoir de l'approuver, de la superviser et de la comprendre. Un conseil qui a validé des mesures qu'il n'a jamais examinées n'a pas satisfait à l'article 20, aussi bon soit le dispositif sous-jacent.
Pour les entités essentielles, les sanctions peuvent viser la personne. Lorsqu'une entité essentielle ne remédie pas à un manquement dans le délai fixé, l'autorité compétente peut, entre autres mesures, demander une interdiction temporaire d'exercer des fonctions de direction au niveau du directeur général ou du représentant légal. Ce n'est ni automatique ni immédiat — c'est un dernier recours — mais cela existe, et cela vise des personnes, pas seulement l'entreprise.
Les mesures correctives en deçà de l'amende
L'amende est l'extrémité visible de l'éventail. Avant cela, l'ILR peut émettre des instructions contraignantes et des avertissements, vous ordonner de mettre certaines mesures en conformité sous un délai, exiger que vous informiez les clients concernés et — pour les entités essentielles — suspendre une autorisation ou une certification. Pour une entreprise qui vit de la confiance de ses clients, une injonction publique de mise en conformité peut coûter plus cher que l'amende.
Ce que cela signifie concrètement
Trois choses en découlent pour un organe de direction qui veut dormir tranquille :
- Se former, brièvement. Les dirigeants n'ont pas à devenir ingénieurs. Il leur faut de quoi approuver les mesures en connaissance de cause et poser les bonnes questions. La loi l'exige, et une vidéo enregistrée est une faible réponse face à un régulateur.
- Approuver sur la base de preuves, pas d'assurances. Validez des mesures dont vous voyez qu'elles sont réelles — testées, documentées — plutôt qu'un dossier qu'on vous dit complet.
- Conserver la trace écrite. La décision du conseil approuvant les mesures, l'attestation de formation, l'acceptation du risque — c'est ce qui prouve, plus tard, que le devoir a été rempli.
Comment nous aidons
Notre audit de conformité produit exactement le dossier dont un organe de direction a besoin pour satisfaire à l'article 20 : une analyse de risques et une politique de sécurité que votre conseil peut approuver, un plan d'action qu'il peut porter, et une séance de conseil incluant la formation désormais exigée des dirigeants — animée par des gens qui testent des systèmes pour de vrai, pas qui lisent des diapositives. Ce que nous ne faisons pas, c'est accepter le risque à votre place : la loi le met sur l'organe de direction, et il y reste.
Vous ne savez pas si la loi vous concerne ? C'est une question distincte, plus rapide — nous y répondons par écrit d'abord.