Votre entreprise est-elle concernée par NIS2 au Luxembourg ?

Depuis l'entrée en vigueur de la loi du 5 mai 2026, de nombreuses entreprises luxembourgeoises cherchent à répondre à une question faussement simple : sommes-nous concernés ? La réponse ne relève pas de l'appréciation. C'est une suite de tests, et vous pouvez les parcourir en une dizaine de minutes.

Premier test : votre secteur

La loi énumère les secteurs dans deux annexes. L'annexe I couvre les onze secteurs hautement critiques — énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique et espace. L'annexe II y ajoute les services postaux et de courrier, la gestion des déchets, la chimie, la production et la distribution alimentaires, la fabrication, les fournisseurs numériques et la recherche.

C'est cette seconde liste qui surprend le plus au Luxembourg. L'industrie et l'alimentation sont concernées. Une entreprise qui fabrique des pièces mécaniques dans le sud du pays, sans se douter qu'elle avait une obligation de cybersécurité, peut très bien être une entité importante.

Deuxième test : votre taille

Le secteur ne suffit pas. Vous devez également franchir un seuil de taille, et ce seuil détermine dans laquelle des deux catégories vous tombez.

Les obligations de sécurité elles-mêmes sont identiques dans les deux catégories. Ce qui change, c'est l'intensité du contrôle et ce que vous devez transmettre spontanément.

Les exceptions qui ignorent la taille

Une courte liste d'activités vous fait entrer dans le champ quel que soit votre effectif. Si vous êtes le fournisseur unique d'un service au Luxembourg, un prestataire de services de confiance, un fournisseur de services DNS, un registre de noms de domaine de premier niveau, un opérateur de réseaux de communications électroniques publics, ou déjà désigné comme entité critique, la taille ne vous protège pas. Un prestataire de services de confiance de quatre personnes est concerné ; une boulangerie de quatre personnes ne l'est pas.

La voie que la plupart des entreprises oublient

C'est ici que l'analyse déraille le plus souvent. L'entreprise vérifie les deux tests, se situe sous les seuils, et en conclut qu'elle n'a rien à faire. Puis un client lui envoie un questionnaire de sécurité.

L'article 21 de la directive impose aux entités concernées de gérer les risques de sécurité de leur chaîne d'approvisionnement, y compris dans leurs relations avec leurs fournisseurs directs. Une entité soumise à la loi ne peut pas se contenter d'espérer que son prestataire informatique est sûr : elle doit lui imposer des exigences par contrat. L'obligation se propage donc vers le bas, atteignant des entreprises que la loi ne nomme jamais.

Le même mécanisme joue via DORA dans le secteur financier, qui impose ses propres exigences contractuelles aux prestataires TIC tiers des entités financières. Dans un pays où la concentration d'établissements financiers est ce qu'elle est, cela concerne un nombre considérable de petites sociétés technologiques.

Que faire de la réponse

Si les deux tests vous désignent, les obligations immédiates sont l'enregistrement auprès de l'ILR, les dix mesures de gestion des risques de l'article 21, l'approbation et la formation de l'organe de direction, et la notification des incidents selon un calendrier de 24 heures, 72 heures et un mois.

Si seule la voie de la chaîne d'approvisionnement s'applique, vous n'avez pas d'obligation légale directe — mais vous avez une obligation commerciale qui se comporte à peu près de la même façon, et arriver au renouvellement d'un client sans preuves est une manière coûteuse de s'en apercevoir.

Si aucune des trois voies ne s'applique, vous êtes réellement hors du champ de la loi, et quiconque vous vend un audit de conformité obligatoire vous vend quelque chose dont vous n'avez pas besoin.