Abordez la directive NIS2 en toute confiance. ObsidianCorps accompagne les entreprises luxembourgeoises dans l'analyse des écarts, la remédiation et la conformité continue avec la réglementation européenne la plus importante en matière de cybersécurité.
Dernière mise à jour : août 2026
La directive NIS2 (UE 2022/2555) est la législation européenne révisée et renforcée en matière de cybersécurité, remplaçant la directive NIS originale de 2016. NIS2 élargit considérablement le champ des organisations couvertes, introduit des exigences de sécurité plus strictes et impose des sanctions nettement plus élevées en cas de non-conformité. Le Luxembourg a transposé NIS2 par la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité. Cette loi est entrée en vigueur le 10 mai 2026.
La directive établit un socle commun de cybersécurité dans tous les États membres de l'UE, exigeant des organisations couvertes qu'elles mettent en œuvre des mesures complètes de gestion des risques, signalent rapidement les incidents de sécurité et assurent une responsabilité au niveau de la direction pour la gouvernance de la cybersécurité. Au Luxembourg, l'Institut Luxembourgeois de Régulation (ILR) sert d'autorité compétente principale pour l'application et la supervision de NIS2.
NIS2 représente un changement fondamental dans l'approche de l'UE en matière de réglementation de la cybersécurité. Contrairement à son prédécesseur, qui se concentrait principalement sur les opérateurs de services essentiels et les fournisseurs de services numériques, NIS2 ratisse beaucoup plus large. La directive introduit un seuil basé sur la taille qui intègre automatiquement les moyennes et grandes entreprises des secteurs couverts dans son champ d'application, supprimant le processus de désignation discrétionnaire précédent. Pour le Luxembourg, avec sa concentration de services financiers, d'infrastructure numérique et d'entreprises transfrontalières, l'impact est considérable.
NIS2 s'applique à votre entreprise luxembourgeoise si vous opérez dans l'un des secteurs désignés par la directive et répondez à certains seuils de taille. Comprendre si votre organisation est classée comme « entité essentielle » ou « entité importante » est la première étape critique vers la conformité.
Les entités essentielles comprennent les organisations opérant dans : l'énergie (électricité, pétrole, gaz, hydrogène, chauffage urbain), les transports (aérien, ferroviaire, maritime, routier), les banques et les infrastructures des marchés financiers, la santé (hôpitaux, laboratoires, entreprises pharmaceutiques), l'approvisionnement et la distribution d'eau potable, la gestion des eaux usées, l'infrastructure numérique (IXP, fournisseurs DNS, registres TLD, cloud computing, centres de données, CDN), la gestion des services TIC (prestataires de services gérés, prestataires de services de sécurité gérés), l'administration publique et l'espace.
Les entités importantes comprennent les organisations dans : les services postaux et de messagerie, la gestion des déchets, la fabrication de produits chimiques et de dispositifs médicaux, la production et la distribution alimentaires, les fournisseurs numériques (places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux) et les établissements de recherche.
Seuils de taille : NIS2 s'applique généralement aux moyennes entreprises (50+ employés ou 10 millions d'EUR+ de chiffre d'affaires annuel) et aux grandes entreprises dans les secteurs couverts. Cependant, certaines entités sont couvertes quelle que soit leur taille, notamment les fournisseurs uniques d'un service critique, les entités dont la perturbation pourrait avoir un impact systémique et les entités désignées par les autorités nationales. Au Luxembourg, l'ILR tient le registre des entités soumises à NIS2 et peut fournir une détermination formelle d'applicabilité.
NIS2 impose quatre grandes catégories d'obligations aux entités couvertes au Luxembourg. ObsidianCorps aide les organisations à répondre à chaque exigence par un conseil ciblé, une mise en œuvre technique et un support continu.
Les organisations doivent mettre en œuvre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques de cybersécurité. Cela inclut les politiques d'analyse des risques, la sécurité des systèmes d'information, la gestion des incidents, la continuité d'activité, la gestion des sauvegardes, la reprise après sinistre, la sécurité de la chaîne d'approvisionnement, la gestion et la divulgation des vulnérabilités, les politiques de cryptographie et de chiffrement, la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs.
NIS2 introduit des délais stricts de signalement des incidents. Les organisations doivent soumettre une alerte précoce à l'ILR dans les 24 heures suivant la prise de connaissance d'un incident significatif, suivie d'une notification d'incident dans les 72 heures fournissant une évaluation initiale de la gravité et de l'impact, et d'un rapport final dans un délai d'un mois détaillant la cause première, les mesures d'atténuation et l'impact transfrontalier. Le non-respect de ces délais peut entraîner des sanctions distinctes.
Les entités couvertes doivent évaluer et gérer les risques de cybersécurité au sein de leurs chaînes d'approvisionnement et de leurs relations avec les fournisseurs. Cela inclut l'évaluation des pratiques de sécurité des fournisseurs directs et des prestataires de services, la mise en place d'exigences contractuelles de sécurité et la surveillance des vulnérabilités de la chaîne d'approvisionnement. Pour les entreprises luxembourgeoises avec des chaînes d'approvisionnement transfrontalières étendues dans la Grande Région, cette obligation nécessite une attention particulière.
NIS2 exige que les organes de direction (conseils d'administration, direction exécutive) approuvent les mesures de gestion des risques de cybersécurité, supervisent leur mise en œuvre et soient tenus responsables de la non-conformité. Les dirigeants et la haute direction doivent suivre une formation en cybersécurité. La responsabilité personnelle de la direction est un élément nouveau significatif qui élève la cybersécurité d'une préoccupation informatique à une responsabilité au niveau du conseil d'administration.
ObsidianCorps fournit des services de conformité NIS2 de bout en bout pour les entreprises luxembourgeoises, de l'évaluation initiale à la mise en œuvre jusqu'à la surveillance continue. Notre approche est pragmatique, rentable et adaptée aux besoins spécifiques des organisations opérant dans le Grand-Duché et la Grande Région.
Nous menons une évaluation approfondie de votre posture de cybersécurité actuelle par rapport aux exigences NIS2, identifiant les écarts, priorisant les risques et produisant une feuille de route de conformité avec des jalons clairs et des estimations de ressources. Cela prend généralement 2 à 4 semaines.
Notre équipe travaille aux côtés de la vôtre pour mettre en place les contrôles techniques, les politiques, les procédures et les structures de gouvernance requis par NIS2. Cela inclut les cadres de gestion des risques, les procédures de réponse aux incidents, les mesures de sécurité de la chaîne d'approvisionnement et les programmes de formation de la direction.
Nous validons la conformité par des tests d'intrusion, des exercices sur table, des exercices de réponse aux incidents et des audits internes. Cela garantit que vos mesures NIS2 ne sont pas seulement documentées mais réellement efficaces en pratique.
La conformité NIS2 n'est pas un projet ponctuel. ObsidianCorps assure une surveillance continue, des revues trimestrielles, des réévaluations annuelles et un suivi des mises à jour réglementaires pour garantir que votre organisation reste conforme à mesure que le paysage réglementaire évolue.
La loi luxembourgeoise NIS 2 s’applique depuis le 10 mai 2026. Ces quatre chantiers transforment les exigences réglementaires en preuves que l’ILR peut examiner.
L’échéance d’auto-enregistrement était le 10 juillet 2026. Un retard ne supprime pas les obligations NIS2 : confirmez votre périmètre, utilisez le formulaire officiel de l’ILR et maintenez les données à jour.
Utilisez les quatre modèles publiés par l’ILR le 3 août 2026 : mesures en place, principaux scénarios de risques cyber, plan d’action pluriannuel et liste des dépendances. Reliez chaque déclaration à un responsable et à une preuve vérifiable.
Définissez qui qualifie l’incident, qui transmet l’alerte précoce sous 24 heures et la notification sous 72 heures via SERIMA, puis qui approuve le rapport final. Testez ce parcours avant l’incident.
Le Luxembourg a aussi transposé la directive sur la résilience des entités critiques (CER) en mai 2026. NIS2 vise le risque cyber ; CER couvre une résilience physique et opérationnelle plus large. Mutualisez gouvernance, dépendances, exercices et continuité sans confondre les deux cadres.
"NIS2 n'est pas juste une autre case de conformité à cocher -- c'est une restructuration fondamentale de la gouvernance de la cybersécurité en Europe. Pour les entreprises luxembourgeoises, en particulier celles des services financiers et de l'infrastructure numérique, la directive exige un niveau de maturité en cybersécurité que beaucoup d'organisations n'ont pas encore atteint. La bonne nouvelle est qu'avec un accompagnement approprié, la conformité NIS2 renforce votre posture de sécurité réelle, pas seulement votre documentation."
Questions courantes sur la conformité NIS2 au Luxembourg
ObsidianCorps fournit des services experts de conformité NIS2 pour les entreprises luxembourgeoises. De l'analyse des écarts à la surveillance continue, nous vous guidons à chaque étape du processus de conformité.
Sans engagement. Évaluation gratuite du périmètre NIS2 pour les entreprises luxembourgeoises.
Chez Obsidiancorps, nous allions technologie innovante et pratiques de sécurité éprouvées pour créer des solutions sur mesure qui protègent et dynamisent votre entreprise. Contactez-nous pour construire ensemble un avenir plus sûr.
Differdange, Luxembourg
Nous répondons généralement sous 24 heures
Nous serions ravis de vous entendre ! Remplissez le formulaire ci-dessous et notre équipe vous répondra dès que possible.