Les entités concernées par la loi NIS2 luxembourgeoise doivent s’enregistrer elles-mêmes auprès de l’autorité compétente, qui est l’Institut luxembourgeois de régulation (ILR) pour la plupart des secteurs, au moyen de son formulaire d’auto-enregistrement en ligne. Le délai légal expirait le 10 juillet 2026, deux mois après l’entrée en vigueur de la loi. Si vous êtes concerné et ne vous êtes pas encore enregistré, faites-le maintenant. L’ILR confirme ensuite si vous êtes une entité essentielle ou importante, et vous tenez vos données à jour.
Ce guide présente qui doit s’enregistrer, le délai, les informations demandées par le formulaire, les étapes, ce qui se passe ensuite, les règles distinctes applicables aux fournisseurs numériques et une liste de contrôle.
| Enregistrement NIS2 au Luxembourg | |
|---|---|
| Base légale | Article 11(4) de la loi du 5 mai 2026 ; article 17 pour les fournisseurs numériques |
| Délai | 10 juillet 2026 (deux mois après l’entrée en vigueur le 10 mai 2026) |
| Où | Le formulaire d’auto-enregistrement de l’ILR sur guichet.ilr.lu, en français ou en anglais |
| Quoi | Nom ; adresse et coordonnées, y compris adresses électroniques, plages d’IP et numéros de téléphone ; secteur et sous-secteur ; pays de l’UE dans lesquels vous fournissez des services ; taille |
| Ensuite | L’ILR examine le formulaire et confirme le statut d’entité essentielle ou importante |
| Modifications | Dans un délai de deux semaines (trois mois pour le jeu de données de l’article 17) |
| En l’absence d’enregistrement | Avertissement, blâme ou amende pouvant atteindre 250 000 EUR (article 25) |
| Questions | [email protected], (+352) 28 228 228 |
Qui doit s’enregistrer auprès de l’ILR ?
Toute entité figurant sur la liste que les autorités compétentes doivent tenir au titre de l’article 11(3) : les entités essentielles, les entités importantes et les entités fournissant des services d’enregistrement de noms de domaine. En pratique, il s’agit des moyennes et grandes entreprises des secteurs des annexes I et II, ainsi que des catégories couvertes quelle que soit leur taille. Le test complet du champ d’application figure dans NIS2 au Luxembourg, et le vérificateur de périmètre NIS2 donne une première réponse en trois clics.
Deux groupes demandent souvent s’ils doivent agir :
- Les anciens opérateurs de services essentiels au titre de NIS1 deviennent automatiquement des entités essentielles. L’ILR recommande tout de même l’auto-enregistrement, afin de recueillir les informations complémentaires exigées par NIS2.
- Les opérateurs de communications électroniques relevant de la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques, déjà soumis à des obligations en matière de mesures de sécurité, sont enregistrés par l’ILR comme entités essentielles, sauf s’ils s’auto-enregistrent.
La Commission de surveillance du secteur financier (CSSF) est l’autorité compétente pour le secteur bancaire, les infrastructures des marchés financiers et les activités d’infrastructure numérique et de gestion des services TIC qu’elle supervise. Si c’est votre cas, vous vous enregistrez auprès de la CSSF, et non de l’ILR. Ce guide traite de l’enregistrement auprès de l’ILR.
Quel était le délai, et que faire si vous l’avez manqué ?
L’article 11(4) laissait aux entités deux mois à compter de l’entrée en vigueur de la loi. La loi s’applique depuis le 10 mai 2026 : le délai expirait donc le 10 juillet 2026. L’ILR précise que les enregistrements effectués avant l’entrée en vigueur de la loi restent valables, à condition que les données soient à jour.
Un délai manqué ne supprime pas l’obligation. Enregistrez-vous maintenant. L’article 25 permet à l’autorité compétente de répondre à une violation de l’article 11(4) par un avertissement, un blâme ou une amende administrative pouvant atteindre 250 000 EUR, au regard des circonstances. Mieux vaut s’enregistrer en retard que d’être découvert sans enregistrement.
Quelles informations l’enregistrement demande-t-il ?
L’article 11(4) fixe le minimum :
- le nom de l’entité ;
- son adresse et ses coordonnées actualisées, y compris les adresses électroniques, les plages d’IP et les numéros de téléphone ;
- le cas échéant, son secteur et son sous-secteur visés à l’annexe I ou II ;
- le cas échéant, les États membres de l’Union européenne dans lesquels elle fournit des services relevant du champ d’application de la loi ;
- sa taille et, le cas échéant, celle du groupe auquel elle appartient.
Rassemblez ces éléments avant d’ouvrir le formulaire :
- Des coordonnées qui fonctionneront encore dans un an. Pour les contacts de sécurité, utilisez des adresses et des numéros liés à une fonction plutôt que la boîte de messagerie d’une seule personne.
- Vos plages d’IP publiques. Demandez-les à vos fournisseurs d’hébergement, de cloud et de connectivité si vous ne tenez pas cette liste vous-même.
- Votre secteur et votre sous-secteur selon l’annexe. Reprenez le libellé de l’annexe, pas votre description commerciale.
- Effectifs et données financières, pour l’entité et, le cas échéant, pour le groupe, car la taille détermine si vous êtes concerné et si vous êtes une entité essentielle ou importante. Les seuils de taille sont expliqués dans NIS2 s’applique-t-elle aux PME.
Comment s’enregistrer, étape par étape ?
- Confirmez le champ d’application et l’autorité. Vérifiez que vous êtes concerné et que votre autorité compétente est l’ILR, et non la CSSF.
- Rassemblez les cinq éléments ci-dessus, pour l’entité et son groupe.
- Ouvrez le formulaire d’auto-enregistrement depuis la page d’auto-enregistrement de l’ILR, sur guichet.ilr.lu, en français ou en anglais.
- Soumettez le formulaire. Conservez une copie de ce que vous avez envoyé et la date d’envoi.
- Attendez l’examen de l’ILR. L’ILR examine chaque formulaire et confirme le statut de l’entité : essentielle ou importante.
- Tenez vos données à jour. Notifiez toute modification dans un délai de deux semaines à compter de sa survenance.
Que se passe-t-il après l’enregistrement ?
- Votre statut est confirmé. Les entités essentielles sont soumises à une supervision ex ante et ex post ; les entités importantes, à une supervision ex post. La différence est expliquée dans entités essentielles et entités importantes.
- Vous recevez un compte SERIMA. SERIMA est la plateforme de cybersécurité gratuite développée par l’ILR avec l’IBPT belge et le NC3 luxembourgeois. L’ILR met un compte à la disposition des entités NIS2 après leur enregistrement.
- La notification des incidents s’applique. Les incidents importants sont notifiés à l’ILR via le formulaire de notification de SERIMA dans les 24 heures, puis dans les 72 heures, puis dans un délai d’un mois. La procédure et un modèle figurent dans notification d’incident NIS2 au Luxembourg.
- Les entités essentielles rendent compte de leurs mesures chaque année. L’ILR demande aux entités essentielles une description des mesures en place, une analyse des principaux scénarios de risques cyber sous forme de questionnaire à choix multiples, et un plan d’action pluriannuel. Il peut aussi leur demander la liste de leurs dépendances à l’égard de leurs fournisseurs directs. Les échéances sont fixées dans les règlements de l’ILR. L’ILR souligne que ce questionnaire ne remplace pas l’analyse de risques que l’entité doit mener elle-même au titre de l’article 12.
- L’organe de direction approuve les mesures. L’article 13 impose à l’organe de direction d’approuver et de superviser les mesures de sécurité, et de suivre une formation.
Les fournisseurs numériques s’enregistrent-ils différemment ?
Oui : ils transmettent un jeu de données plus complet au titre de l’article 17. Sont concernés les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les entités fournissant des services d’enregistrement de noms de domaine, les fournisseurs de services d’informatique en nuage et de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux. Ils communiquent :
- le nom de l’entité ;
- son secteur, son sous-secteur et son type d’entité ;
- l’adresse de son établissement principal et de ses autres établissements légaux dans l’UE, ou de son représentant ;
- ses coordonnées actualisées, y compris les adresses électroniques et les numéros de téléphone ;
- les États membres dans lesquels elle fournit des services ;
- ses plages d’IP.
Les modifications doivent être notifiées dans un délai de trois mois. Le point de contact unique transmet ces informations, à l’exception des plages d’IP, à l’ENISA pour le registre européen. L’article 17(1) reprend la date fixée par la directive, le 17 janvier 2025, déjà dépassée lors de l’adoption de la loi. En pratique, la réponse est donc la même : transmettez vos données maintenant.
Ces mêmes fournisseurs relèvent aussi du règlement d’exécution (UE) 2024/2690 de la Commission, qui fixe des exigences de sécurité détaillées et les critères permettant de qualifier un incident d’important. Ce que NIS2 signifie pour les fournisseurs de services gérés est expliqué dans NIS2 pour les MSP et MSSP.
Liste de contrôle de l’enregistrement NIS2
- Vérifiez que vous êtes concerné et si votre autorité compétente est l’ILR ou la CSSF.
- Rassemblez le nom, les coordonnées, les plages d’IP, le secteur et le sous-secteur, les pays desservis, ainsi que la taille de l’entité et du groupe.
- Utilisez des contacts de sécurité liés à une fonction.
- Soumettez le formulaire d’auto-enregistrement de l’ILR et conservez-en une copie.
- Surveillez la confirmation par l’ILR de votre statut d’entité essentielle ou importante, ainsi que l’ouverture de votre compte SERIMA.
- Mettez en place un processus de mise à jour sous deux semaines (trois mois pour le jeu de données de l’article 17).
- Informez l’organe de direction de ce que l’enregistrement déclenche.
La manière dont CloudSoul prend en charge la conformité NIS2 après l’enregistrement est présentée sur la page NIS2.
Sources
- ILR, Auto-enregistrement, mis à jour le 7 juillet 2026.
- ILR, Questions fréquentes par rapport à NIS2 (FAQ).
- ILR, Mesures de sécurité, mis à jour le 4 août 2026, et SERIMA.
- Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, Legilux.
Questions fréquentes
L'enregistrement NIS2 est-il obligatoire au Luxembourg ?
Oui, pour les entités concernées. L'article 11(4) de la loi du 5 mai 2026 impose aux entités essentielles et importantes, ainsi qu'aux entités fournissant des services d'enregistrement de noms de domaine, de communiquer leurs informations à l'autorité compétente. Pour la plupart des secteurs, il s'agit de l'Institut luxembourgeois de régulation (ILR), qui propose un formulaire d'auto-enregistrement.
Quel était le délai d'enregistrement NIS2 au Luxembourg ?
Deux mois à compter de l'entrée en vigueur de la loi le 10 mai 2026, soit le 10 juillet 2026. Les entités concernées qui ne se sont pas encore enregistrées doivent le faire maintenant, car l'obligation continue de s'appliquer.
Quelles informations l'ILR demande-t-il ?
Le nom de l'entité ; son adresse et ses coordonnées actualisées, y compris les adresses électroniques, les plages d'IP et les numéros de téléphone ; son secteur et son sous-secteur ; les États membres de l'UE dans lesquels elle fournit des services relevant du champ d'application ; et sa taille, ainsi que celle de son groupe le cas échéant.
Les opérateurs déjà couverts par NIS1 doivent-ils s'enregistrer ?
Ils sont automatiquement classés comme entités essentielles, mais l'ILR recommande tout de même l'auto-enregistrement, afin de recueillir les informations complémentaires nécessaires au titre de NIS2.
Que se passe-t-il si vous ne vous enregistrez pas ?
L'article 25 de la loi permet à l'autorité compétente de prononcer un avertissement, un blâme ou une amende administrative pouvant atteindre 250 000 EUR en cas de manquement à l'obligation d'enregistrement de l'article 11(4).
