Au Luxembourg, les entités essentielles et importantes notifient les incidents importants à l’ILR via le formulaire en ligne SERIMA, selon trois délais : une notification préliminaire dans les 24 heures après en avoir eu connaissance, une notification d’incident dans les 72 heures et un rapport final dans un délai d’un mois. Un incident est important s’il cause, ou est susceptible de causer, une perturbation opérationnelle grave ou des pertes financières, ou des dommages considérables à d’autres personnes.
Ce guide présente ce qui rend un incident important, où notifier, le contenu de chaque rapport, qui d’autre informer, ce que fait l’ILR de votre notification, les violations de données à caractère personnel, la notification volontaire, et un modèle à préparer à l’avance.
| Étape | Délai | Contenu obligatoire (article 14(4)) |
|---|---|---|
| Notification préliminaire | Sans retard injustifié, dans les 24 heures après en avoir eu connaissance | Le cas échéant, indique si l’on suspecte que l’incident a été causé par des actes illicites ou malveillants et s’il pourrait avoir un impact transfrontière |
| Notification d’incident | Dans les 72 heures après en avoir eu connaissance | Une mise à jour de la notification préliminaire, une évaluation initiale de la gravité et de l’impact et, lorsqu’ils sont disponibles, des indicateurs de compromission |
| Rapport intermédiaire | À la demande du CSIRT ou de l’autorité | Les mises à jour pertinentes de la situation |
| Rapport final | Au plus tard un mois après la notification d’incident | Description détaillée, gravité et impact ; type de menace ou cause profonde ; mesures d’atténuation appliquées et en cours ; impact transfrontière le cas échéant |
| Rapport d’avancement | Si l’incident est toujours en cours à la date du rapport final | Un rapport d’avancement à ce moment-là, puis le rapport final dans un délai d’un mois à compter du traitement de l’incident |
Quels incidents devez-vous notifier ?
Les incidents importants. L’article 14(3) de la loi du 5 mai 2026 définit un incident comme important si :
- il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée ; ou
- il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.
Au sens de l’article 2 de la loi, un incident est tout événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou faisant l’objet d’un traitement, ou des services qu’offrent les réseaux et systèmes d’information de l’entité. L’autorité compétente peut préciser d’autres paramètres par voie de règlement ou de circulaire.
Les fournisseurs numériques appliquent des seuils plus précis. Les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les fournisseurs de services d’informatique en nuage, de centres de données et de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, les places de marché en ligne, les moteurs de recherche, les réseaux sociaux et les prestataires de services de confiance relèvent du règlement d’exécution (UE) 2024/2690 de la Commission. Selon son article 3, un incident est important si l’un ou plusieurs des critères suivants sont remplis :
- il cause ou est susceptible de causer une perte financière directe supérieure à 500 000 EUR ou à 5 % du chiffre d’affaires annuel, le montant le plus faible étant retenu ;
- il cause ou est susceptible de causer l’exfiltration de secrets d’affaires ;
- il cause ou est susceptible de causer le décès d’une personne, ou une atteinte considérable à la santé d’une personne ;
- un accès fructueux, soupçonné d’être malveillant et non autorisé, aux réseaux et systèmes d’information s’est produit, susceptible de causer une perturbation opérationnelle grave ;
- il s’agit d’un incident récurrent au sens de l’article 4 : survenu au moins deux fois en six mois, avec la même cause profonde apparente, et dépassant ensemble le seuil de perte financière.
Le règlement ajoute des critères propres à chaque type de fournisseur. L’appréciation à porter dans les premières heures est traitée dans ce qui rend un incident important.
Où faut-il notifier ?
- Les entités supervisées par l’ILR utilisent le formulaire de notification SERIMA, à l’adresse serima.lu/notification. Le formulaire est accessible publiquement, sans compte. SERIMA est la plateforme que l’ILR a développée avec l’IBPT belge et le NC3 luxembourgeois.
- Les entités supervisées par la CSSF (secteur bancaire, infrastructures des marchés financiers, et activités d’infrastructure numérique et de gestion des services TIC supervisées par la CSSF) adressent leurs notifications à la CSSF, leur autorité compétente.
- Questions à l’ILR : [email protected] ou (+352) 28 228 228.
L’autorité compétente transmet chaque notification au CSIRT concerné (le CIRCL pour la plupart des entités privées, GOVCERT.LU pour les administrations et services de l’État et les entités critiques) ainsi qu’au point de contact unique.
Que contient chaque rapport ?
Notification préliminaire, dans les 24 heures. C’est une alerte, pas une analyse. La page de l’ILR indique ce qu’il attend : le type d’entité, une description de l’incident, les critères d’importance remplis, l’existence ou non d’un impact transfrontière et la suspicion ou non d’un acte malveillant. Envoyez-la avec ce que vous savez et indiquez ce que vous ne savez pas encore.
Notification d’incident, dans les 72 heures. Mettez à jour la notification préliminaire et fournissez une évaluation initiale : la gravité, l’impact sur les services et sur les destinataires de vos services, et les indicateurs de compromission si vous en disposez.
Rapport intermédiaire, sur demande. Le CSIRT ou l’autorité peut demander des mises à jour à tout moment.
Rapport final, dans un délai d’un mois après la notification d’incident. Une description détaillée, y compris la gravité et l’impact, le type de menace ou la cause profonde qui a probablement déclenché l’incident, les mesures d’atténuation appliquées et en cours, et l’éventuel impact transfrontière. Si l’incident est toujours en cours de traitement, transmettez à la place un rapport d’avancement, puis le rapport final dans un délai d’un mois à compter du traitement de l’incident.
Les prestataires de services de confiance notifient les incidents importants ayant un impact sur leurs services de confiance dans les 24 heures, au lieu du délai de 72 heures.
Le déroulement concret des trois délais est expliqué dans le calendrier de notification des incidents NIS2.
Devez-vous informer vos clients ?
Parfois. L’article 14 ajoute deux obligations envers les destinataires de vos services :
- Incidents importants : le cas échéant, notifiez sans retard injustifié aux destinataires les incidents importants susceptibles de nuire à la fourniture de vos services.
- Cybermenaces importantes : le cas échéant, communiquez aux destinataires potentiellement affectés les mesures ou corrections qu’ils peuvent appliquer et, s’il y a lieu, informez-les de la menace elle-même.
Par ailleurs, lorsque la sensibilisation du public est nécessaire, l’autorité peut, après vous avoir consulté, informer le public d’un incident important ou exiger que vous le fassiez (article 14(7)).
Que fait l’ILR de votre notification ?
En vertu de l’article 14(5), l’autorité compétente vous répond sans retard injustifié, et si possible dans les 24 heures suivant la notification préliminaire, avec un retour d’information initial. À votre demande, elle fournit des orientations ou des conseils opérationnels sur les mesures d’atténuation, en coopération avec le CSIRT, et le CSIRT peut apporter un soutien technique supplémentaire. Si l’incident semble avoir un caractère criminel, vous recevez aussi des orientations sur les modalités de son signalement aux autorités répressives.
Notifier n’accroît pas votre responsabilité : l’article 14(1) le prévoit expressément. Lorsqu’un incident concerne deux États membres ou plus, le point de contact unique les informe, ainsi que l’ENISA, tout en préservant votre sécurité et vos intérêts commerciaux ainsi que la confidentialité des informations que vous avez transmises.
Et si des données à caractère personnel sont concernées ?
Une notification NIS2 ne remplace pas une notification au titre du RGPD. Si l’incident constitue aussi une violation de données à caractère personnel, le RGPD vous impose de la notifier à la CNPD, dans la mesure du possible dans les 72 heures après en avoir pris connaissance. Menez les deux à partir du même dossier d’incident pour que les faits concordent. Le recoupement est traité dans NIS2 et RGPD.
Pouvez-vous notifier à titre volontaire ?
Oui. L’article 20 prévoit deux types de notification volontaire :
- les entités essentielles et importantes peuvent notifier les incidents, cybermenaces et incidents évités qui ne remplissent pas les critères d’importance ;
- toute autre entité, qu’elle relève ou non du champ d’application, peut notifier à l’ILR des incidents importants, des cybermenaces et des incidents évités.
L’autorité les traite selon la même procédure, mais peut traiter en priorité les notifications obligatoires. Une notification volontaire n’a pas pour effet d’imposer des obligations supplémentaires à l’entité qui en est à l’origine. SERIMA accepte les notifications volontaires.
Modèle de notification d’incident NIS2
Préparez ces réponses à l’avance : la notification préliminaire des 24 heures consistera alors à renseigner des faits. Les champs suivent ce que demandent la loi et l’ILR ; le formulaire SERIMA reste le canal officiel.
NOTIFICATION PRÉLIMINAIRE (dans les 24 heures après en avoir eu connaissance)
- Nom de l'entité, type d'entité, secteur
- Contact pour cet incident (nom, fonction, téléphone, e-mail)
- Autorité compétente : ILR / CSSF
- Date et heure auxquelles l'entité a eu connaissance de l'incident
- Brève description : ce qui s'est passé, quels services et systèmes
- Critère d'importance rempli :
[ ] perturbation opérationnelle grave ou pertes financières pour l'entité
[ ] dommages matériels, corporels ou moraux considérables à d'autres personnes
[ ] critère du règlement d'exécution 2024/2690 (fournisseurs numériques) : ______
- Acte illicite ou malveillant suspecté : oui / non / inconnu
- Impact transfrontière possible : oui / non / inconnu
- Destinataires informés : oui / non / pas encore
NOTIFICATION D'INCIDENT (dans les 72 heures après en avoir eu connaissance)
- Mises à jour de la notification préliminaire
- Évaluation initiale de la gravité
- Impact : services touchés, destinataires touchés, durée à ce stade, estimation de la perte financière
- Indicateurs de compromission, s'ils sont disponibles
- Mesures de confinement et d'atténuation prises à ce stade
RAPPORT INTERMÉDIAIRE (sur demande)
- Mises à jour pertinentes depuis le dernier rapport
RAPPORT FINAL (dans un délai d'un mois après la notification d'incident)
- Description détaillée de l'incident, y compris sa gravité et son impact
- Type de menace ou cause profonde qui l'a probablement déclenché
- Mesures d'atténuation appliquées et en cours
- Impact transfrontière, le cas échéant
- Si l'incident est toujours en cours : rapport d'avancement maintenant, rapport final dans un délai d'un mois à compter du traitementListe de contrôle pour la notification des incidents
- Désignez par écrit qui décide si un incident est important et qui soumet la notification.
- Enregistrez le formulaire SERIMA dans vos favoris et consignez les coordonnées de l’ILR dans votre plan de réponse aux incidents.
- Préremplissez dans le modèle les informations sur l’entité et les contacts.
- Définissez les deux critères d’importance au regard de vos propres services, ainsi que les seuils du règlement 2024/2690 si vous êtes un fournisseur numérique.
- Décidez comment vous informez vos clients lorsqu’un incident est susceptible de les affecter.
- Reliez vos étapes de notification NIS2 et RGPD afin que les deux partent d’un même dossier d’incident.
- Exercez-vous au délai de 24 heures au moins une fois par an.
La gestion des incidents est l’une des dix mesures de l’article 21. Le cadre luxembourgeois dans son ensemble est présenté dans NIS2 au Luxembourg, et la manière dont CloudSoul pilote le programme sur la page NIS2.
Sources
- Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, articles 2, 14 et 20, Legilux.
- ILR, Notification d’incident, mise à jour le 6 juillet 2026, et SERIMA.
- Règlement d’exécution (UE) 2024/2690 de la Commission, articles 3 et 4, EUR-Lex.
Questions fréquentes
Comment notifier un incident NIS2 au Luxembourg ?
Les entités supervisées par l'ILR soumettent leurs notifications via le formulaire en ligne SERIMA, à l'adresse serima.lu/notification. L'ILR transmet chaque notification au CSIRT compétent et au point de contact unique. Les entités supervisées par la CSSF adressent leurs notifications à la CSSF.
Quels sont les délais de notification des incidents NIS2 au Luxembourg ?
Une notification préliminaire sans retard injustifié et dans les 24 heures après avoir eu connaissance d'un incident important, une notification d'incident dans les 72 heures, et un rapport final au plus tard un mois après la notification d'incident. Les prestataires de services de confiance notifient dans les 24 heures.
Qu'est-ce qu'un incident important selon la loi NIS2 luxembourgeoise ?
Un incident qui a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité, ou qui a affecté ou est susceptible d'affecter d'autres personnes en causant des dommages matériels, corporels ou moraux considérables. Les fournisseurs numériques couverts par le règlement d'exécution (UE) 2024/2690 appliquent en outre les seuils spécifiques qu'il fixe.
Notifier un incident accroît-il votre responsabilité ?
Non. L'article 14(1) de la loi précise que le simple fait de notifier un incident n'accroît pas la responsabilité de l'entité qui est à l'origine de la notification.
Une entreprise hors du champ de NIS2 peut-elle notifier un incident à l'ILR ?
Oui. L'article 20 permet à toute entité, qu'elle relève ou non du champ d'application, de notifier à titre volontaire à l'ILR des incidents importants, des cybermenaces et des incidents évités. Une notification volontaire n'a pas pour effet d'imposer des obligations supplémentaires à l'entité qui en est à l'origine.
