Le Luxembourg a transposé NIS2 par la loi du 5 mai 2026, en vigueur depuis le 10 mai 2026. Elle couvre les moyennes et grandes entreprises de dix-huit secteurs, ainsi que certaines entités quelle que soit leur taille. L’ILR supervise la plupart d’entre elles, et les entités concernées devaient s’enregistrer au plus tard le 10 juillet 2026. Les incidents importants doivent être notifiés dans les 24 heures, et les amendes atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
Ce guide présente le calendrier de la loi, les entités concernées, la distinction entre entités essentielles et importantes, les autorités de supervision, l’enregistrement, les dix mesures, les obligations des organes de direction, la notification des incidents, la supervision et les amendes, les recoupements avec le RGPD et DORA, et ce qu’il faut faire maintenant. Il ne constitue pas un avis juridique.
| Loi NIS2 luxembourgeoise | |
|---|---|
| Loi | Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (Mémorial A 225), en vigueur depuis le 10 mai 2026 |
| Autorité compétente | ILR pour la plupart des secteurs ; CSSF pour le secteur bancaire, les infrastructures des marchés financiers et les activités qu’elle supervise déjà |
| CSIRT | CIRCL pour la plupart des entités privées ; GOVCERT.LU pour les administrations et services de l’État et les entités critiques |
| Enregistrement | Article 11(4) : dans un délai de deux mois à compter de l’entrée en vigueur, soit au plus tard le 10 juillet 2026 ; modifications dans un délai de deux semaines |
| Mesures de sécurité | Article 12 : dix mesures, identiques à celles de l’article 21(2) de la directive |
| Organes de direction | Article 13 : approuvent les mesures, supervisent leur mise en œuvre, peuvent être tenus responsables, doivent suivre une formation |
| Notification des incidents | Article 14 : notification préliminaire dans les 24 heures, notification d’incident dans les 72 heures, rapport final dans un délai d’un mois |
| Amendes | Article 26 : jusqu’à 10 millions d’euros ou 2 % (entités essentielles), 7 millions d’euros ou 1,4 % (entités importantes) ; article 25 : jusqu’à 250 000 EUR pour les autres obligations |
Pour la directive elle-même, consultez le guide de conformité NIS2. Pour la manière dont CloudSoul prend en charge le programme de bout en bout, voir conformité NIS2.
Quand NIS2 est-elle entrée en vigueur au Luxembourg ?
La loi du 5 mai 2026 a été publiée au Journal officiel (Mémorial A 225) et s’applique depuis le 10 mai 2026. Le projet de loi a été déposé sous le numéro doc. parl. 8364. Le texte intégral est disponible sur Legilux : legilux.public.lu/eli/etat/leg/loi/2026/05/05/a225/jo.
Elle remplace la loi du 28 mai 2019 qui transposait NIS1, expressément abrogée par son article 30, et modifie les lois relatives au commerce électronique, au Haut-Commissariat à la Protection nationale (HCPN) et aux réseaux et services de communications électroniques.
Si vous étiez opérateur de services essentiels au titre de NIS1, vous ne partez pas de zéro. L’article 11(1), point 7°, reprend les opérateurs précédemment identifiés en tant qu’entités essentielles. La désignation est reprise ; votre niveau de conformité, lui, ne l’est pas. Les différences entre les deux régimes sont présentées dans NIS1 vs NIS2 : les différences clés.
Qui est concerné par NIS2 au Luxembourg ?
L’article 1er reprend le test en deux temps de la directive.
Secteur et taille. L’entité doit être d’un type visé à l’annexe I ou à l’annexe II, et constituer au moins une moyenne entreprise au sens de la recommandation 2003/361/CE de la Commission.
- L’annexe I énumère onze secteurs hautement critiques : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC (interentreprises), administration publique et espace.
- L’annexe II énumère sept autres secteurs critiques : services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication (dispositifs médicaux, produits électroniques, équipements électriques, machines, véhicules à moteur et autres matériels de transport), fournisseurs numériques (places de marché en ligne, moteurs de recherche, réseaux sociaux) et recherche.
Quelle que soit leur taille. L’article 1(2) à (4) vise également :
- les fournisseurs de réseaux de communications électroniques publics et de services de communications électroniques accessibles au public, les prestataires de services de confiance, les registres des noms de domaine de premier niveau et les fournisseurs de services DNS ;
- le seul prestataire, au Luxembourg, d’un service essentiel au maintien d’activités sociétales ou économiques critiques ;
- les entités dont la perturbation pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique, ou induire un risque systémique important ;
- les entités critiques au niveau national ou régional ;
- les entités de l’administration publique ;
- les entités recensées en tant qu’entités critiques en vertu de la loi du 5 mai 2026 sur la résilience des entités critiques ;
- les entités fournissant des services d’enregistrement de noms de domaine.
Secteur financier. Les entités financières couvertes par DORA (règlement (UE) 2022/2554) sont soumises aux règles de DORA en matière de gestion des risques et de notification des incidents, qui ont un effet au moins équivalent : en vertu de l’article 1(8), les dispositions pertinentes de la loi NIS2 ne leur sont donc pas applicables. Par ailleurs, l’article 1(5) exclut les entités exclues du champ d’application de DORA conformément à l’article 2(4) de ce règlement, c’est-à-dire celles que DORA permet lui-même aux États membres d’écarter. La frontière est traitée dans NIS2 et le secteur financier et dans NIS2, DORA et CER.
La vérification la plus rapide est le vérificateur de périmètre NIS2, qui passe en revue le secteur et la taille en trois clics. La logique du champ d’application est expliquée dans le champ d’application de NIS2, et ce qu’elle signifie pour les petites entreprises dans NIS2 s’applique-t-elle aux PME.
Votre entreprise est-elle une entité essentielle ou importante ?
L’article 11 détermine la catégorie, et la catégorie détermine la manière dont vous êtes supervisé.
Les entités essentielles (article 11(1)) comprennent notamment :
- les entités de l’annexe I qui dépassent les plafonds applicables aux moyennes entreprises, autrement dit les grandes entreprises des onze secteurs hautement critiques ;
- les prestataires de services de confiance qualifiés, les registres des noms de domaine de premier niveau et les fournisseurs de services DNS, quelle que soit leur taille ;
- les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public qui sont des moyennes entreprises ;
- les entités de l’administration publique ;
- les entités que l’autorité compétente identifie comme essentielles, les entités recensées comme critiques au titre de la loi sur la résilience, et les anciens opérateurs de services essentiels au titre de NIS1.
Les entités importantes (article 11(2)) sont toutes les autres entités concernées d’un type visé à l’annexe I ou II, y compris celles que l’autorité identifie comme importantes. En pratique, la plupart des moyennes entreprises concernées sont des entités importantes.
La comparaison des obligations et de la supervision figure dans entités essentielles et entités importantes.
Qui supervise NIS2 au Luxembourg ?
La loi désigne chaque organisme et son rôle, ce qui vous indique exactement à qui vous aurez affaire.
| Organisme | Rôle selon la loi |
|---|---|
| Institut luxembourgeois de régulation (ILR) | Autorité compétente pour les secteurs des annexes I et II et pour les entités critiques (article 3) : inspecte, audite, émet des instructions et inflige des amendes |
| Commission de surveillance du secteur financier (CSSF) | Autorité compétente pour le secteur bancaire et les infrastructures des marchés financiers, ainsi que pour les activités d’infrastructure numérique et de gestion des services TIC qu’elle supervise déjà (article 3) |
| Haut-Commissariat à la Protection nationale (HCPN) | Point de contact unique pour la coopération transfrontière (article 5) et autorité de gestion des crises cyber, qui représente le Luxembourg au sein d’EU-CyCLONe (article 6) |
| GOVCERT.LU | CSIRT pour les administrations et services de l’État, les établissements publics et les entités critiques (article 7(1)), exploité par le HCPN |
| CIRCL | CSIRT pour tous les autres cas (article 7(1)) et coordinateur de la divulgation coordonnée des vulnérabilités (article 9), exploité par la Luxembourg House of Cybersecurity |
La page NIS2 de l’ILR se trouve à l’adresse ilr.lu/en/sectors/niss/nis-2. Le modèle européen qui sous-tend ces rôles est présenté dans l’architecture institutionnelle de NIS2.
La loi modifie également la loi relative au HCPN pour imposer une stratégie nationale en matière de cybersécurité, évaluée au moins tous les cinq ans, et un plan national de réaction aux crises et incidents de cybersécurité majeurs. Le contexte est présenté dans les stratégies nationales de cybersécurité au titre de l’article 7 et dans le groupe de coopération, EU-CyCLONe et le réseau des CSIRT.
Comment s’enregistrer auprès de l’ILR ?
Enregistrement général (article 11(4)). Les entités devaient communiquer à l’autorité compétente, dans un délai de deux mois à compter de l’entrée en vigueur de la loi, soit au plus tard le 10 juillet 2026 :
- le nom de l’entité ;
- l’adresse et les coordonnées actualisées, y compris les adresses électroniques, les plages d’IP et les numéros de téléphone ;
- le cas échéant, le secteur et le sous-secteur concernés visés à l’annexe I ou II ;
- le cas échéant, les États membres de l’Union européenne dans lesquels elle fournit des services relevant du champ d’application de la loi ;
- la taille de l’entité et, le cas échéant, celle du groupe auquel elle appartient.
Toute modification doit être notifiée dans un délai de deux semaines. La loi impose aux autorités de mettre en place des mécanismes permettant aux entités de s’enregistrer elles-mêmes, et l’ILR publie son formulaire d’enregistrement sur sa page NIS2. L’autorité confirme ensuite votre désignation en tant qu’entité essentielle ou importante. La procédure pas à pas est détaillée dans l’enregistrement NIS2 auprès de l’ILR.
Si vous êtes concerné et ne vous êtes pas enregistré, faites-le maintenant. Le délai est dépassé, et l’article 25 sanctionne une violation de l’article 11(4) d’un avertissement, d’un blâme ou d’une amende pouvant atteindre 250 000 EUR.
Enregistrement du secteur numérique (article 17). Les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les entités fournissant des services d’enregistrement de noms de domaine, les fournisseurs de services d’informatique en nuage et de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux transmettent un jeu de données plus complet, et notifient toute modification de celui-ci dans un délai de trois mois. Le point de contact unique transmet ces informations, à l’exception des plages d’IP, à l’ENISA pour le registre européen. Voir les MSP et MSSP sont-ils régulés par NIS2 et NIS2 pour le cloud et les centres de données.
Quelles mesures de sécurité l’article 12 impose-t-il ?
L’article 12 est le cœur opérationnel de la loi. Les entités essentielles et importantes prennent « les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées », fondées sur une approche « tous risques ». Les dix catégories sont identiques à celles de l’article 21(2) de la directive :
- les politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information ;
- la gestion des incidents ;
- la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises ;
- la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ;
- la sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités ;
- des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité ;
- les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ;
- des politiques et des procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement ;
- la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs ;
- l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence, selon les besoins.
Deux points propres au Luxembourg :
- Les entités essentielles notifient leurs mesures. L’article 12(3) impose aux entités essentielles de notifier à l’autorité compétente les mesures qu’elles ont prises, selon un format et un délai que l’ILR ou la CSSF fixe par voie de règlement ou de circulaire. Attendez-vous à une transmission structurée, pas à une confirmation d’une ligne.
- Les évaluations de la chaîne d’approvisionnement comptent. L’article 12(4) impose aux entités de prendre en compte les résultats des évaluations coordonnées au niveau de l’Union des risques pour la sécurité des chaînes d’approvisionnement critiques, effectuées au titre de l’article 22 de la directive.
Chaque mesure est expliquée dans les dix mesures de l’article 21 de NIS2. Le principe « tous risques » est traité dans l’approche tous risques, et les fournisseurs dans la sécurité de la chaîne d’approvisionnement selon NIS2. Si vous êtes déjà certifié ISO 27001, l’essentiel du travail se transpose, comme l’explique ISO 27001 vs NIS2.
Que doit faire l’organe de direction ?
L’article 13 est court, mais lourd de conséquences. Les organes de direction des entités essentielles et importantes :
- approuvent les mesures de gestion des risques en matière de cybersécurité ;
- supervisent leur mise en œuvre ;
- peuvent être tenus responsables des violations de l’article 12 ;
- sont tenus de suivre régulièrement une formation, et l’entité doit offrir une formation similaire aux membres de son personnel.
La cybersécurité relève donc de l’organe de direction, avec des traces écrites de l’approbation, de la supervision et des formations. Ce à quoi ressemble un dossier de gouvernance défendable est décrit dans la responsabilité des dirigeants selon NIS2.
Comment notifier un incident au titre de la loi NIS2 luxembourgeoise ?
L’article 14 reprend les trois délais de la directive pour les incidents importants, notifiés à l’autorité compétente :
| Étape | Délai | Contenu |
|---|---|---|
| Notification préliminaire | Dans les 24 heures après avoir eu connaissance de l’incident | Indique si l’on suspecte que l’incident a été causé par des actes illicites ou malveillants et s’il pourrait avoir un impact transfrontière |
| Notification d’incident | Dans les 72 heures | Une mise à jour avec une évaluation initiale de la gravité et de l’impact et, lorsqu’ils sont disponibles, des indicateurs de compromission |
| Rapport final | Au plus tard un mois après la notification d’incident | Description détaillée, cause profonde, mesures d’atténuation appliquées et en cours, impact transfrontière |
Si l’incident est toujours en cours au bout d’un mois, vous transmettez un rapport d’avancement, puis un rapport final dans un délai d’un mois après la fin de sa gestion. Les prestataires de services de confiance sont soumis à un délai unique de notification de 24 heures. L’ILR demande aux entités de notifier les incidents via sa plateforme SERIMA. Le contenu de chaque rapport, avec un modèle, est détaillé dans la notification d’incident NIS2 au Luxembourg.
Selon l’article 14(3), un incident est important s’il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité, ou des dommages matériels, corporels ou moraux considérables à d’autres personnes. L’autorité transmet les notifications au CSIRT et au point de contact unique, et fournit si possible une première réponse dans les 24 heures.
La gestion de ces délais est expliquée dans le calendrier de notification des incidents NIS2, et la décision la plus difficile des premières 24 heures dans ce qui rend un incident important.
La loi luxembourgeoise impose-t-elle une certification ?
Pas encore. L’article 15 permet à l’autorité compétente d’imposer, par voie de règlement, l’utilisation de produits, services ou processus TIC certifiés dans le cadre de schémas européens adoptés au titre du règlement sur la cybersécurité (Cybersecurity Act, règlement (UE) 2019/881), et encourage le recours aux services de confiance qualifiés. Il indique une direction plutôt qu’une obligation actuelle. La place d’ISO 27001 est expliquée dans NIS2, ISO 27001 et les schémas de certification.
Comment NIS2 est-elle supervisée et appliquée au Luxembourg ?
La loi trace une ligne claire entre les deux catégories.
- Les entités essentielles (article 22) sont soumises à une supervision ex ante et ex post : inspections sur place, contrôles à distance, y compris des contrôles aléatoires, audits de sécurité réguliers et ciblés, audits ad hoc après un incident important, scans de sécurité et demandes d’informations. L’autorité peut exiger un audit par un organisme indépendant, aux frais de l’entité.
- Les entités importantes (article 23) sont soumises à une supervision ex post, généralement déclenchée par des indices de non-conformité.
Les deux catégories s’exposent à des avertissements, des instructions contraignantes, des injonctions de remédier aux insuffisances ou d’informer les destinataires de leurs services, des injonctions de mettre en œuvre les recommandations d’audit, la publication des violations et des amendes. Un responsable du contrôle peut en outre être désigné auprès des entités essentielles pour superviser le respect de leurs obligations. Pour les seules entités essentielles, si ces mesures restent inefficaces, l’autorité peut demander au président du Tribunal d’arrondissement de Luxembourg de suspendre temporairement une certification ou une autorisation, ou d’interdire temporairement au directeur général ou au représentant légal d’exercer des responsabilités dirigeantes.
La manière dont les autorités utilisent ces outils est décrite dans les pouvoirs d’exécution de NIS2.
Quelles sont les amendes NIS2 au Luxembourg ?
| Violation | Amende maximale |
|---|---|
| Mesures de l’article 12 ou notification de l’article 14, entité essentielle (article 26) | 10 000 000 EUR ou 2 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu |
| Mesures de l’article 12 ou notification de l’article 14, entité importante (article 26) | 7 000 000 EUR ou 1,4 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu |
| Enregistrement (art. 11(4)), organes de direction (art. 13(1) et (2)), certification (art. 15), enregistrement du secteur numérique (art. 17), données DNS (art. 18) (article 25) | 250 000 EUR, ou un avertissement ou un blâme |
| Astreinte pour mettre fin à une violation (article 26(7)) | 1 250 EUR par jour, plafonnée à 25 000 EUR par manquement |
L’Administration de l’enregistrement, des domaines et de la TVA (AED) recouvre les amendes, et un recours en réformation est ouvert devant le tribunal administratif. La procédure est contradictoire : vous pouvez consulter le dossier, présenter vos observations et vous faire représenter.
Pour fixer une amende, l’autorité tient compte de la gravité et de la durée de la violation, des violations antérieures, des dommages causés, du caractère délibéré ou négligent de la violation, des mesures d’atténuation prises, de la certification et de la coopération. Les violations répétées, le fait de ne pas notifier des incidents importants ou de ne pas y remédier, l’entrave aux audits et la fourniture d’informations fausses sont considérés en tout état de cause comme graves (article 22(7)). Les plafonds de 10 millions et de 7 millions d’euros sont expliqués dans les amendes administratives au titre de NIS2.
Comment la loi NIS2 s’articule-t-elle avec le RGPD et DORA ?
- RGPD (article 24). Si la supervision laisse penser à une violation de données à caractère personnel, l’autorité NIS2 en informe sans retard injustifié la Commission nationale pour la protection des données (CNPD). Lorsque la CNPD inflige une amende pour le même comportement au titre de l’article 58(2)(i) du RGPD, l’ILR ou la CSSF ne peut pas y ajouter une amende NIS2, mais peut toujours recourir à ses autres mesures. Voir NIS2 et RGPD.
- DORA. Pour les entités financières couvertes par DORA, les règles de DORA sont considérées comme ayant un effet équivalent au sens de l’article 1(8), de sorte que les dispositions pertinentes de la loi NIS2 ne leur sont pas applicables ; pour les entités ou activités que DORA ne couvre pas, la loi NIS2 continue de s’appliquer.
- Règles sectorielles équivalentes (article 1(8)). Lorsqu’un autre acte juridique de l’Union impose des obligations de gestion des risques et de notification des incidents ayant un effet au moins équivalent, les dispositions correspondantes de la loi NIS2, y compris la supervision prévue au chapitre 6, ne s’appliquent pas.
Guides sectoriels : énergie, transports, santé, cloud et centres de données et MSP et MSSP.
Que faire maintenant ?
- Confirmez le périmètre et la catégorie. Utilisez le vérificateur de périmètre NIS2, ou faites examiner par un conseil l’article 1er et l’article 11 au regard de vos activités.
- Identifiez votre autorité. L’ILR dans le cas général, la CSSF pour le secteur bancaire, les infrastructures des marchés financiers et les activités supervisées par la CSSF.
- Enregistrez-vous ou mettez à jour votre enregistrement. Le délai de l’article 11(4) expirait le 10 juillet 2026, et les modifications doivent être notifiées dans un délai de deux semaines. Les fournisseurs numériques transmettent en outre le jeu de données de l’article 17 et le mettent à jour dans un délai de trois mois après toute modification.
- Informez l’organe de direction. Documentez son approbation des mesures, sa supervision et sa formation au titre de l’article 13.
- Organisez la notification des incidents. Faites correspondre la détection, la classification et la notification aux délais de 24 heures, 72 heures et un mois, et sachez comment accéder à SERIMA.
- Comblez les écarts de l’article 12. Comparez vos mesures aux dix catégories et commencez par les plus faibles, en général les fournisseurs et l’authentification multifacteur.
- Conservez les preuves. La coopération et une diligence démontrable comptent dans le calcul de l’amende : constituez votre dossier avant le premier audit.
Sources
- Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (Mémorial A 225), Legilux.
- ILR, page NIS 2, ilr.lu/en/sectors/niss/nis-2.
- Directive (UE) 2022/2555 (NIS2), EUR-Lex, et la page NIS2 de la Commission.
- Règlement (UE) 2022/2554 (DORA), et recommandation 2003/361/CE de la Commission concernant la définition des PME.
L’ILR et la CSSF publient progressivement des règlements et des circulaires d’application. Consultez la page NIS2 de l’ILR pour les orientations les plus récentes avant d’arrêter vos décisions opérationnelles.
Questions fréquentes
Quand NIS2 est-elle entrée en vigueur au Luxembourg ?
Le 10 mai 2026. Le Luxembourg a transposé la directive par la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, publiée au Mémorial sous la référence A 225. Elle abroge la loi du 28 mai 2019 qui transposait NIS1.
Quelle est l'autorité compétente NIS2 au Luxembourg ?
L'Institut luxembourgeois de régulation (ILR) pour la plupart des secteurs. La Commission de surveillance du secteur financier (CSSF) est compétente pour le secteur bancaire et les infrastructures des marchés financiers, ainsi que pour les activités d'infrastructure numérique et de gestion des services TIC qu'elle supervise déjà. Le CIRCL est le CSIRT de la plupart des entités privées ; GOVCERT.LU couvre les administrations et services de l'État et les entités critiques.
Quel était le délai d'enregistrement NIS2 au Luxembourg ?
Les entités devaient communiquer leurs informations à l'autorité compétente dans un délai de deux mois à compter de l'entrée en vigueur de la loi, soit au plus tard le 10 juillet 2026, et doivent notifier toute modification dans un délai de deux semaines. L'ILR propose un formulaire d'auto-enregistrement. L'absence d'enregistrement peut être sanctionnée d'une amende pouvant atteindre 250 000 EUR.
Dans quel délai faut-il notifier un incident au titre de NIS2 au Luxembourg ?
Une notification préliminaire dans les 24 heures après avoir eu connaissance d'un incident important, une notification d'incident dans les 72 heures, et un rapport final au plus tard un mois après la notification d'incident. L'ILR demande aux entités de notifier via sa plateforme SERIMA.
Quelles sont les amendes NIS2 au Luxembourg ?
Pour les violations des mesures de l'article 12 ou des obligations de notification de l'article 14 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total pour les entités essentielles, et jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Les manquements liés à l'enregistrement, aux obligations des organes de direction et à la certification sont passibles d'amendes pouvant atteindre 250 000 EUR, et des astreintes pouvant aller jusqu'à 1 250 EUR par jour peuvent s'y ajouter.
