Directive européenne NIS 2 : un nouveau cadre réglementaire en approche

Avec l’entrée en vigueur de la directive européenne NIS 2, le 17 octobre 2024 dernier, et la transposition imminente de cette directive dans la loi Luxembourgeoise, les organisations opérant dans des secteurs critiques ou hautement critiques sont confrontées à une obligation renforcée de gouvernance en cybersécurité.

 

Quels acteurs sont concernés ?

Une entité est concernée si :

• Elle opère dans un secteur critique listé dans les annexes I ou II de la directive : 
  • Énergie
  • Transport
  • Santé
  • Eau potable et eaux usées
  • Infrastructures numériques
  • Services TIC interentreprises
  • Administration publique
  • Espace
  • Services postaux et logistique
  • Agroalimentaire
  • Fabrication de produits chimiques
  • Recherche et innovation.
• Dépasse un certain seuil de taille (règle dite du size-cap : généralement plus de 50 employés ou plus de 10 M€ de chiffre d’affaires).
• Deux catégories d’entités :
• Entités essentielles : secteurs hautement critiques (énergie, transport, santé, infrastructures numériques, etc.).
• Entités importantes : autres secteurs critiques (services postaux, gestion des déchets, agroalimentaire, fabrication, etc.).
• Exceptions et cas particuliers : certaines entités sont automatiquement incluses, indépendamment de leur taille (ex. : fournisseurs de services DNS, registres de noms de domaine, prestataires de services de confiance).
• Les États membres peuvent ajouter ou exclure certaines entités selon des critères spécifiques (ex. : unicité d’un fournisseur dans un secteur donné).

 

Une obligation d’auto-enregistrement

Les entités concernées doivent s’auto-déclarer auprès de l’autorité compétente nationale. Au Luxembourg, bien que la transposition dans la loi nationale ne soit pas encore pleinement finalisée, c’est l’Institut Luxembourgeois de Régulation (ILR) qui est d’ores et déjà désigné en tant qu’autorité locale.

 

Se préparer dès maintenant

Le ministère des Affaires intérieures recommande aux entités concernées de :

• Répertorier les activités et systèmes critiques.
• Initier une autoévaluation de maturité en cybersécurité.
• Mettre en place un processus de gestion des incidents.
• Participer aux sessions d’information organisées par l’ILR et ses partenaires.