NIS2 au Luxembourg
Sanctions et contrôle selon la loi du 5 mai 2026
La loi luxembourgeoise prévoit deux niveaux d’amendes. Les manquements aux mesures de sécurité et à la notification d’incidents sont les plus lourdement sanctionnés. Les autres obligations, comme l’enregistrement, relèvent d’un plafond de 250 000 €.
Actualisé : octobre 2026 · Texte de référence : loi du 5 mai 2026 (Mémorial A n° 225)
Les autorités de contrôle
L’ILR supervise et fait respecter la loi pour l’ensemble des secteurs des annexes I et II et pour les entités critiques (art. 3, par. 1er). La CSSF exerce cette mission pour le secteur bancaire, les infrastructures des marchés financiers et, pour les entités qu’elle surveille, l’infrastructure numérique et la gestion des services TIC (art. 3, par. 2). Les sanctions décrites ci-dessous sont prononcées par l’autorité compétente.
L’ILR a déjà montré qu’elle utilise ses pouvoirs : le 9 septembre 2026, elle a sanctionné une entreprise qui n’avait pas notifié un incident (décision ILR/N26/9). Cette décision s’appuyait encore sur un règlement adopté sous l’ancienne loi.
Deux niveaux d’amendes
La loi distingue selon l’obligation violée :
| Manquement | Sanction maximale | Base |
|---|---|---|
| Mesures de sécurité (art. 12) ou notification d’incident (art. 14, par. 1er à 4) par une entité essentielle | 10 millions € ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le plus élevé des deux | Art. 26, par. 4 |
| Mêmes manquements par une entité importante | 7 millions € ou 1,4 % de ce chiffre d’affaires, le plus élevé des deux | Art. 26, par. 5 |
| Enregistrement (art. 11, par. 4), obligations des dirigeants (art. 13), certification (art. 15), informations de l’article 17, obligations de l’article 18 | Avertissement, blâme ou amende jusqu’à 250 000 € | Art. 25, par. 1er |
Le chiffre d’affaires de référence est celui de l’entreprise ou du groupe dont fait partie l’entité, au niveau mondial. Pour une filiale luxembourgeoise d’un grand groupe, le pourcentage peut donc dépasser de loin le montant fixe.
Les amendes doivent être effectives, proportionnées et dissuasives et sont appréciées au cas par cas (art. 26, par. 1er). Pour fixer le montant, l’autorité tient compte au minimum des critères énumérés à l’article 22, paragraphe 7.
L’astreinte
Pour obtenir qu’une entité mette fin à une violation, l’autorité peut prononcer une astreinte journalière. Son montant est plafonné à 1 250 € par jour, et le total pour un même manquement ne peut dépasser 25 000 € (art. 26, par. 7). L’astreinte s’ajoute, le cas échéant, à l’amende.
Mesures visant les entités essentielles
Pour les entités essentielles, l’autorité dispose de mesures supplémentaires. Si les injonctions restent sans effet, elle peut saisir le président du tribunal d’arrondissement de Luxembourg, en procédure de référé, pour obtenir la suspension temporaire d’une certification ou d’une autorisation, ou l’interdiction temporaire d’exercer des fonctions de direction pour un directeur général ou un représentant légal (art. 22, par. 5). Ces mesures ne visent pas l’administration publique. Le dossier dirigeants explique la responsabilité personnelle qui s’y rattache.
Procédure et recours
Procédure contradictoire
Avant toute sanction, l’entité peut consulter le dossier, présenter ses observations et se faire assister ou représenter par la personne de son choix (art. 25, par. 2).
Décision motivée
La décision est motivée et notifiée à l’entité (art. 25, par. 3).
Recours en réformation
L’entité peut contester la décision devant le tribunal administratif par un recours en réformation, qui permet au juge de revoir le fond (art. 25, par. 4).
Recouvrement
Les amendes sont recouvrées par l’Administration de l’enregistrement, des domaines et de la TVA (art. 25, par. 5).
Les amendes élevées de l’article 26 suivent la même procédure (art. 26, par. 6).
Où porter l’effort
Les plafonds les plus élevés visent les mesures de l’article 12 et la notification de l’article 14. Une entité qui veut réduire son exposition commence donc par une chaîne de notification testée et par des mesures documentées et approuvées. L’auto-enregistrement, lui, est rapide à régulariser et évite une sanction facile à constater.
Le NIS2-Scoring pondère ses questions en fonction de ces risques et place en tête du plan d’action les lacunes qui exposent à une sanction directe.
Vos questions
Quelle est l’amende maximale au Luxembourg ?
10 millions € ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle qui viole l’article 12 ou 14 (art. 26, par. 4) ; 7 millions € ou 1,4 % pour une entité importante (art. 26, par. 5).
Que risque une entité qui ne s’est pas enregistrée ?
Un avertissement, un blâme ou une amende jusqu’à 250 000 € (art. 25, par. 1er).
Peut-on contester une sanction de l’ILR ?
Oui, par un recours en réformation devant le tribunal administratif (art. 25, par. 4).
Qu’est-ce que l’astreinte prévue par la loi ?
Une somme journalière de 1 250 € au plus, plafonnée à 25 000 € par manquement, pour obtenir la fin d’une violation (art. 26, par. 7).