Check-list NIS2 : 34 contrôles pour le Luxembourg

Responsabilité des dirigeants Art. 13 loi du 5 mai 2026

1. L’organe de direction a-t-il approuvé par écrit les mesures de gestion des risques (décision datée) ?
2. L’organe de direction contrôle-t-il l’avancement à intervalles fixes (tableau de bord, rapport) ?
3. Les dirigeants suivent-ils des formations à la cybersécurité de manière régulière ?
   Formation régulière des membres des organes de direction : article 13, paragraphe 2.
4. Une personne est-elle chargée de la sécurité de l’information, avec mission écrite et moyens propres ?

Lire le dossier

Auto-enregistrement et notification d’incidents Art. 11 et 14 loi du 5 mai 2026

1. Votre entité s’est-elle enregistrée sur le guichet de l’ILR (ou a-t-elle établi qu’elle n’y est pas tenue) ?
   Délai légal : deux mois après l’entrée en vigueur, soit le 10 juillet 2026. Toute modification se déclare dans les deux semaines.
2. Disposez-vous d’une procédure pour notifier un incident important à l’ILR dans les délais légaux ?
   Alerte précoce sous 24 heures, notification sous 72 heures, rapport final un mois après (art. 14, par. 4).
3. Vos critères pour qualifier un incident d’« important » sont-ils écrits ?
4. Avez-vous prévu comment avertir les destinataires de vos services touchés par un incident ou une menace ?

Lire le dossier

Analyse des risques et politiques de sécurité Art. 12, par. 2, point 1°

1. L’analyse des risques de vos systèmes d’information est-elle documentée et révisée périodiquement ?
2. Une politique de sécurité de l’information a-t-elle été validée par la direction ?
3. Pilotez-vous la sécurité au moyen d’un système de management, par exemple selon ISO/IEC 27001 ?

Traitement des incidents Art. 12, par. 2, point 2°

1. Un processus écrit encadre-t-il la détection, l’analyse et la résolution des incidents ?
2. Les journaux et alertes de sécurité sont-ils collectés et examinés ?
3. Un exercice de gestion d’incident a-t-il eu lieu au cours de l’année écoulée ?

Continuité, sauvegardes et crise Art. 12, par. 2, point 3°

1. Vos sauvegardes sont-elles régulières, isolées du réseau et testées en restauration ?
2. Disposez-vous d’un plan de reprise pour vos processus critiques ?
3. La composition et les coordonnées d’une équipe de crise sont-elles arrêtées ?

Chaîne d’approvisionnement Art. 12, par. 2, point 4°

1. Avez-vous recensé les prestataires et fournisseurs dont dépend votre sécurité ?
2. Les contrats avec ces prestataires fixent-ils des obligations de sécurité (alerte en cas d’incident, audit) ?
3. La sécurité de vos fournisseurs clés est-elle réévaluée périodiquement ?

Acquisition, développement et maintenance Art. 12, par. 2, point 5°

1. Les mises à jour de sécurité sont-elles déployées vite et avec traçabilité ?
2. Recherchez-vous régulièrement les vulnérabilités de vos systèmes (scans, tests d’intrusion) ?
3. Des exigences de sécurité s’appliquent-elles à vos achats et développements ?

Évaluation de l’efficacité Art. 12, par. 2, point 6°

1. Mesurez-vous régulièrement l’efficacité de vos mesures (audit interne, indicateurs) ?
2. Les écarts constatés font-ils l’objet d’un suivi jusqu’à leur correction ?

Cyberhygiène et sensibilisation Art. 12, par. 2, point 7°

1. Vos salariés sont-ils sensibilisés à la cybersécurité de façon périodique (hameçonnage, fraude) ?
2. Vos règles d’usage de l’informatique (mots de passe, postes, messagerie) sont-elles formalisées et obligatoires ?

Cryptographie Art. 12, par. 2, point 8°

1. Le contenu des portables, smartphones et supports amovibles est-il chiffré ?
2. Des règles encadrent-elles le chiffrement et la gestion des clés (échanges, sauvegardes) ?

Ressources humaines, accès et actifs Art. 12, par. 2, point 9°

1. Les accès sont-ils limités au strict nécessaire et revus à intervalles réguliers ?
2. L’ouverture et la fermeture des accès suivent-elles les arrivées, changements de poste et départs ?
3. Tenez-vous à jour la liste de vos systèmes et applications ?

Authentification forte et communications sécurisées Art. 12, par. 2, point 10°

1. L’authentification à plusieurs facteurs protège-t-elle les accès à distance, le cloud et les comptes à privilèges ?
2. Un canal de communication d’urgence sécurisé est-il prévu si vos outils habituels sont hors service ?