Les mesures de gestion des risques de l’article 12

Le cadre général

Les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité de leurs réseaux et systèmes d’information (art. 12, par. 1er). Ces mesures tiennent compte de l’état de l’art et, le cas échéant, des normes européennes et internationales. Elles reposent sur une approche « tous risques » : protéger aussi les systèmes contre un incendie, une coupure de courant ou une erreur humaine.

La loi demande en outre que l’analyse des risques s’appuie sur un cadre d’analyse adapté. L’autorité peut préciser ce cadre par règlement ou par circulaire (art. 12, par. 1er, alinéa 3). Tant que l’ILR ne l’a pas fait, une méthode reconnue, comme celle d’ISO/IEC 27005 ou équivalente, reste un choix sûr.

Les dix mesures du paragraphe 2

L’article 12, paragraphe 2, fixe le socle minimal. Pour chaque point, voici ce qu’un contrôleur s’attendra raisonnablement à voir :

Pour certains fournisseurs numériques, notamment cloud, centres de données, services gérés et services DNS, le règlement d’exécution (UE) 2024/2690 détaille ces exigences et s’applique directement. L’ILR y renvoie sur sa page consacrée à NIS 2.

La notification des mesures par les entités essentielles

C’est la principale spécificité luxembourgeoise. Les entités essentielles notifient à l’autorité compétente les mesures qu’elles ont prises en application des paragraphes 1er et 2 (art. 12, par. 3). Selon les informations publiées par l’ILR, cette notification sera annuelle et comprendra :

• une description des mesures en place ;
• une analyse des principaux scénarios de risque cyber ;
• un plan d’action pluriannuel.

L’ILR met des modèles à disposition. Le format, la méthode et le délai doivent toutefois être fixés par règlement ou circulaire. Un projet de règlement a été soumis à consultation publique du 6 juillet au 6 août 2026. À la date de mise à jour de cette page, l’adoption du règlement définitif n’est pas confirmée.

Normes et certification

La loi ne rend aucune norme obligatoire et ne cite pas ISO/IEC 27001. Elle laisse toutefois à l’autorité la possibilité d’imposer, par règlement, l’usage de produits, services ou processus TIC certifiés selon des schémas européens (art. 15). À ce jour, aucune obligation de ce type n’a été relevée.

Dans la pratique, ISO/IEC 27001 reste un bon fil conducteur. Ses exigences couvrent largement les dix points de l’article 12, et un certificat rassure aussi vos clients. Il ne remplace cependant ni l’auto-enregistrement, ni la notification des incidents, ni les obligations propres aux dirigeants.

Fixer les priorités

Pour une entité qui part de loin, l’ordre suivant fonctionne bien : d’abord l’analyse des risques et la politique de sécurité, validées par la direction ; ensuite les mesures à effet rapide, comme l’authentification multifacteur, la restauration testée des sauvegardes et la gestion des correctifs ; enfin la chaîne d’approvisionnement, la formation et l’évaluation de l’efficacité.

Une plateforme comme Sightadel peut servir à structurer le plan d’action et les justificatifs. Le NIS2-Scoring mesure votre point de départ pour chacun des dix points, et le dossier sur les dirigeants explique qui doit valider quoi.