Notifier un incident important à l’ILR

L’incident « important » au sens de la loi

La loi luxembourgeoise parle d’incident important. Selon l’article 14, paragraphe 3, un incident est important :

• s’il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée ;
• ou s’il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

L’autorité peut préciser ces critères par règlement ou circulaire. Un projet de règlement ILR sur les modalités et critères de notification a été mis en consultation en juillet 2026 ; son adoption n’est pas confirmée à ce jour. En attendant, la définition légale et le règlement d’exécution (UE) 2024/2690, pour les fournisseurs numériques qu’il vise, servent de repères.

Deux exemples pour fixer les idées, chez des entités soumises à la loi. Un fournisseur de services gérés dont les accès clients sont compromis expose des tiers à des dommages considérables. Un transporteur dont le système de planification reste hors service une demi-journée subit une perturbation opérationnelle grave. Dans les deux cas, la notification s’impose.

Le calendrier de l’article 14, paragraphe 4

L’autorité répond à l’alerte précoce, si possible dans les 24 heures, par un premier retour et, sur demande, des orientations opérationnelles (art. 14, par. 5).

Qui reçoit la notification

La notification va à l’autorité compétente : l’ILR dans la plupart des cas, la CSSF pour les entités qu’elle surveille dans les secteurs visés à l’article 3, paragraphe 2. L’autorité la transmet ensuite au CSIRT compétent et au HCPN (art. 14, par. 1er). Les CSIRT sont le GOVCERT.LU pour l’État, les établissements publics et les entités critiques, et le CIRCL pour toutes les autres entités (art. 7).

En pratique, la déclaration se fait sur le formulaire en ligne SERIMA. Notez l’adresse hors de vos systèmes : si votre messagerie et votre intranet sont paralysés, il faudra la retrouver vite.

Si des données personnelles sont touchées, la Commission nationale pour la protection des données doit aussi être informée dans les 72 heures, conformément à l’article 33 du RGPD. Une démarche ne remplace pas l’autre.

Informer vos clients

L’article 14 va au-delà de l’autorité. Le paragraphe 1er prévoit que l’entité informe, le cas échéant, les destinataires de ses services d’un incident important susceptible de nuire à la fourniture du service. Le paragraphe 2 ajoute qu’en cas de cybermenace importante, l’entité communique aux destinataires potentiellement touchés les mesures qu’ils peuvent prendre, et si possible la menace elle-même.

Préparez donc un message type, la personne qui le valide et la liste des contacts clients à prévenir.

Organiser la notification avant l’incident

• Un circuit de décision : qui qualifie l’incident, qui tranche, qui remplit SERIMA.
• Une astreinte : les 24 heures courent aussi le samedi et pendant les congés collectifs.
• Des seuils internes : durée d’indisponibilité, nombre de clients touchés, volume de données exposées.
• Des modèles prêts : un par étape, un pour la CNPD, un pour les clients.
• Un journal horodaté : il démontrera à quel moment vous avez eu connaissance de l’incident.
• Des engagements fournisseurs : vos prestataires doivent vous alerter immédiatement de leurs propres incidents.

Le domaine « Auto-enregistrement et notification » du NIS2-Scoring teste votre préparation. La procédure de gestion des incidents relève aussi des mesures de l’article 12, point 2°.