← Luxembourg

Projet de loi portant transposition de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entit

CONSEIL D’ÉTAT =============== N° CE : 61.637 N° dossier parl. : 8307 Projet de loi portant transposition de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil, et modifiant : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale Avis du Conseil d’État (23 janvier 2024) En vertu de l’arrêté du 1er septembre 2023 du Premier ministre, ministre d'État, le Conseil d’État a été saisi pour avis du projet de loi sous rubrique, élaboré par le Premier ministre. Au texte du projet de loi étaient joints un exposé des motifs, un commentaire des articles, les textes coordonnés, par extraits, des lois que la loi en projet tend à modifier, des tableaux de concordance entre la loi en projet et la directive à transposer, une fiche financière, le texte de la directive à transposer, une fiche d’évaluation d’impact ainsi qu’un « check de durabilité - Nohaltegkeetscheck ». Par dépêche du 11 septembre 2023, le Premier ministre, ministre d’État, a demandé au Conseil d’État d’accorder un traitement prioritaire à l’examen du projet sous rubrique. Les avis de la Chambre des fonctionnaires et employés publics et de la Chambre de commerce ont été communiqués au Conseil d’État en date respectivement des 31 octobre et 11 décembre

  1. Considérations générales Le présent projet de loi a pour objectif principal la transposition de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil, ci-après « directive 2022/2557 ». Le dispositif s’inscrit dans la liste des initiatives prises depuis 2008 au niveau tant européen que national destinées à renforcer la résilience des infrastructures critiques qui fournissent des services essentiels à l’économie et à la société dans son ensemble. Une première directive, à savoir la directive 2008/114/CE du Conseil du 8 décembre 2008 concernant le recensement et la désignation des infrastructures critiques européennes ainsi que l’évaluation de la nécessité d’améliorer leur protection fut transposée en droit national à travers le règlement grand-ducal du 12 mars 2012 portant application de la directive 2008/114/CE du Conseil précitée
  2. En dépassement de ce dispositif qui s’inscrivait dans un contexte transfrontalier et qui se limitait aux infrastructures critiques européennes, le Luxembourg s’est doté en 2016 d’un dispositif national de protection des infrastructures critiques à travers la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale. L’approche suivie en 2016 se distinguait par ailleurs de celle de 2012 en ce qu’elle couvrait non seulement les secteurs de l’énergie et des transports, mais aussi ceux des technologies de l’information et de la communication, des finances, de la santé, de l’alimentation, de l’eau, de l’industrie chimique et de l’administration publique. À travers la directive 2022/2557 qu’il est proposé de transposer, le législateur européen vise désormais toutes les entités critiques, qu’elles soient nationales ou européennes. Par ailleurs, le passage de la notion d’« infrastructure critique » à celle d’« entité critique » souligne la volonté de protéger non seulement l’infrastructure, c’est-à-dire l’installation qui sert à fournir les services essentiels, mais également les entités qui exploitent ces infrastructures. Enfin, la nouvelle directive couvre désormais onze secteurs, à savoir le secteur de l’énergie, celui des transports, le secteur bancaire, les secteurs des infrastructures des marchés financiers, de la santé, de l’eau potable, des eaux résiduaires, des infrastructures numériques, de l’administration publique, de l’espace et de la production, de la transformation et de la distribution de denrées alimentaires. La directive enjoint aux États membres de mettre en place un cadre stratégique propice à la résilience des entités critiques et de procéder à des évaluations régulières des risques et de procéder sur cette base à l’identification des entités qui fournissent des services essentiels à la société, à l’économie, à la santé et à la sécurité publiques ou à l’environnement. Par ailleurs, les États membres doivent désigner les autorités compétentes chargées de veiller à l’application correcte des règles énoncées dans la directive ainsi qu’un point de contact unique et doter les autorités en question des pouvoirs, des ressources et des moyens nécessaires pour réaliser leur mission de surveillance. Pour ce qui est de la technique de transposition, le Conseil d’État prend acte du choix opéré par les auteurs du projet de loi qui consiste à transposer la directive 2022/2557 moyennant une loi spéciale, au lieu de procéder pour ce faire à une modification de la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale, loi qui intègre à l’heure actuelle la législation sur les infrastructures critiques. Il ressort du commentaire de l’article 21 du projet de loi que les auteurs du projet de loi ont estimé que cette approche était plus logique, et ce d’autant plus que le Haut-Commissariat à la Protection nationale se partagera dorénavant le rôle de l’autorité compétente avec la Commission de surveillance du secteur financier. Règlement grand-ducal du 12 mars 2012 portant application de la directive 2008/114/CE du Conseil du 8 décembre 2008 concernant le recensement et la désignation des infrastructures critiques européennes ainsi que l’évaluation de la nécessité d’améliorer leur protection, Mém. A - n° 45 du 15 mars
  3. 2 1 La directive devra être transposée dans le droit national au plus tard le 17 octobre 2024 et les nouvelles règles s’appliqueront à partir du 18 octobre
  4. Examen des articles Article 1er L’article 1er définit, selon le commentaire des articles, le champ d’application du projet de loi. En fait, la disposition cerne, au niveau de son paragraphe 1er, le champ d’application du projet de loi d’une façon négative, en précisant les matières qui ne sont pas couvertes par la législation en projet. Il est ainsi précisé que la future loi ne s’appliquera pas aux questions couvertes par la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant les mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014, la directive (UE) 2018/1972 et abrogeant la directive (UE) 2016/1148, ci-après « directive 2022/2555 », et cela sans préjudice de l’article 8 du projet de loi sous revue. Tout en constatant que l’article 1er, paragraphe 2, de la directive 2022/2557 précise également que la directive en question ne s’applique pas aux questions couvertes par la directive 2022/2555, le Conseil d’État note que la directive 2022/2557 se limite ensuite à inviter les États membres à veiller à ce que les deux directives soient mises en œuvre de manière coordonnée. Si la sécurité physique des entités critiques traitée par la directive 2022/2557 et la cybersécurité de ces mêmes entités qui relève de la directive 2022/2555 sont étroitement liées, il n’est toutefois pas, d’après le Conseil d’État, nécessaire de reprendre le texte de la directive et de préciser en l’occurrence que les champs d’application des deux dispositifs en cause sont, au niveau national, distincts. Il conviendra seulement de veiller au moment de la transposition de la directive 2022/2555 à délimiter clairement le champ d’application de la loi de transposition. D’après le Conseil d’État, il aurait été parfaitement possible de donner d’abord une définition positive du champ d’application du projet de loi en faisant le lien avec l’énumération des secteurs, sous-secteurs et catégories d’entités qui sont énumérées et définies à l’annexe et de définir ensuite les exclusions. L’article 1er, paragraphe 2, prévoit que lorsque les dispositions d’actes juridiques sectoriels de l’Union européenne exigent des entités critiques qu’elles prennent des mesures pour renforcer leur résilience, et lorsque ces exigences ont un effet au moins équivalent aux obligations correspondantes prévues par la loi en projet, les dispositions pertinentes de la loi en projet ne s’appliqueront pas, et cela, d’après le commentaire des articles, « de manière à éviter tout double emploi ou charge inutile ». Toujours d’après le commentaire des articles, dans un tel cas, « les dispositions pertinentes de cet acte juridique sectoriel s’appliquent ». Le Conseil d’État estime que cette disposition n’a pas sa place dans le projet de loi sous revue. Elle ne prévoit en effet aucun mécanisme permettant de dire quelle disposition, européenne 3 ou nationale, aura la priorité et s’appliquera par voie de conséquence. Elle laisse ainsi en définitive les personnes concernées en position de juger, face aux exigences imposées par les actes juridiques sectoriels de l’Union européenne, si ces dernières sont au moins équivalentes aux obligations prévues par la future loi et se substituent dès lors à la loi nationale. La disposition prévue sera ainsi nécessairement source d’insécurité juridique. Le Conseil d’État attire l’attention des auteurs du projet de loi sur le fait que la directive prévoit pour sa part comme condition à cette substitution la reconnaissance par les États membres que les exigences des actes européens sont au moins équivalentes aux obligations correspondantes de la directive 2022/
  5. Cette reconnaissance ne pourra se faire qu’au terme d’un examen des dispositions en présence et à travers un acte positif posé par les instances compétentes de l’État membre et une adaptation de la législation. Le Conseil d’État demande dès lors aux auteurs du projet de loi d’omettre le paragraphe 2, et cela sous peine d’opposition formelle. Enfin, le paragraphe 3 de l’article 1er du projet de loi prévoit qu’il n’est pas dérogé aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ou encore aux dispositions de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques. D’après le commentaire des articles, cette façon de procéder soulignerait l’importance accordée à la protection des données à caractère personnel. La disposition proposée n’ayant aucune plus-value juridique, le Conseil d’État propose d’en faire abstraction. Le Conseil d’État constate encore que les auteurs du projet de loi ont fait le choix de ne pas exclure du champ de la législation à venir, et cela contrairement à l’article 1er, paragraphe 6, de la directive 2022/2557, les entités de l’administration publique qui exercent leurs activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi. Ils n’ont pareillement pas fait usage de la possibilité figurant à l’article 1er, paragraphe 7, de la directive 2022/2557, d’exclure du champ d’un certain nombre de dispositions de la future loi, en tout ou en partie, certaines entités critiques qui exercent des activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi. Article 2 L’article 2 définit les concepts clés de la législation sur les entités critiques qui sont utilisés à travers le projet de loi. Il reprend pour l’essentiel les définitions figurant dans la directive 2022/2557 et transpose fidèlement le prescrit de la directive. Au point 6°, les auteurs du projet de loi ont ajouté une définition de la notion de « maintien de fonctions sociétales vitales », définition qui ne figure pas telle quelle dans la directive. La notion de « maintien de fonctions sociétales vitales » constitue cependant un élément central du concept de « service essentiel » qui est défini au point 5°. En vue de la définition de la notion, les auteurs du projet de loi se sont appuyés sur des éléments de la 4 définition de la notion de « crise » figurant dans la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale. Le Conseil d’État approuve cette façon de procéder qui ne dénature pas le texte de la directive, mais au contraire le précise sur un point essentiel. Pour ce qui est de la définition de la notion d’« entité de l’administration publique » figurant sous le point 9°, le Conseil d’État renvoie à ses observations concernant l’article 1er du projet de loi. Article 3 L’article 3 désigne tout d’abord, à travers ses alinéas 1er et 2, les autorités compétentes chargées, d’après les termes de l’article 9, paragraphe 1er, alinéa 1er, de la directive 2022/2557 « de veiller à l’application correcte des règles énoncées dans la présente directive au niveau national et, si nécessaire, de les faire respecter ». Les auteurs du projet de loi ont fait le choix de désigner deux autorités compétentes. La Commission de surveillance du secteur financier sera ainsi compétente pour le secteur bancaire et le secteur des infrastructures des marchés financiers et pour le secteur des infrastructures numériques. Pour ce qui est du secteur des infrastructures numériques, la compétence de la Commission de surveillance du secteur financier sera limitée, d’après le dispositif proposé, aux activités qui tombent sous sa surveillance. Le HautCommissariat à la Protection nationale sera quant à lui chargé de la surveillance des autres secteurs. Si le Conseil d’État n’a pas d’objection de principe à faire valoir à l’endroit du dispositif proposé, il reste que la désignation d’une seule autorité compétente – en l’occurrence, le Haut-Commissariat à la Protection nationale – aurait constitué un choix logique au regard de la configuration de ses attributions et de ses compétences et aurait rendu le dispositif de surveillance plus lisible. Les auteurs de la directive 2022/2557 semblent d’ailleurs avoir entrevu le problème. La directive prévoit ainsi au niveau de son article 9, paragraphe 1er, alinéa 3, que « lorsqu’ils désignent ou mettent en place plus d’une autorité compétente, les États membres définissent clairement les tâches de chacune des autorités concernées et veillent à ce qu’elles coopèrent efficacement pour accomplir les tâches qui leur incombent […] ». Le Conseil d’État estime qu’il y aurait lieu de viser avec plus de précision les activités concernées, et cela notamment en ce qui concerne le secteur des infrastructures numériques. L’alinéa 3 a trait à l’échange d’informations confidentielles entre les autorités compétentes et précise que l’obligation au secret professionnel prévue par l’article 16 de la loi modifiée du 23 décembre de 1998 portant création d’une Commission de surveillance du secteur financier ne fait pas obstacle à cet échange d’informations. L’alinéa en question qui ne transpose pas une disposition de la directive 2022/2557 n’appelle pas d’observations de la part du Conseil d’État. Article 4 À travers l’article 4, il est procédé à la constitution du HautCommissariat à la Protection nationale comme point de contact national 5 unique. La disposition transpose ainsi, en partie, les dispositions de l’article 9 de la directive 2022/
  6. Le Conseil d’État constate que les auteurs du projet de loi n’ont pas transposé les dispositions de l’article 9, paragraphes 3, alinéa 1er (obligation de coopération du point de contact unique avec la Commission européenne et le groupe sur la résilience des entités critiques), 5 et 6 (obligation de coopération entre les autorités compétentes). Pour ce qui est de la coopération avec la Commission européenne, le Conseil d’État note que la Cour de justice de l’Union européenne considère en principe que les dispositions qui ne concernent que les relations entre les États membres et la Commission européenne ne doivent pas être transposées, et notamment lorsque la directive édicte des obligations d’information non équivoques à la charge de l’autorité compétente dans chaque État membre 2, ce qui est le cas en l’occurrence. Les paragraphes 5 et 6 touchent quant à eux à des règles d’organisation interne des administrations qui n’ont pas lieu de figurer dans la loi. Article 5 L’article 5 prévoit l’élaboration par le Haut-Commissariat à la Protection nationale d’une stratégie qui vise à renforcer la résilience des entités critiques. La disposition sous revue transpose correctement, dans leur substance, les dispositions de l’article 4, paragraphes 1er et 2, de la directive 2022/
  7. Le Conseil d’État constate que la directive prévoit, tant au niveau de l’élaboration de la stratégie que de sa mise à jour, une consultation « qui est, dans la mesure du possible en pratique, ouverte aux parties prenantes concernées ». Les auteurs du projet de loi n’ont prévu une telle consultation que pour la mise à jour de la stratégie qui aura lieu tous les quatre ans, tandis qu’au moment de l’élaboration de la stratégie, la consultation sera limitée à la Commission de surveillance du secteur financier. Le Conseil d’État part du principe que la notion de « parties concernées » vise essentiellement les entités critiques. Dans la mesure où ces entités n’auront pas encore été formellement désignées sur la base de la nouvelle législation au moment de l’élaboration de la stratégie, le Conseil d’État peut comprendre l’approche choisie par les auteurs du projet de loi. Rien n’empêchera par ailleurs le HautCommissariat à la Protection nationale de se concerter avec les opérateurs des infrastructures qui sont d’ores et déjà, en vertu de la législation en vigueur, désignées comme infrastructures critiques. Au point 7°, il conviendra de se référer le moment venu à l’acte national qui aura transposé la directive 2022/2555, plutôt qu’à la directive. Article 6 L’article 6 traite de l’évaluation des risques effectuée par le HautCommissariat à la Protection nationale. Le Conseil d’État constate que les auteurs du projet de loi se sont écartés sur un certain nombre de points du texte de la directive 2022/2557, sans que 2 BESCH Marc, Normes et légistique en droit public luxembourgeois, Bruxelles, Larcier, 2019, point
  8. 6 cela nuise toutefois à la transposition correcte du prescrit de la directive, de sorte qu’il peut s’en accommoder. Le Conseil d’État note encore que le Haut-Commissariat à la Protection nationale sera chargé de l’évaluation des risques sur base des services essentiels identifiés par la Commission européenne pour l’ensemble des entités critiques, qu’elles tombent dans son champ de compétence ou dans celui de la Commission de surveillance du secteur financier. Les auteurs du projet de loi justifient leur approche en argumentant qu’elle irait « de pair avec la compétence du HCPN au niveau de la gestion des crises, qui s’étend sur tous secteurs confondus ». Le Conseil d’État n’est que moyennement convaincu par cette justification et il renvoie à ses observations concernant l’article 3 qui désigne deux autorités compétentes. Article 7 L’article 7 définit le processus de recensement et de désignation par la voie d’un arrêté grand-ducal des entités critiques visées par la loi. Il transpose de larges pans des articles 6, 7 et 17 de la directive 2022/
  9. En l’occurrence, les deux autorités déterminées à l’article 3 procéderont au recensement et à la désignation des entités critiques relevant de leurs champs d’intervention respectifs. C’est du moins comme cela que le Conseil d’État comprend le dispositif proposé. Si cette lecture est correcte, le Conseil d’État suggère de se référer, plutôt qu’aux « autorités compétentes », aux autorités « pour leurs champs de compétences respectifs ». La formulation choisie par les auteurs du projet de loi montre d’ailleurs ses limites, lorsqu’au paragraphe 4, ils prévoient que « les autorités compétentes informent les entités critiques des secteurs figurant aux points 3 et 4 du tableau de l’annexe » ainsi que celles figurant au point 8 du tableau de l’annexe pour les activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier qu’elles ne sont pas soumises aux obligations prévues aux chapitres 4 et
  10. En l’occurrence, le Haut-Commissariat à la Protection nationale et la Commission de surveillance du secteur financier devraient procéder conjointement pour des entités qui tombent exclusivement dans le champ de compétence de la Commission de surveillance du secteur financier. Le Conseil d’État renvoie ici encore à ses observations concernant les articles 3 et
  11. Au paragraphe 4, il conviendrait encore de remplacer, au niveau de la première phrase, les termes « et veillent à ce que ces entités critiques reçoivent notification de ce qu’elles ont été désignées en tant qu’entités critiques » par les termes « et informent ces entités critiques de ce qu’elles ont été désignées en tant qu’entité critique ». Article 8 L’article 8 transpose l’article 8 de la directive 2022/
  12. Il a pour but de faire le partage entre les dispositions de la directive qui seront applicables aux entités qui tombent sous la surveillance de la Commission de surveillance du secteur financier et celles dont ces entités seront exemptées et cela notamment en ce qui concerne les dispositions en 7 matière de résilience des entités critiques et les dispositions relatives aux entités critiques d’importance européenne particulière. Tout en notant que ce partage ne se heurte pas au prescrit de la directive, le Conseil d’État renvoie ici encore à ses observations concernant les articles 3 et
  13. Article 9 L’article 9 transpose en partie les dispositions de l’article 10 de la directive 2022/
  14. Le dispositif proposé prévoit que les autorités compétentes soutiennent les entités critiques au niveau du processus de renforcement de leur résilience. Le Conseil d’État constate que les auteurs du projet de loi n’ont pas repris la partie du dispositif européen qui détaille les formes que ce soutien peut prendre. Dans la mesure où ce soutien peut être fourni moyennant des vecteurs multiples qui, de toute façon, ne peuvent pas tous être énumérés au niveau de la loi, le Conseil d’État peut marquer son accord avec la façon de procéder choisie par les auteurs du projet de loi. Article 10 Sans observation. Article 11 L’article 11 transpose l’article 12 de la directive 2022/2557 et oblige les entités critiques à procéder à une évaluation des risques. Au paragraphe 1er, le Conseil d’État suggère d’écrire que « […], les entités critiques procèdent à une évaluation des risques dans un délai de neuf mois suivant la réception de la notification visée à l’article 7, paragraphe 4, et ensuite, selon les besoins, mais au moins tous les quatre ans, […] ». Article 12 L’article 12 décrit les mesures techniques, les mesures de sécurité et les mesures organisationnelles que doivent prendre les entités critiques pour garantir leur résilience. Il transpose ainsi les dispositions de l’article 13 de la directive 2022/
  15. La transposition respectant le prescrit de la directive, le Conseil d’État n’a pas d’observations de principe à formuler. Le Conseil d’État attire cependant l’attention des auteurs du projet de loi sur le fait que le commentaire des articles ne cadre pas avec les dispositions du texte proposé. Ils y affirment en effet qu’« [à] l’instar de ce qui est prévu pour l’évaluation des risques effectuée par les entités critiques et pour éviter les doubles emplois, l’article 12 permet aux entités critiques d’utiliser les mesures prises en vertu d’autres actes juridiques, afin de satisfaire aux exigences [de l’article 12] ». Or, les auteurs du projet de loi ont omis de reprendre ce principe qui figure à l’article 13, paragraphe 2, deuxième phrase, de la directive 2022/2557, au niveau de l’article 12, paragraphe 2, du projet de loi. Même si, 8 d’après le Conseil d’État, la reprise de ce principe ne semble pas indispensable au respect du prescrit de la directive, il suggère cependant aux auteurs du projet de loi de mettre le texte du projet de loi en conformité avec celui du commentaire des articles et de reprendre le principe discuté comme ils l’ont fait à l’article 11, paragraphe 2, alinéa 2, du projet de loi. Pour ce qui est de l’article 12, paragraphe 1er, point 5°, le Conseil d’État relève qu’il se réfère à « la définition des catégories de personnel qui exercent des fonctions critiques » et ensuite à « la désignation des catégories de personnes tenues de faire l’objet de telles vérifications des antécédents ». Étant donné que ces deux références visent en fait la même population, le Conseil d’État suggère de fusionner les deux références en une seule en écrivant : « la définition des catégories de personnel dont les ressortissants exercent des fonctions critiques et qui à ce titre doivent se soumettre à une vérification des antécédents ». Articles 13 à 15 Les articles 13 à 15 ont trait à la vérification des antécédents des membres de certaines catégories du personnel des entités critiques dans le but de vérifier s’ils constituent un risque pour la sécurité de l’entité concernée. Cette vérification s’apparente aux enquêtes portant sur l’honorabilité d’une personne déterminée qui figurent dans de nombreux textes de loi et au sujet desquelles le Conseil d’État a eu l’occasion de se prononcer à de nombreuses reprises
  16. Compte tenu des enjeux pour la sécurité et la continuité du fonctionnement des entités critiques, le Conseil d’État peut en principe se déclarer d’accord avec la mise en place d’un dispositif de vérification des antécédents des personnes qui seront recrutées à des postes clés par les entités critiques. Étant donné qu’en l’occurrence, la Police grand-ducale aura accès à une multitude de données qu’elle traitera à une fin autre que celle pour laquelle les données ont été collectées, le Conseil d’État sera néanmoins Avis et avis complémentaire n° 60.760 du Conseil d’État du 6 juin et du 14 juillet 2023 sur le projet de loi sur l’organisation de l’Armée luxembourgeoise et modifiant : 1° la loi modifiée communale du 13 décembre 1988 ; 2° la loi modifiée du 27 juillet 1992 relative à la participation du Grand-Duché de Luxembourg à des opérations pour le maintien de la paix et des opérations de prévention, ainsi que de gestion de crise ; 3° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et service de l’État ; 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; Avis n° 53.509 du Conseil d’État du 28 février 2023 sur le projet de loi portant modification de la loi modifiée du 26 juillet 2002 sur la police et sur l’exploitation de l’aéroport de Luxembourg ainsi que sur la construction d’une nouvelle aérogare ; Avis, avis complémentaire et deuxième avis complémentaire n° 60.427 du Conseil d’État des 26 octobre 2021, 26 mai et 11 juillet 2023 sur le projet de loi portant modification : 1° du Code de procédure pénale ; 2° du Nouveau Code de procédure civile ; 3° de la loi modifiée du 7 juillet 1971, portant en matière répressive et administrative, institution d’experts, de traducteurs et d’interprètes assermentés et complétant les dispositions légales relatives à l’assermentation des experts, traducteurs et interprètes ; 4° de la loi modifiée du 9 décembre 1976 relative à l’organisation du notariat ; 5° de la loi modifiée du 20 avril 1977 sur les jeux de hasard et des paris relatifs aux épreuves sportives ; 6° de la loi du 30 décembre 1981 portant indemnisation en cas de détention préventive inopérante ; 7° de la loi modifiée du 12 mars 1984 relative à l’indemnisation de certaines victimes de dommages corporels résultant d’une infraction et à la répression de l’insolvabilité frauduleuse ; 8° de la loi modifiée du 4 décembre 1990 portant organisation du service des huissiers de justice ; 9° de la loi du 31 janvier 1998 portant agrément des services d’adoption et définition des obligations leur incombant ; 10° de la loi du 12 novembre 2002 relative aux activités privées de gardiennage et de surveillance. 9 3 amené à vérifier si les éléments du dispositif mis en place respectent le cadre tracé par les articles 31 (droit à l’autodétermination informationnelle et à la protection des données à caractère personnel) et 37 (conditions de la limitation de l’exercice des libertés publiques), de la Constitution. Le dispositif touchant à des matières réservées à la loi, il conviendra en effet de veiller à ce que le législateur encadre à suffisance les limitations des libertés publiques précitées qui découlent du dispositif en respectant notamment le principe de proportionnalité des mesures qui sont envisagées. Dans cette perspective, il conviendra de s’assurer que : • • • le cercle des personnes concernées soit défini avec précision ; les données collectées soient strictement limitées à ce qui est nécessaire pour atteindre le but de la procédure ; les droits des personnes concernées soient respectés, et cela notamment en matière de recours contre les décisions qui seront prises à leur encontre. Article 13 L’article 13 confie à la Police grand-ducale le soin de procéder à des vérifications des antécédents des personnes qui occuperont certaines fonctions au sein des entités critiques. La disposition précise ensuite la finalité du dispositif en prévoyant que ces vérifications se feront à la demande des entités critiques et dans le but d’évaluer un risque potentiel pour la sécurité de l’entité concernée. Le paragraphe 1er énumère encore les fonctions qui sont visées, à savoir tout d’abord, et de façon tout à fait générale, les « fonctions sensibles au sein de l’entité critique et au bénéfice de celle-ci en ce qui concerne la résilience de l’entité critique » (point 1°) et ensuite les fonctions « de responsable du système informatique ou du système de contrôle de l’entité critique » (point 2°). Il est enfin précisé que la vérification se fera au moment du recrutement aux fonctions précitées (point 3°). Pour ce qui est du point 3°, le Conseil d’État propose de l’intégrer au paragraphe 4 au niveau duquel il est précisé que les vérifications des antécédents ont une durée de validité de cinq ans et qu’à l’expiration de la durée de validité une nouvelle vérification des antécédents doit être réalisée. D’une façon plus générale, le Conseil d’État s’est interrogé sur le caractère suffisamment précis des notions qui sont utilisées en l’occurrence. Étant donné qu’elles sont cependant reprises de la directive 2022/2557 et que, d’après le paragraphe 2, point 3°, la personne concernée doit donner son autorisation afin que la Police grand-ducale puisse procéder à la vérification des antécédents, le Conseil d’État peut s’en accommoder. En ce qui concerne les phrases introductives du paragraphe 1er, le Conseil d’État propose d’en simplifier la formulation comme suit : « La Police grand-ducale est chargée de procéder, sur demande de l’entité critique et dans le seul but d’évaluer un risque potentiel pour la sécurité de l’entité concernée, à des vérifications des antécédents des personnes : 1° [suit l’énumération des personnes concernées] ; 2° […] 10 Par rapport aux données qu’elle traite dans ce contexte, la Police grand-ducale est le responsable du traitement tel que défini par le règlement (UE) 2016/679 du Parlement et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ». En ce qui concerne le paragraphe 1er, alinéa 1er, point 1°, le Conseil d’État en est à se demander quelle est la portée de la distinction que les auteurs entendent faire en visant les fonctions sensibles « au sein de l’entité critique » et « au bénéfice de celle-ci » ? Le premier cas de figure viserait-il les salariés de l’entité et le second les prestataires de services externes, qui devraient dès lors avoir à leur disposition du personnel qui aurait fait l’objet d’une vérification des antécédents pour qu’ils puissent intervenir au niveau d’une entité critique ? Le Conseil d’État note que l’article 12, paragraphe 1er, alinéa 2, prévoit que les entités critiques tiennent compte du personnel des prestataires de services extérieurs lorsqu’ils définissent les catégories de personnel qui exercent des fonctions critiques. Étant donné que le texte sous revue est cependant, ici encore, issu de la directive 2022/2557, le Conseil d’État peut néanmoins s’accommoder de la formulation de la disposition sous examen. Rien n’empêcherait les auteurs du projet de loi de préciser le texte sur ce point. D’après les termes du paragraphe 1er, alinéa 2, les catégories de personnes tenues de faire l’objet d’une vérification des antécédents « feront l’objet d’un avis favorable par l’autorité compétente » et cela avant même l’introduction d’une demande de vérification des antécédents. Le dispositif ainsi proposé amène le Conseil d’État à s’interroger sur la nature de l’intervention de l’autorité compétente à ce niveau et ses implications. Le Conseil d’État estime tout d’abord que le texte proposé peut être lu comme érigeant l’avis favorable de l’autorité compétente en préalable à l’introduction de toute demande de vérification des antécédents. Dans cette perspective, l’intervention de l’autorité compétente dans le processus devrait prendre, pour éviter toute équivoque, le caractère d’une approbation pure et simple de la proposition formulée par l’entité critique. Dans une autre perspective, l’autorité compétente serait appelée à intervenir, dans un premier temps, au niveau du processus moyennant un acte à caractère général définissant pour l’ensemble des entités concernées les catégories de personnel dont les ressortissants devront se soumettre à une vérification des antécédents. Hormis le fait qu’une telle approche soulèverait en elle-même de nombreuses questions, le Conseil d’État estime que le doute sur la nature de l’intervention de l’autorité compétente est source d’insécurité juridique, de sorte qu’il doit s’opposer formellement au dispositif proposé. S’agissant par ailleurs d’un processus à part se distinguant de celui de la présentation de demandes destinées à déclencher une vérification des antécédents à l’endroit d’une personne déterminée, le Conseil d’État estime enfin que la disposition n’a pas sa place dans le texte sur les vérifications des antécédents. Elle pourrait avantageusement être intégrée à une disposition autonome figurant en introduction aux dispositions relatives aux vérifications des antécédents ou à la fin de ces dispositions. Le paragraphe 2 énumère les documents qui doivent être joints à la demande de l’entité critique. D’après le commentaire des articles, la liste des documents est, dans une large mesure, reprise du projet de règlement 11 grand-ducal portant exécution du projet de loi n° 7475 portant modification de la loi modifiée du 26 juillet 2002 sur la police et sur l’exploitation de l’aéroport de Luxembourg ainsi que sur la construction d’une nouvelle aérogare. Le Conseil d’État salue l’intégration de cette liste dans le projet de loi, vu qu’elle constitue un élément essentiel du dispositif, comme il l’avait relevé dans son avis relatif au projet de règlement grand-ducal susvisé
  17. Au point 3°, il est prévu que la personne concernée doit produire à l’appui de la demande une autorisation de « demander toute information relative à la demande disponible et directement accessible aux autorités compétentes nationales, ou tout document équivalent auprès des autorités des pays de résidence des cinq dernières années ou dont [la personne concernée] a la nationalité ». En dépassement des données plus précises que la personne concernée devra, d’après la liste figurant dans le projet de loi, produire, la disposition sous revue ouvre, dans un domaine particulièrement sensible qui relève des matières réservées à la loi en vertu des articles 31 et 37 de la Constitution, l’accès à un nombre indéterminé d’informations dont les contours sont de surcroît insuffisamment précis. Le fait que la personne concernée aura donné, en l’occurrence, son consentement à la collecte d’informations par la Police grand-ducale et la précision qu’il doit s’agir d’informations disponibles et directement accessibles, précision qui en ellemême soulève de nombreuses questions, ne sauraient suffire pour invalider le constat auquel le Conseil d’État vient de procéder. Quelles sont par ailleurs les autorités compétentes nationales visées par la disposition ? S’agit-il en l’occurrence des autorités compétentes en vertu de la future loi ou est-ce que d’autres autorités sont visées par la disposition ? La disposition donnant ainsi, dans une matière réservée à la loi, un pouvoir insuffisamment circonscrit à l’administration, le Conseil d’État doit s’y opposer formellement. Il demande aux auteurs du projet de loi de mieux circonscrire les informations auxquelles la Police pourra accéder. Au point 5°, il est prévu que la demande devra être accompagnée d’un extrait du casier judiciaire « des pays énoncés au point 3 », c’est-à-dire les « pays de résidence des cinq dernières années ou dont [la personne concernée] a la nationalité ». Le Conseil d’État renvoie à ses observations concernant l’article 14, paragraphe 1er, du projet de loi. Pour ce qui est du point 9°, le Conseil d’État en est à se demander quelle pourrait être la « documentation concernant […] les interruptions au cours des cinq dernières années ». En quoi consisterait, en l’occurrence, une « documentation » et quels seraient les éléments que cette notion engloberait ? S’agirait-il de documents officiels ou plutôt, de façon tout à fait générale, d’« informations » ? Le Conseil d’État suggère enfin de supprimer la référence aux interruptions, cet aspect du parcours d’une personne pouvant parfaitement être intégré au questionnaire biographique figurant au point 11°. D’après les termes du paragraphe 3, la Police grand-ducale « émet, en application de l’article 14, paragraphe 3, un avis qu’elle transmet à l’entité critique requérante ». Le texte reste ensuite muet sur la suite de la procédure. En l’absence d’autres précisions, il appartiendra à l’entité critique de prendre la décision. Devra-t-elle suivre l’avis de la Police grand-ducale ? Qu’adviendra-t-il si elle passe outre à un avis négatif de la Police Avis n° 53.510 du Conseil d’État du 28 février 2023 sur le projet de règlement grand-ducal relatif à la sûreté de l’aviation civile et aux conditions d’accès à l’aéroport de Luxembourg . 12 4 grand-ducale ? Y aura-t-il des sanctions dans ce cas ? Le Conseil d’État constate encore que le paragraphe 4 se réfère à la prise d’effet de « [l]a décision de renouvellement de la vérification des antécédents » et à « la fin de validité de la décision antérieure ». Il s’agirait en l’occurrence d’une décision qui ne pourrait manifestement pas être prise par l’entité critique dont le rôle se limitera à prendre une décision concernant le recrutement de la personne concernée. La disposition du paragraphe 4, dans la formulation choisie par les auteurs du projet de loi, mélange par ailleurs procédure et résultat de la procédure. Se pose enfin la question du recours dont disposera la personne concernée contre les décisions qui seront prises à son encontre et de l’accès au dossier qui aura été constitué dans le cadre de la vérification des antécédents. Le Conseil d’État note encore qu’au niveau des processus de vérification des antécédents et de l’honorabilité qu’il a eu l’occasion de commenter, les décisions sont à chaque fois prises par l’administration ou par le ministre, avec ensuite la mise en place d’un dispositif de recours effectif contre ces décisions et d’un accès au dossier constitué. En l’occurrence, les personnes qui font l’objet de la vérification des antécédents ne bénéficieront, compte tenu de la configuration du dispositif, d’aucune de ces garanties. Étant donné dès lors que le dispositif sous revue manque de précision et ne prévoit pas de voies de recours effectives pour les personnes faisant l’objet d’une vérification des antécédents à l’encontre des décisions qui seront prises à leur égard, le Conseil d’État doit s’opposer formellement, pour contrariété au principe de sécurité juridique et aux principes constitutionnels d’accès au juge et de recours effectif qui découlent du principe fondamental de l’État de droit consacré à l’article 2, alinéa 2, et de l’article 18, paragraphe 1er, de la Constitution, au dispositif sous examen
  18. Pour ce qui est de la précision figurant au paragraphe 3 et d’après laquelle la Police grand-ducale ne communique pas à l’entité critique requérante les informations personnelles qu’elle a recueillies dans le cadre de la vérification des antécédents, le Conseil d’État estime qu’elle aurait sa place au niveau du paragraphe 4 de l’article 14 qui traite du contenu de l’avis de la Police grand-ducale. Article 14 Le paragraphe 1er de l’article sous revue prévoit la faculté pour la Police grand-ducale de consulter des autorités policières étrangères afin d’établir l’identité des personnes faisant l’objet d’une vérification des antécédents visées à l’article 13, paragraphe 1er. La disposition sous revue précise encore que si la personne faisant l’objet d’une vérification des antécédents « possède la nationalité d’un pays étranger ou réside dans un pays étranger et sous condition de disposer de l’accord écrit ou électronique de cette personne, la Police grand-ducale peut adresser une demande motivée au procureur général d’État en vue de l’obtention d’un extrait du casier judiciaire de l’autorité 5 Arrêt de la Cour constitutionnelle n° 00146 du 19 mars 2021 (Mém. A-n° 232 du 23 mars 2021). 13 compétente de l’État membre dont la personne a la nationalité ou de l’autorité compétente de l’État membre dans lequel la personne a résidé au cours des cinq dernières années ». Le Conseil d’État s’interroge sur l’intérêt qu’il y a de disposer du casier judiciaire d’une personne afin de procéder à son identification. Dans ce contexte, il note encore que selon l’article 13, paragraphe 2, point 5°, du projet de loi, et dans les mêmes cas de figure que ceux visés par la disposition sous avis, le dossier de la personne faisant l’objet d’une vérification des antécédents doit de toute façon comporter un extrait du casier judiciaire datant de moins de trois mois délivré par les autorités des pays concernés. Étant donné qu’il n’est pas établi pourquoi un extrait du casier judiciaire serait requis afin d’établir l’identité d’une personne et que la procédure mise en place ne lui semble dès lors pas proportionnée au but à atteindre et dans l’attente d’explications de la part des auteurs à cet égard, le Conseil d’État doit réserver sa position quant à la dispense du second vote constitutionnel. Le Conseil d’État suggère de reformuler le paragraphe 2 comme suit : « La Police grand-ducale peut également consulter tout employeur de la personne concernée ou tout établissement d’éducation fréquenté par la personne concernée afin de vérifier l’authenticité des informations fournies. » Le paragraphe 3, d’après lequel la Police grand-ducale peut demander à la personne concernée toute précision qu’elle juge utile par rapport aux éléments fournis dans sa demande, n’ajoute rien à la substance du dispositif et peut être omise. Le paragraphe 4 définit les éléments qui peuvent figurer dans l’avis de la Police grand-ducale. D’après le commentaire des articles, la Police grand-ducale ne fournirait aucune indication concernant les infractions commises ou les fausses déclarations. Si le Conseil d’État peut se déclarer d’accord, en ce qui concerne le principe, avec ces limitations, il estime cependant qu’il serait intéressant pour le futur employeur de savoir sur quels éléments de son parcours la personne concernée a fait de fausses déclarations. Le Conseil d’État renvoie encore à ses observations formulées à l’endroit du déroulement de la procédure de vérification des antécédents détaillée à l’article 13 et à ses oppositions formelles à l’endroit de la même disposition. Article 15 En ce qui concerne la conservation pendant une année à partir de la notification de l’avis à l’entité critique des données collectées en relation avec les vérifications des antécédents prévues au paragraphe 2, le Conseil d’État rappelle qu’aux termes de l’article 17, paragraphe 1er, lettre a), du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais lorsque celles-ci ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une 14 autre manière. Au vu de ce principe, le Conseil d’État s’interroge sur les raisons qui justifieraient en l’occurrence une conservation générale d’un an. Le commentaire de l’article reste muet sur ce point. À défaut d’explications quant à la justification du délai de conservation, le Conseil d’État doit réserver sa position quant à la dispense du second vote constitutionnel en attendant des clarifications à cet égard. Le Conseil d’État attire encore l’attention des auteurs sur le fait que dans le cadre de l’enquête d’honorabilité à laquelle doivent se soumettre les candidats aux fonctions du personnel de l’armée, l’article 17, paragraphe 9, de la loi du 7 août 2023 sur l’organisation de l’Armée luxembourgeoise, prévoit un délai de conservation de six mois pour les informations et les documents communiqués dans le cadre de ladite enquête. Par ailleurs, le Conseil d’État signale que l’article 3 du projet de loi n°8193 portant modification de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale, qui vise à remplacer l’article 58 de la loi modifiée du 18 juillet 2018 sur la Police grand-ducale actuellement en vigueur par un article 58 nouveau, prévoit la suppression des informations et documents transmis dans le cadre de l’enquête d’honorabilité prévue au paragraphe 1er du même article six mois à compter du jour où la décision sur la candidature a acquis force de chose décidée ou jugée. Article 16 L’article 16 transpose l’article 15 de la directive 2022/2557 et met en place un mécanisme de notification d’incidents par les entités critiques aux autorités compétentes. Dans la mesure où elles respectent le prescrit de la directive, les dispositions de l’article 16 ne donnent pas lieu à des observations de la part du Conseil d’État. Il constate toutefois que les auteurs du projet de loi n’ont pas procédé à la transposition de l’article 15, paragraphe 1er, alinéa 2, de la directive aux termes duquel « [l]orsqu’un incident a ou pourrait avoir un impact important sur la continuité de la fourniture de services essentiels à ou dans six États membres ou plus, les autorités compétentes des États membres affectés par l’incident notifient ledit incident à la Commission ». Il devrait s’agir en l’occurrence d’entités critiques qui répondent à la définition de la notion d’« entité critique d’importance européenne particulière » donnée à l’article 17 du projet de loi. Le Conseil d’État renvoie à ses observations formulées à l’endroit de l’article 4 du projet de loi. Article 17 L’article 17 définit en son paragraphe 1er ce qu’il faut entendre par « entité critique d’importance européenne particulière » et oblige ensuite, au niveau de son paragraphe 2, les entités qui ont été désignées comme entité critique conformément à l’article 7, paragraphe 1er, et qui remplissent les autres conditions énumérées à l’article 17 sous revue, à accorder aux missions de conseil organisées par la Commission européenne l’accès à leurs informations, systèmes et installations. L’article 17 transpose ainsi un certain nombre de dispositions figurant aux articles 17 et 18 de la directive 2022/
  19. Les dispositions correspondantes de l’article 17 du projet de loi ne donnent pas lieu à des observations de la part du Conseil d’État dans la mesure où elles respectent le prescrit de la directive. 15 Le Conseil d’État note cependant que l’article 17 de la directive 2022/2557 impose encore aux autorités compétentes ainsi qu’aux États membres un certain nombre d’obligations en matière de transmission d’informations en relation avec les entités critiques d’importance européenne particulière. Ensuite, l’article 18 de la directive prévoit également des obligations à charge des États membres en relation avec l’organisation de missions de conseil par la Commission européenne destinées à évaluer les mesures mises en place par les entités concernées pour satisfaire à leurs obligations. Le Conseil d’État renvoie à ses observations relatives à l’article 4 du projet de loi. Article 18 L’article 18 énumère tout d’abord en son paragraphe 1er les pouvoirs dont disposent les autorités compétentes pour évaluer le respect par les entités critiques des obligations qui leur seront imposées en application de la future loi. Le paragraphe 2 fait le lien entre la directive 2022/2557 et la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148, à travers un flux d’informations entre les entités désignées en vertu de la directive 2022/2555 et les autorités compétentes sur la base du projet de loi sous avis en présence d’entités recensées en application des deux directives. Le paragraphe 3 confère un pouvoir d’injonction aux autorités compétentes à l’endroit des entités critiques pour les amener à remédier aux violations qui seront constatées en application de la future loi. Enfin, le paragraphe 4 prévoit que lorsqu’elles évaluent le respect par les entités critiques des obligations imposées par la future loi, les autorités compétentes peuvent demander aux autorités compétentes en vertu de la directive 2022/2555 d’exercer leurs pouvoirs à l’égard d’une entité relevant de ladite directive qui a été désignée en tant qu’entité critique. Le Conseil d’État constate qu’ainsi les auteurs du projet de loi ont correctement transposé la substance de l’article 21 de la directive 2022/
  20. Le Conseil d’État estime en outre que les auteurs du projet de loi ont par ailleurs tenu compte à suffisance des dispositions de l’article 21, paragraphe 4, de la directive 2022/2557 qui invite les États membres à veiller à ce que les pouvoirs conférés aux autorités compétentes ne puissent être exercés que sous réserve de garanties appropriées. Les pouvoirs devront ainsi être exercés de manière objective, transparente et proportionnée et les droits et les intérêts légitimes des entités critiques devront être dûment préservés. Le Conseil d’État se demande cependant pourquoi les auteurs du projet de loi visent à plusieurs endroits du texte proposé les autorités compétentes au pluriel. D’après la lecture que fait le Conseil d’État du dispositif, seul le Haut-Commissariat à la Protection nationale devrait, en l’occurrence, être à la manœuvre. En vertu de l’article 8 du projet de loi, l’article 10 et les 16 chapitres 4, 5 et 6 – la disposition sous revue fait partie du chapitre 6 – ne s’appliquent en effet pas aux activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier. Le Conseil d’État comprend que la Commission de surveillance du secteur financier disposerait des pouvoirs nécessaires en vertu de législations sectorielles. Le Conseil d’État invite les auteurs du projet de loi à revoir le dispositif sur ce point. En ce qui concerne la formulation du texte, le Conseil d’État suggère de reformuler la phrase liminaire du paragraphe 2, alinéa 1er, comme suit : « Les entités auxquelles s’applique la directive (UE) 2022/2555 […] sont tenues de fournir aux autorités compétentes pour l’application de la présente loi, […] : ». Article 19 L’article 19 comporte un catalogue de sanctions administratives qui peuvent être prononcées à l’égard des entités critiques qui ne respectent pas les obligations que leur imposera la future législation. Le Conseil d’État constate que les comportements sanctionnables sont définis à travers une référence tout à fait générale aux articles 11, 12, 16 et 18 du projet de loi. Certains paragraphes de ces articles ne comportent cependant pas des obligations dont le non-respect devrait pouvoir être sanctionné. Le Conseil d’État rappelle que les sanctions administratives sont soumises au respect d’un certain nombre de principes découlant de l’article 19 de la Constitution, dont le principe de la légalité des peines et le principe de la spécification de l’incrimination. Le Conseil d’État doit dès lors s’opposer formellement au texte tel que proposé et demande aux auteurs du projet de loi de mieux cerner les passages des articles visés qui comportent des obligations dont l’administration devra pouvoir sanctionner le non-respect. Article 20 L’article 20 a pour but de préciser le texte de l’article 22, paragraphe 10, de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État. Les auteurs du projet de loi proposent ainsi de limiter le bénéfice de la prime d’astreinte d’une valeur de 12 points indiciaires qui peut être allouée au personnel du Haut-Commissariat à la Protection nationale soumis à une obligation de permanence ou de présence aux seuls agents qui assurent ces permanences et ces présences « pour assurer l’opérationnalité permanente du Centre national de crise ». L’intérêt de l’ajout proposé ne s’ouvre pas avec la clarté de l’évidence au Conseil d’État. En effet, et en application de la législation en vigueur, le Haut-Commissariat à la Protection nationale peut d’ores et déjà limiter le versement de la prime aux agents assurant l’opérationnalité du Centre national de crise. Par ailleurs, le Conseil d’État voit mal le HautCommissariat à la Protection nationale verser la prime aux seuls agents assurant l’opérationnalité du Centre national de crise et soumettre d’autres agents de l’administration à une obligation de permanence ou de présence sans les faire bénéficier de la prime. Une telle approche constituerait en effet 17 une rupture flagrante de l’égalité de traitement entre les personnels concernés par ces mesures, la prime étant, dans les deux cas, destinée à compenser l’astreinte que constitue l’obligation de permanence ou de présence, et cela indépendamment des fonctions couvertes par les agents concernés dans l’organigramme de l’administration. Le Conseil d’État s’interroge dès lors sur les raisons qui justifieraient en l’occurrence une limitation de l’octroi d’une prime d’astreinte aux seuls agents qui assurent l’opérationnalité du Centre national de crise. Le commentaire de l’article reste muet sur ce point. À défaut d’explications quant à la justification de cette limitation, le Conseil d’État doit réserver sa position quant à la dispense du second vote constitutionnel en attendant des clarifications à cet égard. Articles 21 et 22 Sans observation. Annexe L’annexe est reprise de la directive 2022/2557 et énumère les secteurs auxquels la législation sur les entités critiques s’appliquera. Le Conseil d’État constate que la directive 2022/2557 opère systématiquement, pour ce faire, par le renvoi à des définitions figurant dans des directives ou des règlements européens. Les auteurs du projet de loi ont dans la plupart des cas remplacé ces références par des références à l’acte national qui a transposé la directive. À plusieurs endroits, l’annexe du projet de loi garde cependant la référence à la directive. En principe, cette référence devrait être remplacée par une référence à l’acte national qui transpose la directive. En ce qui concerne plus précisément les références à la directive 2022/2555, le Conseil d’État peut cependant s’accommoder de l’approche des auteurs du projet de loi, étant donné que la directive en question n’a pas encore été transposée en droit national et que les textes auxquels il est fait référence sont précis et inconditionnels. Il attire pourtant l’attention des auteurs sur le fait qu’il conviendra de modifier l’annexe aux endroits pertinents afin de se référer à l’acte national de transposition, une fois que la directive 2022/2555 aura été transposée en droit luxembourgeois. Observations d’ordre légistique Observations générales Lorsqu’un acte est cité, il faut veiller à reproduire son intitulé tel que publié officiellement, indépendamment de sa longueur, sauf s’il existe un intitulé de citation. Partant, il faut écrire, à titre d’exemple, à l’article 1er, paragraphes 1er et 3, respectivement « directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 18 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) », « règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) » et « loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques » et à l’article 3, alinéa 3, « loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier ». Les références aux dispositions figurant dans le dispositif et, le cas échéant, dans ses annexes se font en principe sans rappeler qu’il s’agit du « présent » acte, article, paragraphe, point, alinéa ou groupement d’articles, à l’exception des cas où l’emploi du terme « présent » peut s’avérer nécessaire dès lors que son omission peut être de nature à introduire un doute au sujet de l’acte visé, et plus particulièrement lorsque plusieurs actes sont visés à un même endroit. Lorsqu’il est renvoyé à un premier alinéa dans le corps du dispositif, il convient de systématiquement renvoyer à l’« alinéa 1er » et non pas au « premier alinéa ». Dans le cadre des renvois à une subdivision, il y a lieu de faire suivre le numéro du point auquel il est renvoyé par un exposant « ° ». Partant, il y a lieu d’écrire à titre d’exemple à l’article 7, paragraphe 3, phrase liminaire, « au paragraphe 2, point 3°, ». Intitulé Toute référence à des directives européennes est à omettre dans l’intitulé des lois et règlements qui contiennent des dispositions autonomes. La raison en est que l’intitulé des directives européennes est souvent fort long, ce qui rend la citation de l’intitulé de l’acte national qui y ferait référence fastidieuse. Il est dès lors proposé de conférer à l’intitulé de la loi en projet sous revue la teneur suivante : « Projet de loi sur la résilience des entités critiques et portant modification de : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale ». Chapitre 1er Les dispositions relatives au champ d’application de la loi en projet précédant les définitions, le chapitre sous examen est à intituler comme suit : « Chapitre 1er – Champ d’application et définitions ». Article 3 À l’alinéa 1er, il convient d’écrire « Commission de surveillance du secteur financier » correctement. 19 Article 11 2, ». Au paragraphe 1er, il y a lieu d’écrire « article 7, paragraphe 4, alinéa Toujours au paragraphe 1er, en ce qui concerne l’introduction d’une forme abrégée, il est indiqué de remplacer la parenthèse ouvrante par une virgule et d’omettre la parenthèse fermante. Article 13 Au paragraphe 1er, alinéa 2, première phrase, il est relevé que les auteurs se réfèrent erronément au paragraphe 1er au lieu de se référer à l’alinéa 1er. Au paragraphe 2, alinéa 1er, point 3°, il y a lieu de remplacer le terme « il » par le terme « elle ». Au paragraphe 2, alinéa 2, deuxième phrase, et dans un souci de cohérence, il est demandé d’écrire « Police grand-ducale ». Au paragraphe 4, alinéa 1er, première phrase, il est signalé que les nombres s’écrivent en toutes lettres. Ils s’expriment uniquement en chiffres s’il s’agit de pour cent, de sommes d’argent, d’unités de mesure, d’indices de prix ou de dates. Article 14 Au paragraphe 4, phrase liminaire, le Conseil d’État signale que lors des renvois, les différents éléments auxquels il est renvoyé sont à séparer par des virgules, en écrivant « à l’article 13, paragraphe 1er, ». Article 16 Au paragraphe 4, deuxième phrase, il convient de remplacer le terme « ils » par le terme « elles ». Article 18 Au paragraphe 1er, alinéa 2, il y a lieu d’indiquer avec précision et de manière correcte les textes auxquels il est renvoyé. Par conséquent, il convient d’écrire « à l’alinéa 1er, point 1°, » et non pas « au point 1 ». Article 20 Il convient d’écrire « À l’article 22, paragraphe 10, première phrase, de la loi modifiée du 25 mars 2015 […]. » Par ailleurs, et dans un souci de cohérence entre l’article sous examen et l’article 21, il est suggéré de remplacer le terme « mots » par celui de « termes », ceci à deux reprises. Article 21 Au point 3°, lettre a), il y lieu d’insérer un point-virgule après les guillemets fermants. 20 Au point 3°, lettre b), il faut écrire « Aux paragraphes, 1ter, lettre g), 1quater, lettres a) et b), et 3, première phrase, les termes […] ; ». Annexe Il est signalé qu’au cas où un règlement européen a déjà fait l’objet de modifications, il convient d’insérer les termes « , tel que modifié » après l’intitulé. Au point 2., lettre a), deuxième tiret, il y a lieu d’insérer le terme « modifiée » entre la nature et la date de l’acte en question, étant donné que celui-ci a déjà fait l’objet de modifications depuis son entrée en vigueur. Cette observation vaut également pour le point 4., premier tiret. Ainsi délibéré en séance plénière et adopté à l’unanimité des 19 votants, le 23 janvier
  21. Le Secrétaire général, Le Président, s. Marc Besch s. Christophe Schiltz 21

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.