Luxembourg, le 7 décembre 2023 Objet : Projet de loi n°83071 portant transposition de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil, et modifiant : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; 2° la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale. (6489FKA) Saisine : Premier Ministre (7 septembre 2023) Le projet de loi sous avis (ci-après le « Projet ») a pour objet de transposer en droit luxembourgeois la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques (ci-après la « Directive CER »), et abrogeant la directive 2008/114/CE du Conseil, et modifiant la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État et la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale (ci-après le « HCPN »). En bref ➢ La Chambre de Commerce salue la transposition de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, qui a pour but primaire la protection de ces dernières. ➢ La Chambre de Commerce est en mesure d’approuver le projet de loi sous avis, sous réserve de la prise en compte de ses remarques. 1 Lien vers le projet de loi sur le site de la Chambre des Députés 2 Considérations générales Le but primaire de la Directive CER et du Projet y afférent est la protection des entités critiques, c'est-à-dire des entités qui assurent un service qui est indispensable pour assurer des fonctions sociétales ou des activités économiques vitales, dénommé « service essentiel ». Pour rappel, la directive 2008/114/CE du Conseil du 8 décembre 2008 concernant le recensement et la désignation des infrastructures critiques européennes ainsi que l’évaluation de la nécessité d’améliorer leur protection2, visait à établir une procédure harmonisée à l’échelle européenne aux fins du recensement et de la désignation des infrastructures critiques européennes, c'est-à-dire des infrastructures situées « dans les États membres de l'Union européenne dont l'arrêt ou la destruction aurait un impact considérable sur deux États membres au moins ». Le champ d’application de cette directive était donc limité en ce qu’elle ne visait que les infrastructures dont une défaillance aurait un impact transfrontalier. En outre, la directive ne recensait que les infrastructures dans les secteurs de l’énergie et des transports. Ladite directive a été transposée en droit luxembourgeois par un règlement grand-ducal du 12 mars
- En complément de ce règlement grand-ducal, le Luxembourg a adopté la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale (ci-après la « Loi HCPN »4). La Loi HCPN confère le statut d'administration au Haut-Commissariat à la Protection nationale et tourne autour de deux axes principaux : d'abord, elle précise les missions et attributions du HCPN et ensuite, elle règle l'organisation de la protection des infrastructures critiques. L’article 2 de la Loi HCPN définit l’infrastructure critique comme « tout point, système ou partie de celui-ci qui est indispensable à la sauvegarde des intérêts vitaux ou des besoins essentiels de tout ou partie du pays ou de la population ». Le règlement grand-ducal du 21 février 2018 déterminant les modalités du recensement et de la désignation des infrastructures critiques 5, portant application de l’article 5 de la Loi HCPN se distingue fondamentalement du règlement grand-ducal de 2012 en ce qu’il prend non seulement en compte les secteurs de l’énergie et des transports, mais aussi ceux des technologies de l’information et de la communication, des finances, de la santé, de l’alimentation, de l’eau, de l’industrie chimique et de l’administration publique. La Directive CER étend le champ d’application de la directive 2008/114/CE à trois égards : 2 - elle ne se limite pas aux entités critiques européennes, mais s’applique à toute entité critique, nationale ou européenne ; - elle remplace la notion d’ « infrastructure critique » par celle d’ « entité critique ». En effet, la nouvelle directive ne veut non seulement protéger l’infrastructure, c'est-à-dire l’installation qui sert à fournir le service essentiel, mais elle souhaite mieux équiper les entités qui exploitent ces infrastructures contre les risques auxquels elles pourraient être confrontées ; - elle prescrit un recensement dans onze secteurs, à savoir le secteur de l’énergie, des transports, le secteur bancaire, le secteur des infrastructures des marchés financiers, de la santé, de l’eau potable, des eaux résiduaires, des infrastructures numériques, de Lien vers la directive 2008/11/CE sur le site EUR-Lex Lien vers le règlement grand-ducal du 12 mars 2012 sur le site de Legilux Lien vers la loi du 23 juillet 2016 sur le site de Legilux 5 Lien vers le règlement grand-ducal du 21 février 2018 sur le site de Legilux 3 4 3 l’administration publique, de l’espace et de la production, de la transformation et de la distribution de denrées alimentaires. Dans ce contexte, la Chambre de Commerce note que les auteurs du Projet ont fait le choix de ne pas reprendre l’option donnée par la Directive CER d’exclure les secteurs de la sécurité nationale, de la sécurité publique et de la défense du champ d’application du Projet, vu que déjà aujourd’hui, certaines entités de ces secteurs ont été recensées comme critiques. Il est aussi important de souligner que l’annexe du Projet, listant les secteurs, les soussecteurs et les catégories d’entités, a été repris de l’annexe de la Directive CER. L’unique différence consiste dans le fait qu’au-delà des secteurs prévus par la Directive CER, l’annexe du Projet ajoute la « gestion des déchets » comme douzième secteur. La Directive CER vise également, d’une part, à mettre en place des autorités compétentes et un point de contact unique et, d’autre part, à adopter une stratégie pour la résilience des entités critiques et faire une évaluation des risques. Dans ce cadre, le Projet prévoit la nomination du HCPN et de la Commission de surveillance du secteur financier (ci-après la « CSSF ») comme autorités compétentes chargées de veiller à l’application correcte des règles énoncées dans la Directive CER. Le HCPN sera responsable du recensement et de la supervision des entités critiques des secteurs de l’énergie, des transports, de la santé, de l’eau potable, des eaux résiduaires, de l’administration publique, de l’espace et de la production, de la transformation, de la distribution de denrées alimentaires et des infrastructures numériques pour lesquelles la CSSF n’est pas compétente. La CSSF sera en charge du secteur bancaire, du secteur des infrastructures des marchés financiers, figurant aux points 3 et 4 du tableau de l’annexe du Projet et des infrastructures numériques, figurant au point 8 du tableau de l’annexe du Projet, pour les activités qui tombent sous la surveillance de la CSSF. Le HCPN sera aussi désigné d’assurer le rôle de point de contact unique pour Luxembourg, afin d’assurer la coopération transfrontière avec les autres Etats membres et l’Union européenne, ainsi que d’élaborer la stratégie pour la résilience des entités critiques et de faire une évaluation des risques. Selon la Directive CER et le Projet, une entité est recensée comme entité critique si trois conditions sont remplies cumulativement : - l’entité fournit un ou plusieurs services essentiels ; - l’entité exerce son activité au Luxembourg et son infrastructure critique se situe sur le territoire du Grand-Duché ; et - un incident aurait des effets perturbateurs importants. Cet effet perturbateur se mesure à l’aide de critères tels que le nombres d’utilisateurs tributaires du service essentiels, de l’interdépendance entre ce service essentiel et d’autres secteurs critiques ou encore la part de marché de l’entité ou du service essentiel concerné. 4 Après avoir été recensée comme critique par l’autorité compétente, plusieurs obligations s’imposent aux entités critiques : - - elles sont d’abord tenues à faire une évaluation des risques qui pourraient perturber la fourniture de leur service essentiel ; elles devront prendre des mesures techniques, des mesures de sécurité et des mesures organisationnelles appropriées et proportionnées aux risques préalablement identifiés dans le cadre de leur évaluation des risques ; la Directive CER donne en outre la possibilité aux entités critiques de demander des vérifications des antécédents des personnes qui occupent des fonctions sensibles au sein de l’entité. A l’image du règlement grand-ducal du 28 juillet 20186 portant sur les vérifications de sécurité effectuées pour le compte des institutions européennes, ces vérifications des antécédents sont effectuées par la Police grand-ducale ; et elles sont soumises à une obligation de notification, de sorte que ces entités devront informer les autorités compétentes des incidents qui perturbent ou sont susceptibles de perturber de manière importante la fourniture de leurs services essentiels. Les autorités compétentes sont en charge de veiller au respect des mesures imposées aux entités critiques. Ainsi, la Directive CER leur accorde le pouvoir de formuler des instructions contraignantes, ainsi qu’un véritable pouvoir de sanction. La Chambre de Commerce note également que la Directive CER est en étroite relation avec la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (Network and Information Security Directive, ci-après « directive NIS 2 »)
- En effet, alors que la directive NIS 2 règlemente la résilience cyber des « entités essentielles » et des « entités importantes », la directive CER se charge de la résilience physique des « entités critiques ». Vu qu’une même entité pourrait à la fois être considérée comme entité essentielle et comme entité critique et en vue d’éviter tout double emploi, les deux directives prévoient une coopération étroite entre les autorités en charge de la mise en œuvre des deux directives. Finalement, la Chambre de Commerce prend note que les frais supplémentaires engendrés par le Projet seront :
- les frais liés au recrutement de personnel (approx. trois personnes) au sein de la Police grand-ducale, afin de procéder aux vérifications des antécédents, selon l’article 13 du Projet ;
- les frais en relation avec la mise en place d’un système informatique centralisé pour la gestion des demandes de vérification des antécédents (autour de 230 000 EUR), selon l’article 15 du Projet ;
- les frais liés au recrutement de personnel afin de compléter le service chargé de la protection des entités critiques auprès du HCPN, selon la Loi HCPN. Ce besoin en personnel est évalué à 3 fonctionnaires/employés A1 pour l’année 2024, 4 fonctionnaires/employés A1 pour l’année 2025, 3 fonctionnaires/employés A1 pour l’année 2026 et 1 fonctionnaire/employé A1 pour l’année
- La Chambre de Commerce salue la transposition de la Directive CER en droit luxembourgeois et n’a pas d’observations à formuler sur le fond du Projet. Elle propose toutefois de modifier l’article 3 du Projet, en remplaçant le mot « financer » par le mot « financier » comme suit : 6 7 Lien vers le règlement grand-ducal du 28 juillet 2018 sur le site de Legilux Lien vers la directive NIS 2 sur le site EUR-Lex 5 « La Commission de surveillance du secteur financi8er est l’autorité compétente chargée de veiller à l’application correcte de la présente loi pour le secteur bancaire et le secteur des infrastructures des marchés financiers, figurant aux points 3 et 4 du tableau de l’annexe, ainsi que le secteur des infrastructures numériques, figurant au point 8 du tableau de l’annexe, pour les activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier ». * * * Après consultation de ses ressortissants, la Chambre de Commerce est en mesure d’approuver le projet de loi sous avis, sous réserve de la prise en compte de ses remarques. FKA/DJI 8 Souligné par la Chambre de Commerce