Projet de loi adopté par la Chambre des Députés en sa séance publique du 28 avril 2026 Le général, Le Secrétaire Secrér général, Pour le Président, J'

(1)La présente loi ne s’applique concernant des mesures destinées à assurer un niveau élevé de cybersécurité, sans préjudice de l’article l'article 8.

(2)Lorsque des dispositions d’actes d'actes juridiques sectoriels de l'Union européenne exigent des entités critiques qu’elles qu'elles adoptent des mesures pour pour renforcer leur leur résilience, et lorsque ces exigences ont un effet au moins équivalent aux obligations correspondantes prévues par par la présente loi, les dispositions pertinentes de la présente loi, y compris les dispositions relatives à la supervision et à l'exécution prévues au chapitre 6, ne s'appliquent pas. l'Union européenne ayant un effet au moins La liste des actes juridiques sectoriels de l’Union équivalent à la présente loi est arrêtée par règlement grand-ducal. Art. 2. Pour Pour l’application l'application de la présente loi, on entend par : 1° 1° « entité critique » :: une entité publique ou privée qui a été désignée conformément à l’article l'article 7 comme appartenant à l’une l'une des catégories qui figurent dans la troisième colonne du tableau de l’annexe l'annexe ; 2° « résilience »» :: la capacité d’une d'une entité critique à prévenir tout incident, à s’en s'en protéger, à y réagir, à y résister, à l’atténuer, l'atténuer, à l’absorber, l'absorber, à s’y s'y adapter et à s’en s'en rétablir ; 3° « incident » : un événement qui perturbe ou est susceptible de perturber de manière importante la fourniture d’un d'un service essentiel, y compris lorsqu’il lorsqu'il affecte les systèmes nationaux qui préservent l’état l'état de droit ; 4° « infrastructure critique » : un bien, une installation, un équipement, un réseau ou un système, ou une partie d’un d'un bien, d'une installation, d’un d'un équipement, d’un d'un réseau ou d’un d'un système, qui est nécessaire à la fourniture d'un service essentiel ; 5° « service essentiel » : un service qui est crucial pour pour le maintien de fonctions sociétales ou d’activités d'activités économiques vitales, de la santé publique et de la sûreté publique, ou de l'environnement;; l'environnement 1 6° « maintien de fonctions sociétales vitales » : la disponibilité de services indispensables à la sauvegarde des intérêts vitaux ou des besoins essentiels de tout ou partie du pays ou de la population ; 7° « risque » : le potentiel de perte ou de perturbation causé par un incident, à exprimer comme la combinaison de l’ampleur l'ampleur de cette perte ou de cette perturbation et la l'incident se produise ; probabilité que l’incident risques»» : l’ensemble l'ensemble du processus permettant de déterminer la nature 8° « évaluation des risques et l’étendue l'étendue d’un d'un risque en déterminant et en analysant les menaces, les vulnérabilités et les dangers potentiels pertinents qui pourraient conduire à un incident et en évaluant la perte ou d'un service essentiel causée par cet incident ; la perturbation potentielle de la fourniture d’un 9° « entité de l’administration l'administration publique » : toute entité, à l’exclusion l'exclusion des cours et tribunaux, de la Chambre des députés et de la Banque centrale du Luxembourg, qui satisfait aux critères suivants :

1. a)elle a été créée pour satisfaire des besoins d’intérêt d'intérêt général et n’a n'a pas de caractère industriel ou commercial ;
2. b)elle est dotée de la personnalité juridique ou est juridiquement habilitée à agir pour le compte d’une d'une autre entité dotée de la personnalité juridique ;
3. c)elle est financée majoritairement par les autorités de l'État ou d'autres organismes de droit public de niveau central, ou sa gestion est soumise à un contrôle de la part de ces autorités ou organismes, ou son organe d'administration, d’administration, de direction ou de surveillance est composé, pour plus de la moitié, de membres désignés par les d'autres organismes de droit public de niveau central ; autorités de l'État ou d’autres
4. d)elle a le pouvoir d’adresser d'adresser à des personnes physiques ou morales des décisions administratives ou réglementaires affectant leurs droits en matière de mouvements transfrontières des personnes, des biens, des services ou des capitaux. capitaux. Chapitre 2 --Autorités Autorités compétentes et point de contact national unique Art. 3. La Commission de surveillance du secteur financier est l’autorité l'autorité compétente chargée pour le secteur bancaire et le secteur des de veiller à l'application correcte de la présente loi pour l'annexe, infrastructures des marchés financiers, figurant aux points 3° et 4° du tableau de l’annexe, ainsi que le secteur des infrastructures numériques, figurant au point 8° du tableau de l'annexe, pour les activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier. Le Haut-Commissariat à la Protection nationale est l’autorité l'autorité compétente chargée de veiller à l'annexe, ainsi que le l'application correcte de la présente loi pour les autres secteurs visés à l’annexe, l’application secteur des infrastructures numériques, figurant au point 8° du tableau de l’annexe, l'annexe, pour les activités qui ne tombent pas sous la surveillance de la Commission de surveillance du secteur financier. L’obligation l'article 16 de la loi modifiée du 23 décembre L'obligation au secret professionnel prévue par l’article 1998 portant création d'une d’une commission de surveillance du secteur financier ne fait pas obstacle à l’échange l'échange d’informations d'informations confidentielles entre les autorités compétentes dans le cadre et aux seules fins de la présente loi et des mesures prises pour son exécution. 2 Art. 4. Le Haut-Commissariat à la Protection nationale constitue le point de contact national unique chargé d’exercer d'exercer une fonction de liaison afin d’assurer d'assurer la coopération l'Union transfrontière avec les points de contact uniques des autres États membres de l’Union européenne et avec le groupe sur la résilience des entités critiques visé à l'article 19 de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil. En outre, le point de contact national unique exerce une fonction de liaison avec la Commission européenne et assure la coopération avec les pays tiers. Chapitre 3 - Cadre national pour la résilience des entités critiques Art. 5. Le Haut-Commissariat à la Protection nationale élabore, après consultation de la Commission de surveillance du secteur financier, une stratégie visant à renforcer la résilience des entités critiques qui définit des objectifs stratégiques et des mesures politiques, en s'appuyant sur des stratégies nationales et sectorielles, des plans ou des documents similaires pertinents existants, en vue d'atteindre d’atteindre et de maintenir un niveau élevé de résilience des entités critiques et de couvrir au moins les secteurs figurant à l'annexe. l’annexe. La stratégie contient les éléments suivants : 1° 1° les objectifs stratégiques et les priorités aux fins de renforcer la résilience globale des entités critiques, compte tenu des dépendances et des interdépendances transfrontières et transsectorielles ; d'atteindre les objectifs stratégiques et les 2° un cadre de gouvernance permettant d’atteindre priorités, y compris une description des rôles et des responsabilités des différentes autorités, entités critiques et autres parties participant à la mise en œuvre de la stratégie;; stratégie 3° une description des mesures nécessaires pour renforcer la résilience globale des entités l'évaluation des risques visée à l’article l'article 6 ; critiques, y compris une description de l’évaluation 4° une description du processus par lequel les entités critiques sont recensées ; 5° une description du processus de soutien aux entités critiques conformément au présent chapitre, y compris les mesures visant à renforcer la coopération entre le secteur public, d’une d'une part, et le secteur privé et les entités publiques et privées, d’autre d'autre part part;; 6° une liste des principales autorités et parties prenantes concernées, autres que les entités critiques, participant à la mise en œuvre de la stratégie ; d'action pour la coordination entre les autorités compétentes au sens de la 7° un cadre d’action présente loi et les autorités compétentes en vertu de la loi du XXX concernant des mesures destinées à assurer un niveau élevé de cybersécurité aux fins du partage d’informations d'informations sur les risques, menaces et incidents en matière de cybersécurité ainsi que sur les risques, menaces et incidents non liés à la cybersécurité, et de l’exercice l'exercice des tâches de supervision ; 8° une description des mesures déjà en place visant à faciliter la mise en œuvre des obligations prévues au chapitre 4 par les petites et moyennes entreprises au sens de l’annexe l'annexe de la recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises recensées en tant qu'entités critiques. qu’entités 3 À la suite d’une d'une consultation qui est, dans la mesure du possible en pratique, ouverte aux parties prenantes concernées, le Haut-Commissariat à la Protection nationale met à jour la stratégie au moins tous les quatre ans. Art. 6.

(1)Le Haut-Commissariat à la Protection nationale effectue une évaluation des risques sur base des services essentiels identifiés par la Commission européenne. Cette évaluation des risques est utilisée pour recenser les entités critiques conformément à l’article l'article 7 et pour aider aider les entités critiques à adopter des mesures en vertu de l’article l'article 12.

(2)Afin de procéder à l’évaluation l'évaluation des risques, risques, le Haut-Commissariat à la Protection nationale tient compte des éléments suivants : 1° l’analyse l'analyse des risques qui tient compte des risques naturels et d'origine humaine 1° pertinents, y compris ceux qui revêtent un caractère transsectoriel ou transfrontière, des accidents, des catastrophes naturelles, des urgences de santé publique et des menaces hybrides ou autres menaces antagonistes, lesquelles comprennent les infractions terroristes prévues par le Code pénal ; er l'évaluation des risques générale effectuée en vertu de l’article l'article 6, paragraphe 11er, 2° l’évaluation , de la décision n° 1313/2013/UE du Parlement européen et du Conseil du 17 décembre 2013 relative au mécanisme de protection civile de l’Union l'Union européenne ; d'autres évaluations des risques pertinentes effectuées conformément aux exigences 3° d’autres des actes juridiques sectoriels pertinents de l’Union l'Union européenne, y compris le règlement (UE) 2017/1938 du Parlement européen et du Conseil du 25 octobre 2017 concernant des mesures visant à garantir la sécurité de l’approvisionnement l'approvisionnement en gaz naturel et abrogeant le règlement (UE) n° 994/2010, tel que modifié, et le règlement (UE) 2019/941 2019/941 du Parlement européen et du Conseil du 5 juin 2019 sur la préparation aux risques dans le secteur de l’électricité l'électricité et abrogeant la directive 2005/89/CE, ainsi que la loi modifiée du 19 décembre 2008 relative à l'eau et la loi du 28 avril 2017 concernant la maîtrise des dangers liés aux accidents majeurs impliquant des substances dangereuses ; 4° les risques pertinents découlant de la mesure dans laquelle les secteurs figurant à l'annexe dépendent les uns des autres, y compris de la mesure dans laquelle ils dépendent d'entités situées dans d’autres d'autres États membres de l’Union l'Union européenne et des pays tiers, et l’incidence l'incidence qu’une qu'une perturbation importante dans un secteur peut avoir sur d'autres secteurs, y compris tout risque important pour les citoyens et le marché d’autres intérieur;; intérieur 5° toute information sur les incidents notifiés conformément à l’article l'article 16. er Aux fins de l’alinéa , point 4 4°, l'alinéa 11er, °, le Haut-Commissariat à la Protection nationale coopère avec les autorités compétentes d'autres États membres de l’Union l'Union européenne en vertu de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil et les autorités compétentes de pays tiers, s’il s'il y a lieu.

(3)Le Haut-Commissariat à la Protection nationale met à la disposition des entités critiques l'article 7, les éléments pertinents des évaluations des risques. recensées conformément à l’article 4 Art. 7.

(1)Les autorités compétentes recensent les entités critiques et leurs infrastructures critiques afférentes pour les secteurs et sous-secteurs figurant à l’annexe, l'annexe, dans leurs respectifs. champs de compétences respectifs. l'objet d'un La désignation d'une entité critique et de ses infrastructures critiques fait l’objet d’un arrêté grand-ducal. er 1er,

(2)Lorsqu’une Lorsqu'une autorité compétente recense les entités critiques en vertu du paragraphe 1 , elle tient compte des résultats de l'évaluation des risques effectuée en vertu de l’article l'article 6 et de la stratégie visée à l'article 5 et applique tous les critères suivants : l'entité fournit un ou plusieurs services essentiels ; 1° l’entité 1° 2° l'entité l’entité exerce ses activités sur le territoire luxembourgeois et son infrastructure critique est située sur ledit territoire ; et 3° un incident aurait des effets perturbateurs importants, déterminés conformément au paragraphe 3, sur la fourniture par l'entité d'un ou de plusieurs services essentiels ou sur la fourniture d'autres l'annexe qui d’autres services essentiels dans les secteurs figurant à l’annexe dépendent dudit ou desdits services essentiels. essentiels. l'autorité compétente toutes les L'entité critique est tenue de mettre à la disposition de l’autorité L’entité données sollicitées aux fins du recensement, de la désignation et de la protection des entités critiques. critiques.

(3)L'importance d'un effet perturbateur visé au paragraphe 2, point 3°, est déterminée sur base des critères suivants : 1° le nombre d'utilisateurs l'entité concernée ; 1° d’utilisateurs tributaires du service essentiel fourni par l’entité 2° la mesure dans laquelle les autres secteurs et sous-secteurs figurant à l’annexe l'annexe dépendent du service essentiel en question ; 3° l’impact l'impact que des incidents pourraient avoir, avoir, du point de vue de l'ampleur l’ampleur et de la durée, sur les activités économiques et sociétales, l'environnement, sociétales, l’environnement, la sûreté et la sécurité publiques, ou la santé de la population ; l'entité sur le marché du ou des services essentiels concernés ; 4° la part de marché de l’entité 5° la zone géographique susceptible d'être d’être affectée par un incident, y compris toute incidence transfrontière, transfrontière, compte tenu de la vulnérabilité associée au degré d'isolement de certains types de zones géographiques ; 6° l'importance l’importance que revêt l'entité l’entité pour le maintien d'un d’un niveau suffisant de service essentiel, essentiel, compte tenu de la disponibilité de solutions de rechange pour la fourniture de ce service essentiel. essentiel. 5

(4)Les autorités compétentes dressent une liste des entités critiques recensées et désignées en vertu du paragraphe 2 et informent ces entités critiques qu’elles qu'elles ont été désignées en tant qu'entité critique dans un délai d’un mois à compter de cette désignation. Les autorités d'un compétentes informent ces entités critiques des obligations qui leur incombent en vertu des chapitres 4 et 5 et de la date à partir de laquelle ces obligations leur leur sont applicables, sans préjudice de l’article l'article

1. Les autorités compétentes informent les entités critiques des secteurs figurant aux points 3° et 4° du tableau de l’annexe l'annexe qu’elles qu'elles ne sont soumises à aucune des obligations prévues aux chapitres 4 et
2. De même, les autorités compétentes informent les entités critiques du secteur figurant au point 8° du tableau de l’annexe l'annexe qu’elles qu'elles ne sont soumises à aucune des obligations prévues aux chapitres 4 et 5, pour les activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier. financier. Le chapitre 4 s’applique s'applique aux entités critiques concernées à l’expiration l'expiration d’un d'un délai de dix mois er l'alinéa 11er_ à compter de la date de la notification visée à l’alinéa .

(5)L’entité L'entité critique, à la suite de la notification visée au paragraphe 4, informe son autorité compétente lorsqu’elle lorsqu'elle fournit des services essentiels à ou dans six États membres de l’Union l'Union européenne ou plus. En pareil cas, l'entité critique informe son autorité compétente au sujet des services essentiels qu’elle qu'elle fournit à ou dans ces États membres et au sujet des États membres auxquels ou dans lesquels elle fournit ces services essentiels. Les dispositions du chapitre 5 s'appliquent.

(6)Les autorités compétentes notifient aux autorités compétentes en vertu de la loi du XXX concernant des mesures destinées à assurer un niveau élevé de cybersécurité l'identité des entités critiques qu’ils qu'ils ont recensées et désignées dans un délai d'un mois à compter de la désignation. Cette notification précise, le cas échéant, que les entités critiques concernées sont des entités des secteurs figurant aux points 3° et 4° du tableau de l’annexe l'annexe et qu’elles qu'elles ne sont soumises à aucune des obligations prévues aux chapitres 4 et 5. De même, cette notification précise, le cas échéant, que les entités critiques concernées sont des entités des secteurs figurant au point 8° du tableau de l’annexe l'annexe et qu'elles ne sont soumises à aucune des obligations prévues aux chapitres 4 et 5, pour les activités qui tombent sous la financier. surveillance de la Commission de surveillance du secteur financier.

(7)Si nécessaire et en tout état de cause au moins tous les quatre ans, les autorités compétentes réexaminent et, s’il s'il y a lieu, mettent à jour la liste des entités critiques recensées et désignées visées au paragraphe

1. Lorsque ces mises à jour entraînent le recensement et la désignation d’entités d'entités critiques supplémentaires, les paragraphes 4 à 6 s’appliquent s'appliquent à ces entités critiques supplémentaires. En outre, les autorités compétentes notifient en temps utile qu'entités critiques, à la suite d'une telle mise à les entités qui ne sont plus recensées en tant qu’entités jour, de ce fait et du fait qu’elles qu'elles ne sont plus soumises aux obligations prévues au chapitre 4 à compter de la date de réception de cette notification. Art.
2. L’article L'article 10 et les chapitres 4, 5 et 6 ne s’appliquent s'appliquent pas pas:: 1° 1° aux entités critiques recensées dans les secteurs figurant aux points 3° et 4° du tableau de l’annexe l'annexe ; 2° aux entités critiques recensées dans le secteur figurant au point 8° du tableau de l'annexe, pour les activités qui tombent sous la surveillance de la Commission de l’annexe, surveillance du secteur financier ; 3° au Service de renseignement de l’État l'État visé par la loi modifiée du 5 juillet 2016 portant réorganisation du Service de renseignement de l’État l'État;; 4° 4 ° aux services du ministre ayant la Défense dans ses attributions ; 5° à l'Armée luxembourgeoise visée par la loi modifiée du 7 août 2023 sur l'organisation de l'Armée luxembourgeoise. 6 Art. 9.

(1)Les autorités compétentes aident les entités critiques à renforcer leur résilience. résilience.

(2)Les autorités compétentes coopèrent et échangent des informations et des bonnes pratiques avec les entités critiques des secteurs figurant à l’annexe. l'annexe. Art. 10. 1O. Chaque fois que cela est approprié, l’autorité l'autorité compétente se consulte avec les autorités compétentes des autres États membres de l'Union européenne au sujet des entités critiques aux fins d'assurer l’application l'application cohérente de la présente loi. Ces consultations ont lieu en particulier au sujet des entités critiques qui : 1° 1° utilisent des infrastructures critiques qui sont physiquement connectées entre deux États l'Union européenne ou plus ; membres de l’Union d'entreprise qui sont connectées ou liées à des entités critiques 2° font partie de structures d’entreprise dans d'autres États membres de l’Union l'Union européenne ; l'Union 3° ont été recensées en tant qu'entités critiques dans un État membre de l’Union européenne et fournissent des services essentiels à ou dans d’autres d'autres États membres de l’Union l'Union européenne. Chapitre 4 - Résilience des entités critiques Art. 11.

(1)Sans préjudice de l'article 7, paragraphe 4, alinéa 2, les entités critiques procèdent à une évaluation des risques dans un délai de neuf mois suivant la réception de la notification visée à l’article l'article 7, paragraphe 4, et ensuite, selon les besoins, mais au moins tous les quatre l'évaluation des risques visée à l'article 6 et d'autres sources d'informations ans, sur la base de l’évaluation pertinentes, afin d'évaluer tous les risques pertinents qui pourraient perturber la fourniture de leurs services essentiels, ci-après dénommée « évaluation des risques d’entité d'entité critique ». d'entités critiques rendent compte de tous les risques naturels

(2)Les évaluations des risques d’entités et d'origine d’origine humaine pertinents, susceptibles d’entraîner d'entraîner un incident, y compris ceux qui revêtent un caractère transsectoriel ou transfrontière, transfrontière, des accidents, des catastrophes naturelles, des urgences de santé publique et des menaces hybrides et autres menaces antagonistes, lesquelles comprennent les infractions terroristes prévues par le Code pénal. Une évaluation des risques d’entité d'entité critique tient compte de la mesure dans laquelle d’autres d'autres l'annexe dépendent du service essentiel fourni par l'entité critique et de la secteurs figurant à l’annexe mesure dans laquelle cette entité critique dépend des services essentiels fournis par d’autres d'autres entités de ces autres secteurs, y compris s’il s'il y a lieu, dans les États membres de l’Union l'Union européenne voisins et les pays tiers. Lorsqu’une Lorsqu'une entité critique a réalisé d’autres d'autres évaluations des risques ou établi des documents en vertu d’obligations d'obligations prévues dans d'autres actes juridiques qui sont pertinents pour son évaluation des risques d’entité d'entité critique, elle peut utiliser ces évaluations et documents pour l'exercice de ses fonctions satisfaire aux exigences énoncées dans le présent article. Dans l’exercice de supervision, l’autorité l'autorité compétente peut déclarer qu’une qu'une évaluation des risques existante réalisée par une entité critique qui porte sur les risques et le degré de dépendance visés à er l'alinéa 11er l’alinéa respecte, en tout ou en partie, les obligations prévues par le présent article. 7 Art. 12.

(1)Les entités critiques prennent des mesures techniques, des mesures de sécurité et des mesures organisationnelles appropriées et proportionnées pour garantir leur résilience, sur la base des informations pertinentes fournies par l’autorité l'autorité compétente l'évaluation des risques visée à l’article l'article 6 et les résultats de l’évaluation l'évaluation des concernant l’évaluation risques d’entité d'entité critique, y compris des mesures nécessaires pour : 1° 1° prévenir la survenance d’incidents, d'incidents, en tenant dûment compte de mesures de réduction réduction d'adaptation au changement climatique ; des risques de catastrophe et d’adaptation 2° assurer une protection physique adéquate de leurs locaux et infrastructures critiques ; 3° réagir et résister aux conséquences des incidents et les atténuer, en prenant dûment en considération la mise en œuvre de procédures et protocoles de gestion des risques et des crises et de procédures d'alerte ; 4° d'incidents, en prenant dûment en considération des mesures assurant la 4 ° se rétablir d’incidents, continuité des activités et la détermination d’autres d'autres chaînes d’approvisionnement, d'approvisionnement, afin de reprendre la fourniture du service essentiel ; 5° assurer une gestion adéquate de la sécurité liée au personnel, en prenant dûment en considération des mesures telles que la définition des catégories de personnel qui critiques, l’établissement l'établissement de droits d'accès aux locaux, aux exercent des fonctions critiques, infrastructures critiques et aux informations sensibles, la mise en place de procédures de vérification des antécédents conformément aux articles 13 à 15, la désignation des catégories de personnes tenues de faire l’objet l'objet de telles vérifications des antécédents et la définition d’exigences d'exigences et de qualifications appropriées en matière de formation ; 6° sensibiliser le personnel concerné aux mesures visées aux points 1° 1° à 5°, en tenant d'information et des exercices. dûment compte des séances de formation, du matériel d’information er Aux fins de l’alinéa , point 5°, les entités critiques tiennent compte du personnel des l'alinéa 11er, prestataires de services extérieurs lorsqu’ils lorsqu'ils définissent les catégories de personnel qui exercent des fonctions critiques.

(2)Les entités critiques mettent en place et appliquent un plan de résilience ou un ou plusieurs er documents équivalents, qui décrivent les mesures prises en application du paragraphe 11er_ . Lorsque les entités critiques ont élaboré des documents ou pris des mesures en vertu d'obligations prévues dans d'autres actes juridiques qui sont pertinents pour les mesures er visées au paragraphe 11er, , elles peuvent utiliser ces documents et mesures pour satisfaire aux exigences énoncées dans le présent article. Dans l'exercice de ses fonctions de supervision, supervision, l’autorité l'autorité compétente peut déclarer que des mesures existantes de renforcement de la résilience prises par par une entité critique qui portent, de manière appropriée et proportionnée, sur les mesures techniques, les mesures de sécurité et les mesures organisationnelles visées er au paragraphe 11er respectent, en tout ou en partie, les obligations prévues par le présent article.

(3)Chaque entité critique désigne un agent de liaison ou une personne ayant une fonction fonction l'autorité compétente. équivalente en tant que point de contact avec l’autorité 8 Art. 13.

(1)La Police grand-ducale procède, sur demande de l’entité l'entité critique et dans le seul but d’évaluer d'évaluer un risque potentiel pour la sécurité de l'entité concernée, à des vérifications des antécédents des personnes : 1° l'entité critique ou au bénéfice de celle1° qui occupent des fonctions sensibles au sein de l’entité ci, notamment en ce qui concerne la résilience de l’entité l'entité critique ; 2° qui occupent la fonction de responsable du système informatique ou du système de contrôle de l'entité critique ; ou 3° dont le recrutement est envisagé à des postes répondant aux critères énoncés aux 1° ou 2°. points 1° Par rapport aux données qu’elle qu'elle traite dans ce contexte, la Police grand-ducale est le er responsable du traitement tel que défini par la loi du 11er août 2018 relative à la protection des personnes physiques à l’égard l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité. Préalablement à l'introduction de la demande de vérification des antécédents, les catégories l'objet d’une d'une vérification des antécédents désignées dans le de personnes tenues de faire l’objet l'autorité compétente. Une l'article 12, sont approuvées par l’autorité cadre des mesures prévues à l’article copie de cette approbation est transmise à la Police grand-ducale. er

(2)La demande visée au paragraphe 11er contient les éléments suivants : er 1° : noms et prénoms, date et lieu de 1° l'identité de la personne visée au paragraphe 11er d'identification national et numéro de la pièce naissance, résidence, nationalité, numéro d’identification d'identité ainsi qu’une qu'une photographie récente ; d’identité 2° la nature du contrat de travail ou de la relation juridique liant la personne visée au er l'entité critique ; paragraphe 11er à l’entité er 3° la déclaration écrite ou électronique de la personne visée au paragraphe 1 1er,, contenant l'autorisation de procéder à une vérification des antécédents ; 4° 4 ° une liste des lieux de résidence des cinq dernières années et un certificat de résidence datant de moins de trois mois ; er 5° un extrait du casier judiciaire des pays où la personne visée au paragraphe 11er a résidé l'exception du Luxembourg, les cinq dernières années ou dont elle a la nationalité, à l’exception datant de moins de trois mois ; er l'accord de la personne visée au paragraphe 11er, 6° l’accord , que le bulletin N° 2 du casier judiciaire puisse être délivré directement à la Police grand-ducale ; er 7° la signature de la personne visée au paragraphe 11er ; er 1er, 8° le cachet et la signature de l'entité dont relève la personne visée au paragraphe 1 , précédés d’une d'une attestation de ladite entité certifiant le bien-fondé et les motifs de la demande demande;; 9° une documentation concernant les emplois et les études au cours des cinq dernières années années;; 10° une photocopie de la carte d’identité d'identité ou du passeport en cours de validité ; 9 11 ° un questionnaire biographique dûment rempli. rempli. 11° La Police grand-ducale, recherches : grand-ducale, dans le cadre de ses recherches er 1° consulte les fichiers visés à l'article 1er, 1°, 2° et 14° 14° de la loi 1° l’article 43, 43, paragraphe paragraphe 1 , points 1°, modifiée du 18 juillet 2018 sur la Police grand-ducale, grand-ducale, pour autant que cette consultation consultation soit pertinente quant à la finalité finalité recherchée recherchée ; 2° adresse une demande motivée au procureur général général d'État en vue de l'obtention l’obtention d'un d’un extrait du casier judiciaire de l'autorité l'Union l’autorité compétente de l'État l’État membre de l’Union européenne personne a la nationalité ou de l'autorité l'État européenne dont la personne l’autorité compétente de l’État membre de l'Union l’Union européenne européenne dans lequel la personne personne a résidé au cours des cinq er dernières années si la personne visée à l'article 1er, l’article 13, paragraphe 1 , possède la dans un pays étranger et sous condition nationalité d'un pays étranger ou réside d’un condition de disposer de l'accord écrit ou électronique de cette personne; l’accord personne ; 3° consulte tout employeur de la personne concernée concernée ou ou tout établissement d'éducation d’éducation l'authenticité des informations fréquenté par la personne concernée afin de vérifier l’authenticité fournies. fournies.

(3)La Police grand-ducale procède à la vérification vérification des antécédents sur une période période de cinq ans précédant la demande. demande. Toute demande incomplète est retournée retournée à l'entité l’entité critique critique requérante et non traitée. traitée.

(4)Au terme de la vérification, vérification, la Police grand-ducale émet, en application application de l'alinéa l’alinéa 2, un er que la personne visée au paragraphe 1er représente avis relatif au risque potentiel potentiel personne 1 représente pour la de l'entité critique. sécurité sécurité l’entité critique. er 1er est considérée La personne visée au paragraphe 1 considérée comme présentant un risque pour la l'entité critique s'il sécurité sécurité de l’entité s’il est constaté constaté qu'elle qu’elle a : 1° commis ou tenté de commettre une des infractions contre la sûreté de l'État 1° l’État visées aux articles 101 101 à 135-17 du Code pénal ; 2° commis ou tenté de commettre une des infractions de faux en écriture et d'usage d’usage de faux en écriture visées aux articles articles 194 à 197 du Code pénal ; 3° commis ou tenté de commettre commettre une des infractions de corruption visées aux articles articles 246 à 250 du Code pénal ; 4° commis ou tenté de commettre une des infractions d'escroquerie d’escroquerie et de tromperie visées aux article article 496 à 501 501 du Code pénal ; ou 5° sciemment fait des fausses relation avec la demande de vérification fausses déclarations en relation vérification des antécédents. antécédents. La Police grand-ducale transmet cet avis motivé au ministre ayant la Protection Protection nationale dans ses attributions, ci-après « ministre ». attributions, Art. 14.

(1)Le ministre émet une décision potentiel que la personne visée à décision relative relative au risque potentiel er l'article 1er, l’article 13, paragraphe 1 , représente pour la sécurité de l'entité l’entité critique, critique, en prenant en considération l'avis l’avis de la Police grand-ducale. grand-ducale. 10

(2)Le ministre notifie la décision motivée relative à la vérification des antécédents à la er l'article 13, paragraphe 11er_ personne visée à l’article .

(3)Le ministre transmet la décision à l'entité critique requérante sans lui communiquer les informations personnelles qu'il a reçues dans l’avis l'avis de la Police grand-ducale. L’entité L'entité critique requérante est tenue de suivre la décision du ministre. er constaté, l'article 13, paragraphe 11er,

(4)La personne visée à l’article , au sujet de laquelle le ministre a constaté, er à travers sa décision visée au paragraphe 11er,, qu’elle qu'elle présente un risque pour la sécurité de l'entité critique peut, sur demande écrite et dans un délai de trente jours à partir de la date de l’entité notification de la décision, à adresser au ministre, solliciter l’accès l'accès au dossier sur lequel est fondée sa décision. Elle peut, à cette fin, consulter toutes les pièces du dossier constitué par le ministre dans le cadre de la prise de décision relative à la vérification des antécédents. La demande introduite auprès du ministre n’interrompt n'interrompt pas les délais de recours devant les juridictions administratives. er

(5)La décision du ministre visée au paragraphe 1 a une durée de validité de cinq ans. Une 1er l'entité demande de renouvellement pour une vérification des antécédents est à introduire par l’entité critique au plus tôt six mois et au plus tard quatre mois avant la fin de validité de la décision du ministre. La décision de renouvellement de la vérification des antécédents prend effet à la fin de validité de la décision antérieure. Art. 15.

(1)La Police grand-ducale met en place un système informatique centralisé permettant de faciliter la gestion administrative des demandes de vérification des antécédents.

(2)Les données à caractère personnel en relation avec les vérifications des antécédents sont détruites six mois après une décision ayant acquis force de chose décidée ou jugée. l'effacement des données à caractère personnel par la Police grand-ducale et

(3)Lors de l’effacement dans un but de retraçage et de protection des preuves, une fiche succincte est conservée pendant un délai maximal de cinq ans. Celle-ci contient les informations suivantes : 1° 1° les nom, prénom, date et lieu de naissance, ainsi que le numéro d’identification d'identification er l'article 13, paragraphe 1 1er; national et les nationalités de la personne visée à l’article ; 2° la mention d’avis » ou « négatif »; d'avis « positif positif» négatif» 3° la date d'émission d’émission de l’avis. l'avis. Art. 16.

(1)Les entités critiques notifient sans retard injustifié à l’autorité l'autorité compétente les incidents qui perturbent ou sont susceptibles de perturber de manière importante la fourniture de services essentiels. Sauf Sauf à être dans l'incapacité de le faire pour des raisons opérationnelles, les entités critiques présentent une première notification au plus tard vingtd'un incident, suivie, s’il s'il y a lieu, d’un d'un rapport quatre heures après avoir pris connaissance d’un détaillé au plus tard un mois après. Afin de déterminer l’importance l'importance de la perturbation, les paramètres suivants sont, en particulier, pris en compte : 1° d'utilisateurs affectés par la perturbation ; 1° le nombre et la proportion d’utilisateurs 11 2° la durée de la perturbation perturbation ; 3° la zone géographique concernée par la perturbation, perturbation, en tenant compte de son éventuel éventuel isolement géographique. Les paramètres permettant de déterminer l'importance de la perturbation perturbation sont précisés précisés par règlement grand-ducal. grand-ducal. er 1er comprennent toutes les informations disponibles

(2)Les notifications visées au paragraphe 1 disponibles nécessaires pour permettre à l'autorité compétente de comprendre la nature, nature, la cause et les conséquences possibles possibles de l'incident, l’incident, y compris toute information information disponible nécessaire pour déterminer tout impact transfrontière n'ont pas pour effet de transfrontière de l'incident. l’incident. Ces notifications n’ont soumettre les entités critiques à une responsabilité accrue. accrue. notification visée au

(3)Sur la base des informations fournies fournies par une entité critique dans une notification er paragraphe 1 1er, l'autorité compétente, par l'intermédiaire du point de contact unique, informe , l’autorité compétente, unique, le point de contact unique des autres États membres de l'Union européenne affectés lorsque l’Union l'incident a ou pourrait avoir un impact important sur les entités critiques et sur la continuité l’incident critiques de la fourniture de services services essentiels à ou dans un ou plusieurs autres États membres de l'Union l’Union européenne. européenne. er 1er traite Le point de contact unique qui envoie et reçoit des informations en vertu de l’alinéa l'alinéa 1 ces informations de manière à en respecter la confidentialité et à préserver la sécurité et les intérêts commerciaux de l'entité critique concernée. concernée. er 1er,

(4)Dès que possible après la réception réception d'une d’une notification visée au paragraphe 1 , l'autorité l’autorité pertinentes, y compétente fournit à l'entité l’entité critique concernée concernée des informations de suivi pertinentes, compris des informations qui pourraient aider ladite entité critique à réagir efficacement à l'incident en question. question. L'autorité L’autorité compétente compétente informe le public lorsqu'elle lorsqu’elle estime qu'il serait dans l'intérêt l’intérêt général général de le faire. faire. Chapitre 5 - Entités critiques d'importance d’importance européenne particulière Art. Art. 17.

(1)Une entité est considérée considérée comme une entité critique d'importance d’importance européenne particulière lorsqu’elle lorsqu'elle : er 11°° a été désignée en tant qu'entité 1er; qu’entité critique conformément à l'article l’article 7, 7, paragraphe 1 ; 2° fournit les mêmes services services essentiels ou des services essentiels similaires à ou dans six États membres de l'Union l’Union européenne européenne ou plus ; et 3° a fait l'objet l’objet d'une notification de la part de la Commission Commission européenne, européenne, par l'intermédiaire de son autorité compétente, compétente, qu'elle qu’elle est considérée comme une entité critique d'importance européenne particulière. particulière.

(2)Les entités critiques d'importance d’importance européenne particulière accordent aux missions de conseil conseil organisées par la Commission Commission européenne afin d'évaluer les mesures mises en place l'accès par ladite entité pour satisfaire aux obligations obligations qui lui incombent en vertu du chapitre 4, l’accès aux informations, informations, systèmes et installations relatifs relatifs à la fourniture fourniture de leurs services essentiels nécessaires à l'exécution l’exécution de la mission mission de conseil conseil concernée. concernée. Chapitre 6 - Supervision et exécution exécution 12 Art. 18.

(1)Afin d'évaluer le respect des obligations découlant de la présente loi l'autorité loi,, l’autorité compétente est autorisée à : 1° procéder à des inspections sur place de l'infrastructure 1° l’infrastructure critique et des locaux utilisés par l'entité critique pour fournir ses services essentiels afin de s'assurer de la mise en œuvre des mesures prises par les entités critiques conformément à l’article l'article 12; 12 ; 2° procéder àà la supervision supervision à distance des mesures prises par les entités critiques conformément à l'article l’article 12 ; 3° 3° ordonner un audit visant à contrôler la mise en œuvre effective des mesures prises par les entités critiques conformément à l'article l’article 12. er 1er, 1°, se font entre huit heures et dix-sept Les inspections sur place prévues à l'alinéa l’alinéa 1 , point 1°, heures, heures, moyennant préavis d'au d’au moins deux semaines, semaines, par un agent du groupe de traitement ou du groupe d'indemnité A 1 ou A2 de l'autorité A1 l’autorité compétente. compétente. Ces inspections pourront se dérouler en dehors de cette plage horaire, horaire, en cas d'accord d’accord de l'entité l’entité critique. critique. l'agent de liaison Les agents visés àà l'alinéa l’alinéa 2 signalent leur présence àà l’agent liaison de l'entité critique ou, remplaçant. Ce dernier peut les accompagner et leur prêter concours, le cas échéant, échéant, à son remplaçant. concours, le cas échéant, échéant, pour mener à bien les inspections. inspections. L'agent l'inspection opérée. L’agent visé àà l'alinéa l’alinéa 2 est tenu de dresser un rapport relatif àà l'inspection opérée. Une copie de ce rapport est transmise à l'agent l’agent de liaison liaison de l'entité critique. critique.

(2)Les entités en vertu de la loi du XXX concernant des mesures destinées à assurer un niveau élevé de cybersécurité désignées en tant qu'entités qu’entités critiques en vertu de la présente loi sont tenues de fournir à l’autorité l'autorité compétente, compétente, dans un délai raisonnable raisonnable fixé par celle-ci celle-ci : 1° les informations nécessaires pour évaluer si les mesures prises par ces entités pour 1° garantir leur résilience satisfont aux exigences énoncées à l'article 12 ; 2° la preuve de la mise en œuvre effective de ces mesures, résultats d'un mesures, y compris les résultats d’un audit effectué par un auditeur indépendant et qualifié sélectionné par ladite entité et effectué à ses frais. frais. Ces données comprennent toutes les informations qui sont nécessaires dans le contexte contexte de la prévention ou de la gestion gestion d'une d’une crise en vertu vertu de la loi modifiée du 23 juillet 2016 portant création Protection nationale. création d'un d’un Haut-Commissariat à la Protection nationale. Lorsqu'elle informations, l'autorité compétente mentionne la finalité Lorsqu’elle requiert ces informations, finalité de la demande et précisent les informations exigées. exigées.

(3)Sans préjudice de la possibilité d'imposer des sanctions conformément à l'article 19, er l'autorité compétente peut, 1er ou peut, à la suite des mesures de supervision supervision visées au paragraphe 1 de l'évaluation l’évaluation des informations visées au paragraphe 2, 2, enjoindre aux entités critiques concernées de prendre les mesures nécessaires et proportionnées pour remédier à toute violation violation constatée de la présente loi, loi, dans un délai raisonnable fixé par ladite autorité, autorité, et de lui fournir des informations sur les mesures prises. prises. Ces injonctions tiennent compte, compte, notamment, de la gravité de la violation. notamment, violation.

(4)Lorsque l’autorité l'autorité compétente évalue le respect par une entité critique de ses obligations en vertu du présent article, article, elle en informe les autorités compétentes nationales en vertu de la loi du XXX concernant des mesures destinées à assurer un niveau élevé de cybersécurité. cybersécurité. 13 À cette fin, l'autorité compétente demande aux autorités compétentes nationales en vertu de la loi du XXX concernant des mesures destinées à assurer un niveau élevé de cybersécurité d’exercer d'exercer leurs pouvoirs de supervision et d’exécution d'exécution à l’égard l'égard d’une d'une entité relevant de ladite directive qui a été désignée en tant qu’entité qu'entité critique en vertu de la présente loi. À cette fin, l'autorité compétente coopère et échange des informations avec les autorités nationales l’autorité compétentes en vertu de la loi du XXX concernant des mesures destinées à assurer un niveau élevé de cybersécurité. Art. 19.

(1)Lorsque l’autorité l'autorité compétente constate une violation des obligations prévues par er er er 12, paragraphes 11er paragraphe 3, 16, les articles 11, paragraphes 11er et 2, alinéa 11er, , 12, à 3, 14, paragraphes, er er paragraphes 11er et 2, 17, et 2, elle peut frapper 17, paragraphe 2, et 18, paragraphe 2, alinéas 11er l'entité critique concernée d’une d'une ou de plusieurs des sanctions suivantes : l’entité 1° 1° un avertissement ; blâme;; 2° un blâme 3° une amende administrative, dont le montant est proportionné à la gravité du l'intéressé, à l’ampleur l'ampleur du dommage et aux avantages manquement, à la situation de l’intéressé, qui en sont tirés sans pouvoir excéder 250 000 euros.

(2)En cas de constatation d’un d'un fait susceptible de constituer un manquement visé au er paragraphe 11er, , l’autorité l'autorité compétente engage une procédure contradictoire dans laquelle l’entité l'entité critique concernée a la possibilité de consulter le dossier et de présenter ses L'entité critique concernée peut se faire assister ou observations écrites ou verbales. L’entité représenter par une personne de son choix. À l’issue l'issue de la procédure contradictoire, l'autorité compétente peut prononcer à l'encontre de l'entité critique concernée une ou plusieurs des er sanctions visées au paragraphe 11er_ .

(3)Les décisions prises par l’autorité l'autorité compétente à l'issue de la procédure contradictoire sont motivées et notifiées à l’entité l'entité critique concernée.

(4)Contre les décisions visées au paragraphe 3 un recours en réformation est ouvert devant le tribunal administratif. L'Administration de l'enregistrement, des domaines et de la TVA est chargée du

(5)L’Administration recouvrement des amendes administratives qui lui sont communiquées par l’autorité l'autorité d'une copie des décisions de fixation. Le compétente moyennant la transmission d’une recouvrement est poursuivi comme en matière d’enregistrement. d'enregistrement. Chapitre 7 - Dispositions modificatives d'un Haut-Commissariat à la Art. 20. La loi modifiée du 23 juillet 2016 portant création d’un Protection nationale est modifiée comme suit : er er 1° A l’article l'article 11er, 1er, 1° , alinéa 1 , les termes « infrastructures critiques » sont remplacés par ceux de « entités critiques » ; 2° L’article L'article 2, point 4°, est remplacé par le texte suivant suivant:: « 4. « entité critique » : une entité au sens de la loi du XXX sur la résilience des entités critiques ; » ; L'article 3 est modifié comme suit : 3° L’article 14 er suivant::

1. a)Le paragraphe 11er, , lettre b), point 3°, est remplacé par le texte suivant « 3. de veiller à l’exécution l'exécution des mesures relatives à la résilience des entités critiques en application de la loi du XXX sur la résilience des entités critiques ; » ; 1ter, lettre g), Iquater, 1quater, lettres
2. a)et b), et 3, première phrase, les
3. b)Aux paragraphes 1ter, termes « infrastructures critiques » sont remplacés par ceux de « entités critiques » ; de« 4 ° L'intitulé du chapitre 4 est remplacé par l’intitulé l'intitulé suivant : 4° « Chapitre 4 - La protection des entités critiques » ; 5° Les articles 4 à 8 sont abrogés ; er l'article 9, alinéa 11er, 6° A l’article , les termes « infrastructure critique » sont remplacés par ceux de « entité critique » et le terme « infrastructure » est remplacé par celui de « entité ». Chapitre 8 - Intitulé de citation Art. 21. La référence à la présente loi se fait sous la forme suivante : « loi du XXX sur la résilience des entités critiques ». 15 15 ANNEXE Secteurs, sous-secteurs et catégories d’entités d'entités 1. Secteurs Énergie Énergie
4. a)Sous-secteurs Électricité Électricité Catégories d’entités d'entités - Entreprises d'électricité au sens de er l'article 11er, 14 °, de la loi l’article , point 14°, er août 2007 relative à modifiée du 11er août l’organisation du marché de l'organisation l’électricité, qui assurent la fonction de l'électricité, er « fourniture » au sens de l’article , l'article 11er, point 21°, 21 °, de la même même loi - Gestionnaires de réseau de de er l'article 11er, distribution au sens de l’article , er point 24°, 24 °, de la la loi modifiée du 11er août août 2007 relative à l’organisation l'organisation du marché de l’électricité l'électricité - Gestionnaires de réseau de transport er au sens de l’article la l'article 11er,, point 25°, de la er loi modifiée du 11er août 2007 relative relative à l’organisation l'organisation du marché de l’électricité l'électricité er - Producteurs Producteurs au sens de l'article 11er,, e août point 39°, de la loi modifiée du 11er' août 2007 relative à l'organisation du marché de l'électricité - Opérateurs désignés du marché de de l’électricité l'électricité au sens de l’article l'article 2, point 8°, du règlement règlement (UE) 2019/943 du Parlement européen et du Conseil du 5 juin 2019 sur le le marché intérieur de l’électricité, l'électricité, tel que modifié modifié - Acteurs du marché au sens de l’article l'article 2, point 25°, du règlement (UE) 2019/943 du Parlement européen et du Conseil du 5 juin 2019 sur le marché intérieur intérieur de l'électricité, tel que modifié, qui fournissent des services d’agrégation, de d'agrégation, participation participation active de la demande ou de stockage d’énergie d'énergie au sens de er l'article 11er, 1quindecies l'article , points lquindecies°, 31quater° 31 quater et 49ter°, 49ter de la la loi modifiée er du 11er août 2007 relative à l’organisation du marché de de l'organisation l’électricité l'électricité 0 , 0 0 , 16 16
5. b)Réseaux Réseaux chaleur et froid
6. c)Pétrole Pétrole
7. d)Gaz
8. e)Hydrogène de de - Opérateurs de réseaux réseaux de chaleur ou de réseau de froid au sens de l'article l'article 2, point 19°, 19°, de la directive (UE) 2018/2001 2018/2001 du Parlement européen et du Conseil du 11 11 décembre 2018 relative à la promotion promotion de l'utilisation de l'énergie produite à partir partir de sources renouvelables - Exploitants d’oléoducs d'oléoducs - Exploitants d’installations de Exploitants d'installations production, de raffinage, de traitement, de stockage et de transport de pétrole pétrole - Entités centrales de stockage au sens er l'article 11er, lettre g), de la loi de l'article , lettre modifiée du 10 10 février 2015 relative à l'organisation du marché de produits pétroliers - Entreprises Entreprises de fourniture au sens de er 14 °, de la loi l'article 11er, , point 14°, er modifiée du 11er août 2007 relative à l’organisation l'organisation du marché marché de gaz naturel - Gestionnaires de réseau de er distribution au sens de l'article 1 l'article 1er,, er modifiée du 11er août point 22°, de la loi modifiée 2007 relative à l'organisation l'organisation du marché de gaz naturel - Gestionnaires de réseau réseau de transport er au sens de l'article 11er, , point 24°, de la er loi modifiée du 11er août 2007 relative à l’organisation l'organisation du marché marché de gaz gaz naturel - Gestionnaires d’installation de d'installation er stockage au sens de l’article , point l'article 11er, er la loi modifiée du 11er 25°, de la août 2007 relative relative à l’organisation l'organisation du marché du gaz naturel - Gestionnaires d’installation d'installation de GNL er au sens de l’article l'article 11er,, point point 23°, de la er loi modifiée du 11er août août 2007 relative à l’organisation l'organisation du marché marché du gaz naturel - Entreprises de gaz naturel au sens de er l'article 11er, l’article , point 15°, de la loi er modifiée du 11er août 2007 relative à l’organisation l'organisation du marché de gaz naturel - Exploitants Exploitants d’installations d'installations de raffinage et de traitement de gaz naturel - Exploitants de systèmes de production, de stockage et de production, transport d’hydrogène d'hvdroaène 17 2. Transports
9. a)- Transporteurs aériens au sens de l'article 3, point 4°, du règlement (CE) n° 300/2008 du Parlement européen et du Conseil du 11 mars 2008 relatif à l’instauration l'instauration de règles communes dans le domaine de la l'aviation civile et abrogeant sûreté de l’aviation le règlement (CE) n° 2320/2002, tel que modifié, utilisés à des fins commerciales - Entités gestionnaires d’aéroports d'aéroports au 1°, de loi sens de l'article 2, point 1°, modifiée du 23 mai 2012 portant transposition de la directive 2009/12/CE du Parlement européen et du Conseil du 11 11 mars 2009 sur les redevances aéroportuaires et portant modification : 1) 1) de la loi modifiée du 31 janvier 1948 relative à la réglementation de la navigation 19 aérienne ; 2) de la loi modifiée du 19 mai 1999 ayant pour objet
10. a)de réglementer l’accès l'accès au marché de l’assistance l'aéroport de l'assistance en escale à l’aéroport Luxembourg,
11. b)de créer un cadre réglementaire dans le domaine de la sûreté de l’aviation l'aviation civile, et
12. c)d’instituer d'instituer une Direction de l'Aviation !'Aviation Civile, aéroports au sens de l'article 2, point 1°, 1°, de la directive 2009/12/CE du Parlement européen et du Conseil du 11 11 mars 2009 sur les redevances aéroportuaires, y compris les aéroports du réseaux central énumérés à l'annexe II, Il, section 2, du règlement (UE) n° 1315/2013 du Parlement européen et du Conseil du 11 décembre 2013 sur les orientations de l’Union l'Union pour pour le développement du réseau transeuropéen de transport et abrogeant la décision n° 661/2010/UE, tel que modifié, et entités exploitant les installations annexes se trouvant dans les aéroports - Services du contrôle de la circulation aérienne assurant les services du contrôle de la circulation aérienne au 1°, du règlesens de l'article 2, point 1°, ment ment (CE) n° 549/2004 du Parlement européen et du Conseil du 10 10 mars 2004 fixant le cadre pour la réalisation Transports aériens 18 18
13. b)
14. b)- Transports ferroviaires -
15. c)Transports eau par - - - 19 du ciel unique européen (« tel que modifié ( « règlement-cadre rèolement-cadre »), »),tel Gestionnaires de l’infrastructure l'infrastructure au 31 °, de la loi sens de l'article 2, point 31°, du 5 février 2021 relative à l'interopérabilité ferroviaire, ferroviaire , à la l’interopérabilité sécurité ferroviaire et à la certification des conducteurs de train Entreprises ferroviaires au sens de Entreprises l'article 2, point 15°, 15°, de la loi modifiée du 6 juin 2019 portant transposition de la directive (UE) 2016/2370 du Parlement européen et du Conseil du 14 14 décembre 2016 modifiant modifiant la directive 2012/34/UE en ce qui concerne l'ouverture du marché des services nationaux de transport de par chemin de fer et la voyageurs par l'infrastructure gouvernance de l'infrastructure ferroviaire et exploitants d’installations d'installations de services au sens de l’article l'article 2, point 18°, 18°, de la la même loi Sociétés de transport par par voie d'eau intérieure, maritime et côtier de passagers et de fret telles qu'elles sont définies pour pour le domaine du l'annexe I du transport maritime visé à l’annexe règlement (CE) n° 725/2004 du Parlement européen et du Conseil du 31 mars 2004 relatif à l'amélioration de la sûreté des navires et des des installations portuaires, tel que l'exclusion des navires modifié, à l’exclusion exploités à titre individuel par ces sociétés Entités gestionnaires des ports au 1°, de la sens de l'article 3, point 1°, directive 2005/65/CE du Parlement européen et du Conseil du 26 octobre l'amélioration de la 2005 relative à l’amélioration sûreté des ports, y compris les installations portuaires au sens de l'article 2, point 11°, 11 °, du règlement l’article n° 725/2004 (CE) n° du Parlement européen et du Conseil du 31 31 mars 2004 relatif à l'amélioration de la sûreté des navires et des installations portuaires, tel que modifié, ainsi que les entités exploitant des ateliers et des équipements à l’intérieur l'intérieur des des ports Exploitants Exploitants de services de trafic l'article 2, maritime (STM) au sens de l’article lettre o), du règlement grand-ducal
16. d)Transports routiers - -
17. e)3. Transports publics - - Secteur bancaire - 20 modifié du 27 février 2011 2011 relatif à la mise en place d'un système communautaire de suivi du trafic des navires et d'information Autorités routières au sens de l'article 2, point 12°, du règlement délégué (UE) 2015/962 de la Commission du 18 décembre 2014 complétant la directive 2010/40/UE du Parlement européen et du Conseil en ce qui concerne la mise à disposition, dans dans l'ensemble de l'Union, de services d'informations en temps réel sur la circulation, chargées du contrôle de la gestion de la circulation, à l’exclusion l'exclusion des entités publiques pour lesquelles la gestion de la circulation ou l'exploitation l'exploitation des systèmes de transport intelligents constituent une partie non essentielle de leur leur activité générale Qénérale Exploitants de systèmes de transport intelligents au sens de la lettre circulaire du 22 février 2012 concernant la directive 2010/40/UE du Parlement européen et du Conseil du 7 juillet 2010 concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine d'interfaces du transport routier et d’interfaces avec d’autres d'autres modes de transport Opérateurs de services publics au sens de l'article 2, lettre d), du règlement (CE) n° 1370/2007 1370/2007 du Parlement européen et du Conseil du 23 octobre 2007 relatif aux services publics de transport de voyageurs par par chemin de fer et par route, et abrogeant les règlements (CEE) n° 1191/69 et 1191/69 (CEE) n° 1107/70 1107/70 du Conseil, tel que modifié Établissements de crédit au sens de Établissements l’article l'article 4, point 1°, 1°, du règlement (UE) n° 575/2013 du Parlement européen et du Conseil du 26 juin 2013 concernant les exigences prudentielles applicables aux aux établissements de crédit et aux entreprises d'investissement et modifiant le règlement (UE) n° 648/2012, tel que modifié Exploitants de plates-formes de er négociation , négociation au sens de l’article l'article 11er, 4. Infrastructures des marchés financiers - 5. Santé - - - - - - 21 point 43°, de la loi modifiée du 30 mai 2018 relative aux marchés d'instruments financiers ____________ Contreparties centrales au sens de l’article 1°, du règlement l'article 2, point 1°, (UE) n° 648/2012 du Parlement européen et du Conseil du 4 juillet 2012 sur les produits dérivés de gré à gré, les contreparties centrales et les référentiels centraux, tel que modifié Prestataires de soins de santé au sens de l’article l'article 2, lettre e), de la loi modifiée du 24 juillet 2014 relative aux droits et obligations du patient Laboratoires de référence de l’UE l'UE visés à l’article l'article 15 du règlement 2022/2371 du (UE) 2022/2371 Parlement européen et du Conseil du 23 novembre 2022 concernant les menaces transfrontières graves pour la santé et abrogeant la décision n° 1082/201 3/UE _________________ 1082/2013/UE Laboratoires nationaux de référence désignés en vertu de l'article 10 de la er loi modifiée du 11er août 2018 sur la déclaration obligatoire de certaines maladies dans le cadre de la protection de la santé publique ______ Entités exerçant des activités de recherche et de développement dans le domaine des médicaments au sens er l'article 11er, de l’article , point 2°, de la directive 2001/83/CE du Parlement européen et du Conseil du 6 novembre 2001 2001 instituant un code communautaire relatif aux médicaments à usage humain__________________________ humain Entités fabriquant des produits pharmaceutiques de base et des préparations pharmaceutiques au sens de la NACE Rév. 2 NAGE Nomenclature statistique des activités économiques dans la Communauté européenne, section C, division 21 21 Entités fabriquant des dispositifs médicaux considérés comme critiques en cas d'urgence de santé publique (liste des dispositifs médicaux critiques en cas d’urgence d'urgence de santé publique) au sens de l’article l'article 22 du règlement (UE) 2022/123 du Parlement européen et du Conseil du 25 janvier 2022 relatif à un rôle renforcé de l’Agence !'Agence européenne des 6. Eau Eau potable 7. Eaux résiduaires 8. Infrastructures Infrastructures numériques numériques médicaments dans la la préparation aux aux crises et la gestion de celles-ci en ce qui concerne les médicaments et les dispositifs médicaux, médicaux, tel que modifié - Entités titulaires d'une autorisation de de distribution au sens de l’article l'article 4 de la loi modifiée du 6 janvier 1995 relative à la distribution en gros des des médicaments - Fournisseurs et distributeurs d’eaux d'eaux destinées à la consommation humaine au sens de l'article 2, point 1°, 1°, lettre lettre a), de la loi du 23 décembre 2022 relative à la qualité des eaux eaux destinées à la consommation l'exclusion humaine, à l’exclusion des distributeurs pour lesquels la distribution d'eaux destinées à la consommation humaine constitue une partie non essentielle de leur leur activité générale de distribution d’autres d'autres produits et biens - Entreprises Entreprises collectant, évacuant ou traitant les les eaux urbaines urbaines résiduaires, résiduaires, des eaux eaux ménagères usées ou des des eaux industrielles usées au sens de eaux de l’article 2, points 1°, 2° et 3°, du l'article points 1°, règlement grand-ducal modifié du 13 13 mai 1994 relatif relatif au traitement des des eaux urbaines résiduaires, à urbaines résiduaires, l'exclusion des entreprises pour pour lesquelles la collecte, l’évacuation l'évacuation ou le traitement des eaux urbaines résiduaires, des eaux eaux ménagères usées ou des eaux eaux industrielles industrielles usées constituent une partie non essentielle de leur activité générale - Fournisseurs de points points d’échange d'échange l'article 2, point internet au sens de l’article 17°, de la loi du XXX concernant des mesures destinées à assurer un niveau élevé de cybersécurité - Fournisseurs de services DNS ONS au sens de l’article l'article 2, point 19°, 19°, de la loi du XXX XXX concernant des mesures mesures destinées à assurer un niveau élevé de cybersécurité, à l’exclusion l'exclusion des opérateurs de serveurs racines de noms de domaines - Registres de noms de domaines de de premier niveau au sens de l’article l'article 2, point 20°, de la la loi du XXX concernant des mesures mesures destinées à assurer un niveau niveau élevé de cybersécurité 22 - - - - - - 9. Administration publique 10. 10. Espace 11. Production, transformation - et 23 Fournisseurs de services d’informatique d'informatique en nuage au sens de l'article 2, point 29°, de la loi du XXX XXX l’article concernant des mesures destinées à assurer un niveau élevé de cybersécu rité cybersécurité Fournisseurs de services de centre de données au sens de l'article 2, point 30°, de la loi du XXX concernant des mesures destinées à assurer un niveau élevé de cybersécurité Fournisseurs de réseaux de diffusion de contenu au sens de l’article l'article 2, point 31°, 31 °, de la loi du XXX concernant des mesures destinées à assurer un niveau élevé de cybersécurité Prestataires Prestataires de services de confiance au sens de l’article l'article 3, point 19°, 19°, du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour pour les transactions électroniques au sein du marché intérieur intérieur et abrogeant la directive 1999/93/CE Fournisseurs de réseaux de de communications électroniques publics au sens de l’article l'article 2, point 8°, de la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques de Fournisseurs de services de communications électroniques au sens de l’article l'article 2, point 4°, 4 °, de la loi du 17 17 décembre 2021 2021 sur les réseaux et les services de communications dans la mesure où leurs services sont accessibles au public Entité de l’administration l'administration publique telle que définie à l’article l'article 2, point point 9° Exploitants d’infrastructures d'infrastructures au sol, détenues, gérées et exploitées par par des États membres ou par des parties privées, qui soutiennent la fourniture de services spatiaux, à l'exclusion des fournisseurs de réseaux de communications électroniques publics au sens de l’article l'article 2, point 8°, de la loi du 17 décembre 2021 sur sur les réseaux et les services de communications Entreprises du secteur alimentaire au sens de l'article l'article 3, point 2°, du distribution denrées alimentaires 12. Gestion déchets règlement (CE) n° 178/2002 du 178/2002 Parlement européen et du Conseil du 28 janvier 2002 établissant les principes généraux et les prescriptions générales de la législation alimentaire, instituant l'Autorité européenne de sécurité des aliments et fixant des procédures relatives à la sécurité des denrées alimentaires, tel que modifié, qui exercent exclusivement des des activités de logistique et de distribution en gros ainsi que de production et de transformation industrielles à grande échelle - Entreprise impliquée dans la gestion des déchets au sens de l'article 4, point 22°, de la loi modifiée du 21 mars 2012 relative aux déchets de des Projet de loi adopté par la Chambre des Députés en sa séance publique du 28 avril 2026 Le général, Le Secrétaire Secrér général, Pour le Président, J'I André Bauler Vice-Président de la Chambre des Députés Laurent Scheeck 24