← Luxembourg

Projet de loi concernant des mesures destinées à assurer un niveau élevé de cybersécurité et portant modification de : 1° la loi modifiée du 14 août 2

CONSEIL D’ÉTAT =============== N° CE : 61.799 N° dossier parl. : 8364 Projet de loi concernant des mesures destinées à assurer un niveau élevé de cybersécurité et portant modification de : 1° la loi modifiée du 14 août 2000 relative au commerce électronique ; 2° la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale ; 3° la loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale ; 4° la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques Avis du Conseil d’État (8 octobre 2024) En vertu de l’arrêté du 13 mars 2024 du Premier ministre, le Conseil d’État a été saisi pour avis du projet de loi sous rubrique, élaboré par le Premier ministre. Au texte du projet de loi étaient joints un exposé des motifs, un commentaire des articles, le texte coordonné de la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale, les textes coordonnés, par extraits, de la loi modifiée du 14 août 2000 relative au commerce électronique, de la loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale et de la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques, un tableau de concordance entre la loi en projet et la directive à transposer, une fiche financière, le texte de la directive à transposer, une fiche d’évaluation d’impact ainsi qu’un « check de durabilité – Nohaltegkeetscheck ». Le Conseil d’État n’a reçu aucun avis au moment de l’adoption du présent avis. Il ne ressort ni de la saisine du Conseil d’État, ni du dossier lui soumis que les chambres professionnelles et organes consultatifs le cas échéant légalement compétents ont été demandés en leur avis. Une entrevue avec une délégation du Ministère d’État a eu lieu en date du 3 juillet

  1. Considérations générales Le présent projet de loi a pour objectif principal la transposition de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148, ci-après « directive NIS2 », qui remplace la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l’Union (« directive NIS1 »)
  2. Afin de renforcer la cybersécurité des entités considérées comme essentielles ou importantes au sein de l’Union européenne, le législateur européen a mis à niveau les règles définies dans la directive NIS1, notamment en définissant des règles minimales concernant le fonctionnement d’un cadre règlementaire coordonné, en renforçant les mécanismes de coopération entre États membres, en mettant à jour la liste des secteurs soumis à des obligations en matière de cybersécurité et en prévoyant des mesures de supervision et d’exécution effectives. Les auteurs relèvent encore l’étroite relation entre la directive NIS2, que le projet sous avis vise à transposer, et la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil, dont la transposition est prévue au moyen du projet de loi n° 8307
  3. À ce sujet, le Conseil d’État tient à rappeler qu’en vertu de l’article 1er, paragraphe 2, de la directive (UE) 2022/2557, « les États membres veillent à ce que la présente directive et la directive (UE) 2022/2555 soient mises en œuvre de manière coordonnée ». En effet, au vu de cette relation étroite, qui apparaît de manière particulièrement claire au niveau de la détermination du champ d’application du projet de loi sous examen, il convient de veiller à ce que la loi transposant la directive (UE) 2022/2557 entre en vigueur au plus tard concomitamment avec la loi en projet. La directive a été transposée en droit luxembourgeois par la loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale. 2 Projet de loi portant transposition de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil, et modifiant : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État ; 2° la loi modifiée du 23 juillet 2016 portant création d'un HautCommissariat à la Protection nationale, doc. parl. n° 8307 (n° CE 61.637). 2 1 La directive NIS2 devra être transposée dans le droit national au plus tard le 17 octobre 2024 et les nouvelles règles s’appliqueront à partir du 18 octobre 2024
  4. Le Conseil d’État constate qu’à plusieurs endroits le texte en projet renvoie à des directives européennes, dont notamment la directive n° 2022/2557 précitée. Étant donné que les directives n’ont pas d’effet direct en droit national, ces renvois sont à remplacer par des renvois à la législation nationale transposant les directives visées. Examen des articles Article 1er La disposition sous examen précise le champ d’application du projet de loi soumis pour avis. Les paragraphes 1er à 4 transposent les paragraphes 1er à 4 de l’article 2 de la directive NIS
  5. Les entités visées au paragraphe 2, points 2° à 5°, de l’article sous examen, qui tombent dans le champ d’application de la loi en projet quelle que soit leur taille, sont identifiées par les autorités compétentes et, conformément à l’article 11, paragraphes 1er, point 5°, et 2, dernière phrase, ces dernières déterminent également s’il s’agit d’une entité essentielle ou d’une entité importante. Aucune procédure spécifique, ni des critères ou des modalités de prise de décision, ne sont prévus quant à ce sujet. Le Conseil d’État y reviendra lors de l’examen de l’article
  6. Il note ensuite que le paragraphe 3 inclut dans le champ d’application de la directive NIS2 toutes les entités recensées en tant qu’entités critiques en vertu de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques. Ceci tient donc compte du fait que la sécurité physique des entités critiques traitée par la directive 2022/2557 et la cybersécurité de ces mêmes entités qui fait l’objet de la directive NIS2 sont étroitement liées. Le paragraphe 5 exclut du champ d’application de la loi sous revue, conformément au prescrit du paragraphe 10 de l’article 2 de la directive NIS2, certaines entités qui sont d’ores et déjà exclues du champ d’application du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011
  7. Le paragraphe 6 de l’article sous examen précise que « [l]a présente loi est sans préjudice des dispositions de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité et ne s’applique pas aux systèmes de communication et d'information où sont conservées ou Le délai de transposition de la directive 2022/2555 est identique à celui de la directive 2022/2557, précitée. Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/
  8. 3 3 4 traitées des pièces classifiées au sens de la loi précitée. ». Il ressort du commentaire des articles que ce paragraphe vise à exclure les systèmes de communication et d’information y visés. Or, l’expression « sans préjudice de » signifie que la règle qui va suivre n’a pas d’incidence sur l’application des autres règles auxquelles il est fait référence et qui ne sont pas écartées du fait de l’énonciation de la nouvelle règle 5, et non pas que l’application de l’une exclurait l’application de l’autre. Partant, pour autant que tel est le but poursuivi par les auteurs, la disposition sous revue est à reformuler comme suit : «

(6)La présente loi est sans préjudice des dispositions de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité et ne s’applique pas aux systèmes de communication et d'information où sont conservées ou traitées des pièces classifiées au sens de la loi précitée modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité. » Le paragraphe 13 de l’article 2 de la directive NIS2, qui n’est pas repris par le projet de loi sous avis, est relatif aux relations entre les autorités nationales et les institutions de l’Union européenne. Pour ce qui est de la coopération avec la Commission européenne, le Conseil d’État note que la Cour de justice de l’Union européenne considère en principe que les dispositions qui ne concernent que les relations entre les États membres et la Commission européenne ne doivent pas nécessairement être transposées, et notamment lorsque la directive édicte des obligations d’information non équivoques à la charge de l’autorité compétente dans chaque État membre 6, ce qui est le cas en l’occurrence. Le paragraphe 7 de l’article sous examen a trait à l’articulation entre la loi en projet et les actes sectoriels de l’Union européenne ayant des effets au moins équivalents à celle-ci et transpose l’article 4 de la directive NIS2, en omettant à juste titre de transposer le paragraphe 3 dudit article qui concerne des obligations à charge de la Commission. Le Conseil d’État relève que la Commission européenne a entretemps adopté les lignes directrices visées à la disposition sous examen et qu’elles ont été publiées au Journal officiel de l’Union européenne en date du 18 septembre
  1. Selon les explications reçues lors de l’entrevue avec les auteurs, la décision admettant l’équivalence des actes juridiques sectoriels de l’Union européenne revient à la Commission européenne, et non pas aux autorités nationales. Le dernier alinéa du paragraphe sous examen, qui prévoit l’adoption par les autorités compétentes de règlements ou de circulaires déterminant les actes juridiques sectoriels de l’Union européenne visés par la disposition, aurait pour finalité, toujours selon les explications reçues lors de la prédite entrevue, de garantir une information à l’attention des entités concernées, qui ne connaîtraient pas nécessairement les lignes directrices de la Commission européenne. Avis du Conseil d’État du 1er juin 2023 relatif au projet de loi portant introduction d’une procédure pénale pour mineurs et portant modification : 1° de la loi modifiée du 7 mars 1980 sur l’organisation judiciaire ; 2° de la loi modifiée du 17 mars 2004 relative au mandat d’arrêt européen et aux procédures de remise entre États membres de l’Union européenne ; 3° de la loi du 20 juillet 2018 portant réforme de l’administration pénitentiaire (doc. parl. n° 7991), p.
  2. 6 BESCH Marc, Normes et légistique en droit public luxembourgeois, Bruxelles, Larcier, 2019, point
  3. 4 5 Le Conseil d’État se doit de constater que ceci ne ressort toutefois pas du libellé du dernier alinéa du paragraphe 7 qui confère aux autorités compétentes le pouvoir de déterminer « les actes juridiques sectoriels de l’Union européenne ayant un effet au moins équivalent à la présente loi ». En effet, même si le texte précise que ces actes sont pris « conformément aux lignes directrices adoptées par la Commission européenne », les autorités compétentes reçoivent un pouvoir réglementaire leur permettant également de déroger à ces lignes directrices. Au vu de l’existence de deux autorités compétentes, un risque de divergences entre les règles applicables aux différentes entités en fonction de l’autorité compétente dont elles relèvent ne peut être exclu. Les autorités compétentes se voient ainsi conférer un pouvoir de se prononcer sur les effets d’actes juridiques sectoriels de l’Union européenne, entravant potentiellement l’application du droit de l’Union européenne. Le Conseil d’État rappelle que chaque État membre est tenu de donner aux directives une exécution qui répond pleinement aux exigences de clarté et de certitude des situations juridiques imposées par l’Union européenne, dans l’intérêt des personnes concernées. À cette fin, les dispositions d’une directive doivent être mises en œuvre non seulement avec une force contraignante incontestable, mais également avec la spécificité, la précision et la clarté requises, afin que soit satisfaite l’exigence de sécurité juridique. Au vu des développements qui précèdent, le Conseil d’État doit s’opposer formellement à l’alinéa 3 du paragraphe 7 de la disposition sous examen pour transposition incorrecte de la directive. Il est proposé aux auteurs soit de supprimer l’alinéa en question soit de le remplacer par une disposition prévoyant la diffusion par les autorités compétentes à l’attention des entités concernées d’une simple information sur le contenu des lignes directrices de la Commission européenne prises sur la base de l’article 4, paragraphe 3, de la directive NIS
  4. Par ailleurs, il est renvoyé aux considérations générales en ce qui concerne le renvoi à une directive au lieu du texte national la transposant au niveau du paragraphe 3 de la disposition sous examen. Article 2 L’article sous examen contient les définitions et transpose l’article 6 de la directive NIS
  5. Au point 34°, il convient de remplacer les termes « l’organisation judiciaire » par ceux de « les cours et tribunaux ». Quant au surplus, le Conseil d’État note que les points 41° à 44° contiennent des définitions ne provenant pas de la directive NIS2 qui n’appellent pas d’observation particulière. 5 Article 3 L’article sous revue détermine les autorités compétentes en matière de cybersécurité ainsi que leurs domaines respectifs de compétence, à savoir l’Institut luxembourgeois de régulation, ci-après « ILR », et la Commission de surveillance du secteur financier, ci-après « CSSF ». Le Conseil d’État constate qu’à l’instar du projet de loi n° 8307 ayant pour objet la transposition de la directive 2022/2557, les auteurs du projet de loi sous revue désignent deux autorités compétentes. Il avait signalé, dans son avis du 23 janvier 2024 concernant le projet de loi n° 8307 précité, que la « désignation d’une seule autorité compétente […] aurait constitué un choix logique au regard de la configuration de ses attributions et de ses compétences et aurait rendu le dispositif de surveillance plus lisible ». Dans le cas du présent projet de loi concernant la cybersécurité, même si la répartition des tâches de supervision et d’exécution entre les deux autorités compétentes semble suffisamment précise, le Conseil d’État considère qu’on ne peut pas écarter le risque de divergences dans l’application et la mise en œuvre de la loi en projet par les différentes autorités compétentes, de sorte qu’il réitère son observation précitée. En ce qui concerne l’alinéa 1er, le Conseil d’État renvoie encore aux considérations générales pour ce qui est du renvoi à une directive qui doit être transposée en droit national. L’alinéa 3 ajoute que l’obligation au secret professionnel, prévue tant par la loi organique de l’ILR que par celle de la CSSF, ne fait pas obstacle à l’échange d’informations confidentielles entre ces autorités compétentes, les centres de réponse aux incidents de sécurité informatique (CSIRT) et le point de contact unique en vertu du projet de loi sous revue, dans le cadre et aux seules fins de la loi en projet et des mesures prises pour son exécution. Le Conseil d’État estime que cette disposition est superfétatoire, mais peut s’en accommoder. Article 4 Sans observation. Article 5 L’article 5 détermine le point de contact unique, à savoir le Haut-Commissariat à la Protection nationale, ci-après « HCPN ». L’article sous examen transpose fidèlement l’article 8, paragraphes 3 et 4, de la directive NIS
  6. Article 6 L’article sous revue désigne le HCPN en tant qu’autorité compétente chargée de la gestion des incidents de cybersécurité majeurs. L’article sous examen transpose fidèlement l’article 9, paragraphe 1er, de la directive NIS
  7. Le Conseil d’État note que le renvoi à l’article 16 de la directive NIS2 à l’endroit de l’article sous examen peut être maintenu, s’agissant d’une disposition de la directive qui n’est pas, et n’a pas à être, transposée en droit 6 national. Cette observation vaut également pour les articles 8 et 9 du projet de loi sous avis. Article 7 L’article sous revue, qui transpose l’article 10 de la directive NIS2, désigne deux centres de réponse aux incidents de sécurité informatique, ci-après « CSIRT ». Le HCPN constitue le CSIRT pour les administrations et services de l’État, les établissements publics ainsi que les entités critiques, tandis que le Computer Incident Response Center Luxembourg, ci-après « CIRCL », constitue le CSIRT pour tous les autres cas. Le Conseil d’État renvoie par ailleurs aux considérations générales en ce qui concerne le renvoi, au paragraphe 1er, à la directive (UE) 2022/2557 précitée. Article 8 La disposition sous examen transpose l’article 11, paragraphes 3 et 4, de la directive NIS2 en énumérant les tâches des CSIRT. Le Conseil d’État constate que la transposition n’est pas fidèle sur les deux points suivants : Tout d’abord, le paragraphe 1er de l’article 11 de la directive NIS2 n’est pas repris par le projet de loi sous avis. Or, les auteurs reprennent les critères énoncés dans ce paragraphe dans le commentaire des articles, en énumérant les « exigences qui visent à garantir un niveau élevé de disponibilité, de confidentialité et de continuité de leur service », que les CSIRT doivent respecter. Le Conseil d’État estime que ces dispositions doivent figurer dans la loi et s’oppose formellement à l’article sous revue pour transposition incomplète de la directive. D’autre part, le point 3° du paragraphe 1er de la disposition sous revue diffère légèrement de la lettre c) du paragraphe 2 de l’article 11 de la directive. En effet, la directive vise la réaction aux incidents et l’assistance aux entités essentielles et importantes concernées « le cas échéant », tandis que le projet de loi vise la réaction aux incidents et l’assistance aux entités essentielles et importantes concernées « à leur demande ». La directive ne subordonne pas l’action du CSIRT à une telle demande. Le Conseil d’État doit dès lors s’opposer formellement à la disposition sous revue pour transposition incorrecte de la directive. Par ailleurs, il est encore relevé qu’au paragraphe 1er, point 1°, de l’article sous revue, les auteurs ont omis les termes « au niveau national » par rapport au libellé de l’article 11, paragraphe 3, lettre a), de la directive NIS2, sans que cette omission ne soit commentée. Le Conseil d’État demande de reprendre fidèlement la disposition de la directive. Article 9 L’article 9 désigne le CIRCL en tant que coordinateur aux fins de divulgation coordonnée des vulnérabilités. Il transpose fidèlement l’article 12, paragraphe 1er, de la directive NIS
  8. 7 Article 10 La disposition sous revue transpose l’article 13 de la directive et a trait à la coopération et au partage d’informations entre les autorités compétentes, les CSIRT et le point de contact unique désignés par le projet sous avis, ainsi qu’à la coopération avec les autorités compétentes en vertu d’autres dispositifs, tant nationaux qu’européens, tels qu’en matière de protection des données à caractère personnel, dans le domaine de la sûreté de l’aviation civile et des services de confiance des transactions électroniques. Le Conseil d’État n’a pas d’observation à formuler, sauf à renvoyer aux considérations générales en ce qui concerne le renvoi, aux paragraphes 3 et 4, à la directive (UE) 2022/2557 précitée. Article 11 La disposition sous examen transpose l’article 3 de la directive NIS2, en définissant les entités essentielles au paragraphe 1er et les entités importantes au paragraphe
  9. Les paragraphes 3 et 4 ont trait aux modalités d’établissement d’une liste de ces entités essentielles ou importantes
  10. Le Conseil d’État comprend que la distinction entre entités essentielles et entités importantes tient au degré de criticité de ces entités en matière de cybersécurité. Les articles suivants du projet de loi sous revue précisent l’étendue des obligations des entités et la nature des mesures de supervision et d’exécution pouvant être prises par les autorités compétentes, qui varient en fonction du caractère « essentiel » ou « important » de l’entité. Cette distinction tient donc un rôle particulièrement important dans la définition des devoirs des entités concernées. Or, le Conseil d’État constate que le point 5° ne donne pas les conditions de détermination de la nature « essentielle » d’une entité y visée. En effet, le point en question dit que sera considérée comme entité essentielle « toute autre entité d’un type visé à l’annexe I ou II qui est identifiée par l’autorité compétente en tant qu’entité essentielle en vertu de l’article 1er, paragraphe 2, points 2° à 5° ». Les points 2° à 5° de l’article 1er, paragraphe 2, ne permettent cependant pas de déterminer la nature « essentielle » ou « importante » d’une entité, mais se bornent à fixer certaines catégories d’entités tombant dans le champ d’application de la loi en projet. Le Conseil d’État relève toutefois que le texte sous examen reprend la formulation de la directive qui souffre de la même imprécision. Lors de l’entrevue qui s’est tenue en date du 3 juillet 2024, il a été expliqué que le mécanisme de la qualification des entités en tant qu’entité essentielle ou entité importante en vertu de l’article 1er, paragraphe 2, points 2° à 5°, correspond à celui qui est prévu par la loi précitée du 29 mai 2019 transposant la directive NIS1, à savoir que les autorités compétentes opèrent cette qualification. Le Conseil d’État relève toutefois qu’aucune procédure explicite n’est prévue dans ce contexte par le texte en projet. Il propose aux auteurs de s’inspirer de la législation belge pour compléter le projet de loi sous avis à cet égard
  11. La Commission a d’ores et déjà adopté les lignes directrices relatives à l’application de l’article 3, paragraphe 4, de la directive NIS
  12. 8 Loi (belge) établissant un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général pour la sécurité publique du 26 avril 2024 (art. 11). 8 7 En ce qui concerne le paragraphe 1er, point 6°, le Conseil d’État renvoie encore aux considérations générales au sujet du renvoi à la directive (UE) 2022/2557 précitée. Le Conseil d’État constate qu’en vertu du paragraphe 4, les entités visées ont l’obligation de communiquer les informations pertinentes aux autorités compétentes, l’absence de communication étant sanctionnée en vertu de l’article 25 du projet de loi sous avis. La loi reste cependant muette sur le délai fixé pour cette déclaration. Le Conseil d’État relève que l’absence de l’indication d’un délai implique que les entités devront accomplir cette communication le jour même de l’entrée en vigueur de la loi en projet. Il s’y ajoute que le cas des entités futures tombant ultérieurement dans le champ d’application de la loi en projet n’est pas prévu. Il recommande donc aux auteurs d’ajouter un délai endéans lequel les entités ont l’obligation de faire leur déclaration, en veillant toutefois à une mise en œuvre compatible avec les obligations découlant de la directive NIS
  13. Il est noté qu’un tel délai est par ailleurs d’ores et déjà prévu au paragraphe 4, alinéa 2, de la disposition sous examen pour la communication par les entités visées de toute modification desdites informations. Le Conseil d’État s’interroge sur l’articulation entre le paragraphe 4, alinéa 3, et le paragraphe
  14. En effet, le paragraphe 4, alinéa 3, prévoit la création d’un mécanisme d’enregistrement obligatoire alors que la directive prévoit seulement que les États membres « peuvent mettre en place des mécanismes nationaux permettant aux entités de s’enregistrer elles-mêmes ». Il s’en dégage l’impression que les auteurs du texte entendent faire de l’enregistrement l’événement déclencheur de l’établissement des listes d’entités essentielles et importantes. Cette compréhension est corroborée par la lecture de la dernière phrase de l’alinéa 3 du paragraphe 4 dont il résulte que l’intervention de l’autorité se limite à « confirmer » aux entités leur désignation en tant qu’entité essentielle ou importante. Laisser ainsi l’entière initiative aux entités alors qu’aux termes de la directive ce sont les autorités qui doivent établir lesdites listes n’est cependant pas conforme à la norme européenne. Pour cette raison, le Conseil d’État s’oppose formellement au libellé du paragraphe 4, alinéa 3, de l’article sous revue, qui est source d’insécurité juridique. Enfin, le Conseil d’État note que la généralité de l’expression « mécanisme national » ne permet pas d’identifier ce qu’elle englobe. S’agit-il de formulaires de déclaration mis en ligne par les autorités compétentes ? Est-ce que le mécanisme est le même, s’agissant d’un mécanisme « national », ou peut-il varier en fonction de l’autorité compétente en charge ? Article 12 L’article sous examen transpose le texte de l’article 21 de la directive NIS2, mais rajoute des paragraphes supplémentaires ayant trait à des modalités que l’« autorité compétente [peut préciser] par voie de règlement ou de circulaire ». 9 Concrètement, la CSSF et l’ILR peuvent, en vertu de la disposition sous examen, prendre des règlements ou des circulaires pour préciser un cadre d’analyse de risques approprié et pour déterminer les modalités, le format et les délais de la notification imposée aux entités. Le Conseil d’État rappelle qu’une circulaire n’a aucune valeur juridique à l’égard des personnes visées. Il s’agit d’une directive interne à une autorité gouvernementale ou administrative, y compris les établissements publics
  15. Tel qu’il ressort de la jurisprudence administrative, elles n’ont pas de caractère légal et elles ne constituent pas des actes règlementaires ou des décisions obligatoires pour les administrés. Elles ne sont obligatoires que pour les fonctionnaires et ne s’imposent ni aux tribunaux ni aux personnes étrangères à l’administration. Elles doivent garder en principe un caractère interne à l’administration, en ce qu’elles règlementent la manière dont les fonctionnaires doivent accomplir leur mission. Une circulaire doit se borner à interpréter les textes de loi en vigueur, sans pouvoir fixer des règles nouvelles. 10 En ce qui concerne le renvoi à l’article 22, paragraphe 1er, de la directive NIS2, le Conseil d’État peut s’en accommoder pour les mêmes raisons que celles énoncées à l’endroit de l’article
  16. Article 13 La disposition sous examen prévoit la responsabilisation des organes de direction des entités essentielles et importantes et transpose l’article 20 de la directive NIS
  17. Article 14 L’article 14 a trait à la notification des incidents importants, tels qu’ils sont définis au paragraphe 3 de cette même disposition, par les entités essentielles et importantes, prévoyant notamment la procédure et les modalités de cette notification. L’article sous examen transpose l’article 23 de la directive NIS
  18. Son non-respect est sanctionné en vertu de l’article 26 du projet de loi sous avis. Le paragraphe 3, alinéa 2, prévoit que les autorités compétentes peuvent préciser les paramètres et modalités des notifications des incidents importants « par voie de règlement ou de circulaire ». Tel que relevé à l’endroit de l’article 12, la circulaire n’a pas de valeur juridique à l’égard des entités visées, de sorte qu’il convient de supprimer le renvoi à cette dernière et de maintenir uniquement le renvoi aux règlements pris par les autorités compétentes. Le Conseil d’État constate encore que la disposition sous revue contient une certaine marge d’indétermination dans la formulation des comportements sanctionnables. S’il peut s’accommoder du texte proposé, c’est en raison du BESCH Marc, Normes et légistique en droit public luxembourgeois, Bruxelles, Larcier, 2019, pp. 99 et suiv. Avis du Conseil d’État du 13 juin 2023 relatif au projet de loi portant modification - de la loi modifiée du 4 décembre 1967 concernant l’impôt sur le revenu ; - de la loi modifiée du 12 mai 2022 instaurant une compensation financière permettant la réduction temporaire du prix de vente de certains produits pétroliers (doc. parl. n° 8195). 10 9 10 fait que le dispositif s’adresse à des professionnels qui, en raison de leur expérience, devraient être à même de cerner avec une sûreté suffisante les caractéristiques essentielles 11 des conduites qui peuvent en l’occurrence faire l’objet d’amendes administratives. 12 Article 15 L’article sous revue vise à transposer l’article 24 de la directive NIS2 et prévoit que « l’autorité compétente peut prescrire aux entités essentielles et importantes d’utiliser des produits TIC, services TIC et processus TIC particuliers qui […] sont certifiés dans le cadre de schémas européens de certification de cybersécurité adoptés conformément à l’article 49 du règlement (UE) 2019/881 ». Le Conseil d’État note que la disposition sous revue prévoit une faculté pour les autorités compétentes qui peuvent ainsi librement choisir d’imposer aux entités sous leur surveillance d’utiliser les produits, services et processus TIC visés par la disposition légale sous revue. Il ne ressort ni du libellé de l’article sous examen, ni du commentaire dudit article, si les décisions y visées constituent des actes individuels ou des actes réglementaires. Or, il aurait été utile de connaître la nature des actes qui seront pris par les autorités compétentes sur cette base ainsi que leur relation avec les actes délégués que la Commission européenne est habilitée à adopter en vertu de l’article 24, paragraphe 2, de la directive NIS
  19. Article 16 L’article 16 détermine les critères de compétence territoriale des autorités luxembourgeoises et transpose l’article 26 de la directive NIS
  20. Le Conseil d’État constate qu’à la dernière phrase du paragraphe 3 de l’article sous revue, il est question d’une « action en justice » à intenter par « l’État luxembourgeois » contre l’entité qui n’a pas désigné de représentant dans l’Union européenne pour violation de la loi en projet, sans autre précision quant à l’action à intenter, la juridiction compétente et la procédure applicable. Tel qu’il a déjà été rappelé à l’endroit de l’article 1er, chaque État membre est tenu de donner aux directives une exécution qui répond pleinement aux exigences de clarté et de certitude des situations juridiques imposées par l’Union européenne, dans l’intérêt des personnes concernées. À cette fin, les dispositions d’une directive doivent être mises en œuvre non seulement avec une force contraignante incontestable, mais également avec la spécificité, la précision et la clarté requises, afin que soit satisfaite l’exigence de sécurité juridique. Or, la disposition sous examen ne respecte pas ces exigences, de sorte que le Conseil d’État s’oppose formellement à l’article 16, paragraphe 3, pour transposition incorrecte de la directive. De plus, le principe de la sécurité juridique a également été consacré au niveau national par la Cour constitutionnelle comme ayant valeur constitutionnelle
  21. Cour const., arrêt n° 134/18 du 2 mars 2018 (Mém. A. n° 198 du 20 mars 2018). Avis du Conseil d’État du 16 novembre 2021 relatif au projet de loi portant modification de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS (doc. parl. n° 7767), p.
  22. 13 Cour const., arrêt n° 152/21 du 22 janvier 2021 (Mém. A n° 72 du 28 janvier 2021). 11 11 12 Article 17 La disposition sous revue transpose l’article 27 de la directive NIS2 et impose à certaines entités limitativement énumérées la transmission de plusieurs informations en vue de la mise en place d’un registre par l’ENISA qui est à disposition des autorités compétentes sur demande, tout en veillant à la confidentialité des informations en question. Le texte du projet de loi ne reprend pas l’exigence « sans retard injustifié » pour la transmission des informations collectées par le point de contact unique national à l’ENISA. S’agissant du rapport avec une agence de l’Union européenne, le Conseil d’État peut s’accommoder de cette différence de texte. Pour les mêmes raisons que celles énoncées à l’article 6, le Conseil d’État peut s’accommoder avec le renvoi, au paragraphe 1er, alinéa 2, de la disposition sous examen, à la directive NIS
  23. Article 18 L’article sous examen prévoit un certain nombre d’obligations à charge des registres de noms de domaine de premier niveau et des entités fournissant des services d’enregistrement de noms de domaine, tel que notamment la collecte et le maintien à jour de données d’enregistrement de noms de domaine, la mise en place de politiques et de procédures visant à garantir l’exactitude et la complétude des données collectées, leur publication à l’exclusion des données à caractère personnel et l’accès à ces données pour des demandeurs d’accès légitimes. Il transpose ainsi l’article 28 de la directive NIS
  24. Le Conseil d’État note que l’article est sanctionné en vertu de l’article 25 du projet de loi soumis pour avis. Le paragraphe 6 impose une obligation de coopération aux registres et entités visés, sans préciser l’objectif ou l’étendue de cette coopération. Or, le texte de la directive est plus précis : « Le respect des obligations énoncées aux paragraphes 1 à 5 ne saurait entraîner de répétition inutile de la collecte des données d’enregistrement de noms de domaine. À cet effet, les États membres imposent aux registres des noms de domaine de premier niveau et aux entités fournissant des services d’enregistrement de noms de domaine de coopérer entre eux ». Le Conseil d’État comprend que la coopération visée par la directive a comme objectif l’échange des données d’enregistrement de noms de domaine. Il demande, sous peine d’opposition formelle pour transposition incomplète de la directive, de compléter le paragraphe 6 par le ou les objectifs de la coopération visée. Articles 19 et 20 Sans observation. 12 Article 21 L’article 21 a trait aux méthodes de supervision pouvant être mises en place par les autorités compétentes et transpose l’article 31 de la directive NIS
  25. Au paragraphe 1er, l’ajout à la première phrase par rapport au texte de la directive est superfétatoire, cet aspect étant couvert par la deuxième phrase. Article 22 L’article sous examen énonce les pouvoirs confiés aux autorités compétentes, donc à l’ILR et à la CSSF, pour l’exercice de leurs missions de supervision et d’exécution à l’égard des entités essentielles et transpose l’article 32 de la directive NIS
  26. Le Conseil d’État rappelle tout d’abord qu’en vertu de l’article 129 de le Constitution, la loi détermine l’objet, l’organisation et les compétences des établissements publics. En vertu du principe de spécialité, consacré par ce même article, la portée de la mission de l’établissement public, en ce compris les pouvoirs dont il dispose, le cas échéant, pour exercer sa mission, doit être cernée avec précision par le législateur. En ce qui concerne les paragraphes 1er à 3, la disposition sous revue énumère de manière limitative et suffisamment précise les pouvoirs conférés aux autorités compétentes et n’appelle dès lors pas d’observation. Par contre, au paragraphe 4, point 9°, le projet soumis pour avis se limite à reprendre la disposition de la directive, sans pour autant mettre en place un mécanisme « conformément au droit national », comme le prévoit la directive. Le texte sous revue laisse ainsi subsister une insécurité juridique quant à la nature de l’organe compétent ou de la juridiction en charge d’exercer les pouvoirs décrits sous ce point, en prévoyant : «
(4)Les autorités compétentes, lorsqu’elles exercent leurs pouvoirs d’exécution à l’égard d’entités essentielles, ont le pouvoir : 1° […] 9° d’imposer ou de demander aux organes compétents ou aux juridictions d’imposer une amende administrative en vertu de l’article 26 en plus de l’une ou l’autre des mesures visées aux points 1° à 8° du présent paragraphe. » Quel est l’organe compétent ? Comment une demande « d’imposer une amende administrative » est-elle adressée à une juridiction ? Quelle est la juridiction visée ? En réitérant l’observation reprise à l’endroit de l’article 1er, le Conseil d’État rappelle que chaque État membre est tenu de donner aux directives une exécution qui répond pleinement aux exigences de clarté et de certitude des situations juridiques imposées par l’Union européenne, dans l’intérêt des personnes concernées. À cette fin, les dispositions d’une directive doivent être mises en œuvre non seulement avec une force contraignante incontestable, 13 mais également avec la spécificité, la précision et la clarté requises, afin de satisfaire à l’exigence de sécurité juridique. 14 Le point 9°, dans sa teneur actuelle, ne satisfaisant pas aux exigences sus-énoncées et ne s’intégrant pas de manière cohérente dans le système de sanctions administratives instauré par la loi en projet aux articles 25 et 26, le Conseil d’État doit s’opposer formellement au texte sous revue pour insécurité juridique et non-respect des exigences européennes en matière de transposition des directives. Cette observation vaut également pour le paragraphe 5, points 1° et 2°, de l’article sous examen. Sous peine d’opposition formelle pour insécurité juridique et non-respect des exigences européennes en matière de transposition des directives, le Conseil d’État demande de reformuler les points 1° et 2° du paragraphe en question avec la spécificité, la précision et la clarté requises. Au paragraphe 9, il convient de supprimer les termes « au sein du même État membre ». Par ailleurs, le Conseil d’État renvoie aux considérations générales en ce qui concerne le renvoi dans un texte légal national à une directive européenne qui doit être transposée en droit national. Article 23 L’article sous examen énonce les pouvoirs confiés aux autorités compétentes pour l’exercice de leurs missions de supervision et d’exécution à l’égard des entités importantes et transpose l’article 33 de la directive NIS
  1. En ce qui concerne le paragraphe 4, point 8°, le Conseil d’État doit s’y opposer formellement pour les mêmes raisons que celles évoquées à l’endroit de l’article 22, paragraphe 4, point 9°, pour insécurité juridique et non-respect des exigences européennes en matière de transposition des directives. Au paragraphe 5, le Conseil d’État rappelle que le procédé de législation par référence à un texte existant « mutatis mutandis » est en principe à écarter, mais il peut s’en accommoder dans le présent contexte étant donné que la disposition sous examen reprend à cet égard le libellé de la directive NIS
  2. Article 24 Sans observation. Article 25 La disposition sous examen transpose l’article 36 de la directive, imposant aux États membres de déterminer « le régime des sanctions applicables aux violations des dispositions nationales adoptées conformément à la présente directive ». Avis du Conseil d’État du 23 décembre 2022 relatif au projet de loi portant transposition de la DIRECTIVE (UE) 2019/1937 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union (doc. parl. n° 7945). 14 14 Le Conseil d’État relève que le renvoi à l’« article 17, paragraphes 1er et 2 » est incorrect en ce que l’alinéa 2 du paragraphe 1er prévoit une obligation à charge du point de contact unique et non pas à charge des entités visées. Il demande ainsi de reformuler ce texte comme suit : « article 17, paragraphes 1er, alinéa 1er, et 2 ». Article 26 L’article 26 du projet sous avis vise à transposer l’article 34 de la directive et a trait plus spécifiquement aux amendes administratives et aux astreintes pouvant être prononcées à l’égard des entités essentielles ou importantes en cas de violation de la loi en projet. Le Conseil d’État constate que les comportements sanctionnables en vertu des paragraphes 4 et 5 de l’article sous examen sont définis à travers une référence tout à fait générale aux articles 12 et 14 du projet de loi. Les paragraphes 5 à 10 de l’article 14 ne comportent cependant pas d’obligation sanctionnable à charge des entités concernées. Le Conseil d’État propose ainsi de limiter le renvoi aux paragraphes 1er à 4 de l’article
  3. Toujours aux paragraphes 4 et 5, le Conseil d’État se doit de constater que la fixation du montant des amendes administratives y prévue est contradictoire en visant un « montant maximal s’élevant à au moins […] ». Le libellé proposé par les auteurs est repris tel quel de l’article 34 de la directive NIS
  4. Or, si la directive peut imposer aux États membres de veiller à ce que le non-respect des obligations à charge des entités visées soit assorti d’amendes administratives dont le montant maximum doit s’élever à au moins un montant X, il appartient aux États membres de fixer une fourchette précise pour ces amendes dont le montant maximal est supérieur ou égal au montant prévu par la directive européenne. Les textes des paragraphes 4 et 5 de l’article sous examen, dans leur teneur actuelle, sont ainsi incohérents, de sorte que le Conseil d’État doit s’y opposer formellement pour contrariété au principe de légalité des peines prévu à l’article 19 de la Constitution
  5. Articles 27 et 28 Sans observation. Article 29 Concernant le nouvel article 9bis, paragraphe 1er, lettre g), que l’article sous examen vise à insérer à la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale, le Conseil d’État rappelle ses considérations générales en ce qui concerne le renvoi à la directive (UE) 2022/2557 précitée. Article 30 L’article sous examen transpose l’article 44 de la directive NIS
  6. Il vise à abroger les articles 1er à 14 de la loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 15 Cour const., arrêt n° 122/16 du 27 mai 2016 (Mém. A n° 97 du 2 juin 2016, p. 1826). 15 2016 […]. Les seules dispositions de ladite loi qui subsisteraient sont les dispositions modificatives et l’article relatif à l’entrée en vigueur. Le Conseil d’État relève qu’à l’occasion de l’abrogation d’un acte comportant à la fois des dispositions autonomes et des dispositions modificatives, il n’y a pas lieu d’excepter expressément ces dernières de l’abrogation. En effet, par l’effet de l’abrogation d’une loi contenant tant des dispositions autonomes que des dispositions modificatives dans son intégralité, seuls les textes autonomes sont abrogés, tandis que les modifications apportées par cet acte continuent à garder leur entière validité dans le cadre du texte originel dans lequel elles ont été intégrées. 16 Il convient partant de reformuler l’article 30 comme suit : « La loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale est abrogée. » Articles 31 et 32 Sans observation. Annexe I À l’annexe I, secteur «
  7. Énergie », sous-secteur « Électricité », deuxième tiret, il convient de corriger la référence erronée pour viser « l’article 1er, point 25° 24°, de la loi modifiée du 1er août 2007 relative à l’organisation du marché de l’électricité ». Annexe II Sans observation. Observations d’ordre légistique Observations générales Il convient de viser systématiquement les « États membres de l’Union européenne ». Il y a lieu d’ajouter les termes « Grand-Duché de » avant le terme « Luxembourg » aux endroits pertinents, tel que notamment à l’article 1er, paragraphe 2, point 2°. Article 1er Au paragraphe 1er, alinéa 1er, il convient d’écrire « recommandation 2003/361/CE de la Commission des Communautés européennes du 16 BESCH Marc, Normes et légistique en droit public luxembourgeois, Bruxelles, Larcier, 2019, pp. 591-
  8. 16 6 mai 2003 […] ». Cette observation vaut également pour l’article 11, paragraphe 1er, points 1° et 3°. Au paragraphe 6, in fine, il y a lieu d’ajouter la date de loi en question pour écrire « loi précitée du 15 juin 2004 ». Au paragraphe 7, alinéa 2, points 1° et 2°, le Conseil d’État relève que lorsqu’on se réfère au premier paragraphe, les lettres « er » sont à insérer en exposant derrière le numéro pour écrire « 1er ». Cette observation vaut également pour l’article 25, paragraphe 1er, phrase liminaire. Au paragraphe 7, alinéa 3, le Conseil d’État propose de supprimer le terme « et » après les termes « Commission européenne ». Article 2 Au point 30°, il y a lieu d’accorder le terme « centralisées » au genre masculin pluriel. Article 3 À l’alinéa 1er, le Conseil d’État relève que les institutions, ministères, administrations, services, organismes, etc., prennent une majuscule au premier substantif uniquement, de sorte qu’il convient d’écrire « Institut luxembourgeois de régulation ». Cette observation vaut également pour les articles 4, 20, paragraphe 1er, point 2°, et 25, paragraphe 5, première phrase. À l’alinéa 3, il faut veiller à reproduire l’intitulé de l’acte en question tel que publié officiellement pour écrire « loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier ». Toujours à l’alinéa 3, il y a lieu de remplacer les termes « dans les mesures prises » par les termes « des mesures prises ». Article 5 Il est indiqué d’écrire « Commission européenne ». Cette observation vaut également pour l’article 27, paragraphe 1er, alinéa 2, troisième phrase. Article 9 À l’alinéa 1er, point 2°, il est relevé qu’aux énumérations, le terme « et » est à omettre à l’avant-dernier élément comme étant superfétatoire. Cette observation vaut également pour l’article 17, paragraphe 1er, alinéa 1er, point 5°. Article 12 Au paragraphe 1er, alinéa 2, première phrase, il y a lieu de supprimer le terme « au » après les termes « mesures visées ». 17 Article 14 Au paragraphe 1er, première phrase, il y a lieu d’accorder le terme « visés » au singulier. Article 18 Au paragraphe 2, première phrase, il convient d’écrire « base des données ». Article 22 Au paragraphe 4, point 5°, le terme « affectées » est à accorder au genre masculin pluriel. Au paragraphe 5, alinéa 3, il y a lieu d’accorder le terme « publiques » au singulier. Article 23 Au paragraphe 3, il convient d’accorder le terme « point » au pluriel. Article 26 Au paragraphe 6, le Conseil d’État signale que lors des renvois, les différents éléments auxquels il est renvoyé sont à séparer par des virgules, en écrivant « l’article 25, paragraphes 2 à 5 ». Cette observation vaut également pour l’article 29, point 3°, à l’article 9bis, paragraphe 2, lettre c). Article 29 Au point 1°, le Conseil d’État suggère de reformuler la phrase liminaire comme suit : « À l’article 2, le point 5° est supprimé et l’article 2 est complété remplacé comme suit : ». Au point 1°, à l’article 2, points 5, 6 et 8 à 11, le Conseil d’État constate que la date relative à l’acte en question fait défaut. Une fois que celle-ci est connue, elle devra être insérée aux endroits pertinents. Cette observation vaut également pour les points 3° et 4°, ainsi que pour l’article
  9. Au point 1°, il convient d’ajouter un point-virgule après les guillemets fermants in fine. Au point 2°, lettre c), phrase liminaire, il convient de supprimer la virgule après les termes « lettre b) ». Il y a en outre lieu de faire précéder le nouveau texte de l’indication de la lettre correspondante, pour écrire : « c) au paragraphe 1erbis, la lettre b) est remplacée par la disposition suivante : « b) attributions dans sa fonction de Centre gouvernemental de réponse aux incidents de sécurité informatique (CSIRT), ci-après « GOVCERT.LU ». » ; ». 18 Au point 2°, lettre e), par analogie à l’observation précédente, il convient de faire précéder le nouveau texte de l’indication du numéro de paragraphe correspondant, pour écrire : « e) le paragraphe 1erquater est remplacé par le libellé suivant : « (1quater) Dans sa fonction de GOVCERT.LU, […]. » ; ». Au point 2°, lettre e), au paragraphe 1erquater, lettre c), point 3, il convient d’ajouter une virgule avant les termes « à défaut ». Au point 2°, lettre e), au paragraphe 1erquater, lettre d), points 2 et 3, il y a lieu d’ajouter les termes « de Luxembourg » après le terme « Grand-Duché ». Au point 2°, lettre f), s’agissant du dernier élément d’une énumération, il y a lieu de remplacer le point-virgule par un point final. Aux points 3° et 4°, le Conseil d’État rappelle qu’à l’occasion du remplacement d’articles dans leur intégralité ou d’insertion d’articles, le texte nouveau est précédé de l’indication du numéro correspondant qui est souligné, au lieu d’être mis en gras, pour mieux le distinguer du numéro des articles de l’acte modificatif. Ainsi délibéré en séance plénière et adopté à l’unanimité des 18 votants, le 8 octobre
  10. Le Secrétaire général, Le Président, s. Marc Besch s. Marc Thewes 19

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.