← Luxembourg

Projet de loi concernant des mesures destinées à assurer un niveau élevé de cybersécurité et portant modification de : 1° la loi modifiée du 14 août 2

CONSEIL D’ÉTAT =============== N° CE : 61.799 N° dossier parl. : 8364 Projet de loi concernant des mesures destinées à assurer un niveau élevé de cybersécurité et portant modification de : 1° la loi modifiée du 14 août 2000 relative au commerce électronique ; 2° la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale ; 3° la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques Avis complémentaire du Conseil d’État (8 décembre 2025) Le Conseil d’État a été saisi pour avis le 12 mai 2025, par le Premier ministre, d’amendements gouvernementaux au projet de loi sous rubrique. Le texte des amendements était accompagné d’un commentaire pour chacun des amendements, d’un tableau de concordance, d’un texte coordonné du projet de loi sous avis intégrant lesdits amendements, d’un « check de durabilité – Nohaltegkeetscheck » ainsi que d’une fiche d’évaluation d’impact. L’avis complémentaire de la Chambre de commerce a été communiqué au Conseil d’État en date du 8 octobre

  1. Considérations générales Les amendements au projet de loi sous rubrique entendent principalement donner suite aux observations formulées par le Conseil d’État dans son avis du 8 octobre
  2. Le Conseil d’État note qu’aucune modification n’est toutefois apportée à l’article 2, point 34, du projet de loi et que les auteurs n’ont pas suivi la recommandation de remplacer les mots « l’organisation judiciaire » par ceux de « les cours et tribunaux », utilisés habituellement. Il donne à considérer que l’emploi de la notion d’« organisation judiciaire » est impropre dans le contexte visé à l’article 2, étant donné qu’elle vise l’ensemble des règles qui ont trait au fonctionnement des juridictions et non pas les organes de l’ordre judiciaire en tant que tels. Partant, le Conseil d’État réitère sa demande de remplacer les mots en question par ceux de « cours et tribunaux ». Examen des amendements Amendement 1 Le Conseil d’État prend acte du remplacement des renvois à la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil par des renvois à la législation nationale transposant cette directive ainsi que de l’intention des auteurs de veiller à ce que le projet de loi sous avis et le projet de loi n° 8307 sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 portant création d’un HautCommissariat à la Protection nationale entrent en vigueur de manière concomitante. Amendements 2 à 8 Sans observation. Amendement 9 L’amendement sous revue entend compléter l’article 1er du projet de loi, relatif au champ d’application, par un nouveau paragraphe 6, compte tenu du choix des auteurs de reprendre l’option prévue par la directive quant à l’exclusion du champ d’application du dispositif sous revue des entités qui exercent leurs activités dans les domaines de la sécurité nationale et de la défense
  3. Cette exclusion s’impose, selon les auteurs, d’une part, suite à un échange avec la Direction de la défense duquel il ressort que le secteur de la défense est d’ores et déjà soumis à une régulation distincte et spécialisée au niveau de l’Organisation du traité de l’Atlantique nord, ci-après « OTAN », et que l’inclusion dudit secteur dans le champ d’application de la loi en projet reviendrait à faire double emploi avec les obligations imposées par l’OTAN, voire à le soumettre à des obligations additionnelles, d’autre part, afin d’éviter de compromettre la confidentialité du travail du Service de renseignement de l’État. Le Conseil d’État note que les auteurs ont toutefois prévu de limiter l’exclusion aux seuls articles 12 à 15 du projet de loi qui ont trait aux obligations des entités visées et au chapitre 6 relatif à la supervision et l’exécution. Voir les considérants

(8)et
(9)et l’article 2, paragraphe 7, de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) : «
(8)L’exclusion des entités de l’administration publique du champ d’application de la présente directive devrait s’appliquer aux entités dont les activités sont principalement exercées dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi, y compris la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière. […]
(9)Les États membres devraient pouvoir adopter les mesures nécessaires pour garantir la protection des intérêts essentiels de sécurité nationale, assurer l’action publique et la sécurité publique et permettre la prévention et la détection des infractions pénales, ainsi que les enquêtes et les poursuites en la matière. À cette fin, les États membres devraient pouvoir exempter des entités spécifiques qui exercent des activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi, y compris la prévention et la détection des infractions pénales, ainsi que les enquêtes et les poursuites en la matière, de certaines obligations prévues par la présente directive en ce qui concerne ces activités. […] Art.
  1. […]
  2. La présente directive ne s’applique pas aux entités de l’administration publique qui exercent leurs activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi, y compris la prévention et la détection des infractions pénales, ainsi que les enquêtes et les poursuites en la matière. » 1 2 En ce qui concerne les entités visées par cette exclusion, la disposition ajoutée à travers l’amendement 9 se réfère aux « entités de l’administration publique qui exercent leurs activités dans les domaines de la défense et de la sécurité nationale ». Le Conseil d’État comprend que les auteurs se sont en l’occurrence inspirés de la formulation de l’article 2, paragraphe 7, de la directive NIS2
  3. Il estime toutefois que la référence aux « domaines de la défense et de la sécurité nationale » est trop large et ne permet pas de cerner avec précision les entités qui relèveront de ce régime d’exception. Le Conseil d’État relève également que le considérant 8 de la directive NIS2 précitée indique à cet égard que « l’exclusion des entités de l’administration publique du champ d’application de la présente directive devrait s’appliquer aux entités dont les activités sont principalement exercées dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi, y compris la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière » et que « […] les entités de l’administration publique dont les activités ne sont que marginalement liées à ces domaines ne devraient pas être exclues du champ d’application de la présente directive ». Le considérant 9 précise que « les États membres devraient pouvoir exempter des entités spécifiques qui exercent des activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi […] ». Au vu de ce qui précède, le Conseil d’État estime que la formulation choisie par les auteurs est source d’insécurité juridique en ce qu’elle ne désigne pas avec précision les entités concernées au niveau national par l’exclusion du champ d’application de la directive. Il doit par conséquent s’opposer formellement au nouveau paragraphe 6 de l’article 1er du projet de loi. À titre de solution, le Conseil d’État préconise de désigner nommément les autorités publiques nationales concernées, ceci à l’instar de l’article 5, paragraphe 4, de la loi belge du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général pour la sécurité publique
  4. De surcroît, le Conseil d’État estime que les entités qui seront exclues du champ d’application de la directive qu’il s’agit de transposer devront être soumises à un régime imposant des mesures comparables à celles prévues par la directive et qui garantissent, pour leurs réseaux et leurs systèmes d’information, un niveau de sécurité adapté et proportionné au risque.
  5. La présente directive ne s’applique pas aux entités de l’administration publique qui exercent leurs activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi, y compris la prévention et la détection des infractions pénales, ainsi que les enquêtes et les poursuites en la matière. 3 «
  6. Sous réserve des articles 8 et 38 ainsi que du titre 2, la présente loi ne s’applique pas : 1° aux services de renseignement et de sécurité visés à l’article 2 de la loi du 30 novembre 1998 organique des services de renseignement et de sécurité ; 2° à l’Organe de coordination pour l’analyse de la menace créé par l’article 5 de la loi du 10 juillet 2006 relative à l’analyse de la menace ; 3° au Ministère de la Défense visé à l’article 1er de l’arrêté royal du 2 décembre 2018 déterminant la structure générale du Ministère de la Défense et fixant les attributions de certaines autorités ; 4° aux services de police et à l’inspection générale visés à l’article 2, 2° et 3°, de la loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux ; […] ». 2 3 Amendement 10 L’amendement 10 vise à modifier l’article 1er, ancien paragraphe 6 devenu le paragraphe 7, en reprenant la formulation proposée par le Conseil d’État dans son avis du 8 octobre
  7. Il n’appelle pas d’observation. Amendement 11 Concernant l’article 1er, paragraphe 7, alinéa 3, le Conseil d’État avait émis une opposition formelle puisque le texte conférait aux autorités compétentes nationales un pouvoir réglementaire qui leur permettrait de déroger aux lignes directrices adoptées par la Commission européenne. Par la suppression de l’alinéa 3 du paragraphe 7 de l’article 1er, cette opposition formelle devient sans objet. Amendement 12 Sans observation. Amendement 13 L’amendement sous revue comporte l’ajout d’un nouveau paragraphe à l’endroit de l’article 8 du projet de loi, ceci afin de tenir compte de l’opposition formelle émise par le Conseil d’État en raison de la transposition incomplète de la directive NIS2 précitée. Le paragraphe 1er reprend désormais fidèlement le texte de l’article 11 de la directive NIS2, de sorte que l’opposition formelle peut être levée. Amendement 14 Les modifications effectuées à travers l’amendement sous rubrique tiennent compte de l’ensemble des observations et de l’opposition formelle formulées par le Conseil d’État à l’égard de l’article 8, paragraphe 1er devenu le paragraphe
  8. L’opposition formelle visée peut ainsi être levée. Amendement 15 Sans observation. Amendement 16 L’amendement 16 entend donner suite à une observation formulée au sujet de l’article 11, paragraphe 1er, point 5, du projet de loi. Le Conseil d’État avait relevé une imprécision au niveau de la détermination des conditions de détermination de la nature « essentielle » d’une entité et l’absence de procédure explicite à cet égard. À titre de solution, les auteurs des amendements proposent désormais de préciser que l’identification de la nature de l’entité en question se fait à travers une « décision administrative individuelle » de l’autorité compétente. 4 En ce qui concerne la formulation, le Conseil d’État estime qu’il convient de viser la « décision » en omettant les mots « administrative individuelle ». L’amendement n’appelle pas d’autre observation. Amendement 17 L’ajout proposé à l’endroit de l’amendement sous revue fait suite à une recommandation du Conseil d’État. Il n’appelle pas d’observation. Amendement 18 L’amendement 18 vise à modifier l’article 11, paragraphe 4, alinéa 3, en vue de tenir compte de l’opposition formelle formulée par le Conseil d’État en raison de l’insécurité juridique dont était entachée la disposition visée. Le Conseil d’État se doit toutefois de constater que la formulation proposée demeure problématique en ce qu’elle offre aux autorités compétentes la possibilité de mettre en place des mécanismes nationaux permettant aux entités de s’enregistrer elles-mêmes. Le Conseil d’État rappelle que l’article 3 de la directive à transposer prévoit que « les États membres peuvent mettre en place des mécanismes nationaux permettant aux entités de s’enregistrer elles-mêmes ». Il appartient dès lors aux États membres de donner aux directives une exécution qui répond pleinement aux exigences de clarté et de certitude des situations juridiques imposées par l’Union européenne, dans l’intérêt des personnes concernées. À cette fin, il incombe au législateur d’opérer un choix et de déterminer clairement si de tels mécanismes seront mis en place. Par conséquent, le Conseil d’État doit s’opposer formellement au nouvel alinéa 3 pour transposition incorrecte de la directive précitée. Le Conseil d’État pourrait d’ores et déjà marquer son accord avec la formulation suivante : « Les autorités compétentes mettent en place des mécanismes nationaux permettant aux entités de s’enregistrer elles-mêmes ». Amendements 19 et 20 Sans observation. Amendement 21 L’article 15 est adapté en vue de répondre à l’observation formulée par le Conseil d’État au sujet de la nature des décisions visées par la disposition en question. Il est désormais indiqué que les décisions sont de nature réglementaire et qu’elles tiennent compte des actes délégués adoptés au niveau européen. L’amendement n’appelle pas d’autre observation. Amendement 22 À travers l’amendement 22, l’article 16, paragraphe 3, du projet de loi est modifié en vue de préciser la procédure applicable lorsque l’autorité compétente est amenée à intenter une action en justice, ceci en réponse à 5 l’opposition formelle émise par le Conseil d’État en raison de la transposition incorrecte de la directive NIS
  9. Le Conseil d’État constate que le paragraphe 3, tel que reformulé par l’amendement, omet toutefois de préciser le tribunal d’arrondissement compétent. Pour cette raison, le Conseil d’État s’oppose formellement au libellé du paragraphe sous revue, qui est source d’insécurité juridique. À cet égard, le Conseil d’État relève qu’il pourrait d’ores et déjà marquer son accord avec une reformulation qui comporterait la désignation précise du président du tribunal d’arrondissement de Luxembourg ou de Diekirch. En effet, les affaires concernant uniquement les entités visées à la disposition sous examen et qui n’ont dès lors pas de siège sur le territoire du Grand-Duché de Luxembourg devront, aux yeux du Conseil d’État, être centralisées devant une seule juridiction afin d’éviter toute discussion concernant la compétence. Amendements 23 et 24 Sans observation. Amendement 25 L’amendement 25 vise à compléter le paragraphe 6 de l’article 18 du projet de loi par la disposition qui figure à l’article 28 de la directive NIS2 afin de garantir une transposition complète de la directive précitée. Le Conseil d’État peut dès lors lever l’opposition formelle émise à l’endroit de la disposition critiquée. Amendement 26 La modification apportée à l’article 21 du projet de loi tient compte de la suggestion formulée par le Conseil d’État et n’appelle pas d’observation. Amendement 27 Sans observation. Amendement 28 Moyennant l’amendement sous rubrique, l’article 22, paragraphe 4, point 9°, a été adapté en vue de tenir compte de l’opposition formelle formulée par le Conseil d’État compte tenu de l’insécurité juridique qui découlait de la disposition visée. Celle-ci précise désormais que le pouvoir d’imposer des amendes incombe aux seules autorités compétentes, à savoir l’Institut luxembourgeois de régulation et la Commission de surveillance du secteur financier. L’adaptation proposée par les auteurs des amendements confère à la disposition la précision et la clarté requises et répond ainsi aux exigences européennes en matière de transposition des directives, de sorte que l’opposition formelle émise peut être levée. Amendement 29 L’article 22, paragraphe 5, points 1° et 2°, du projet de loi est précisé à travers l’amendement 29, ceci afin de répondre à l’opposition formelle émise par le Conseil d’État en raison de l’insécurité juridique dont étaient entachées 6 les dispositions visées et du non-respect des exigences européennes en matière de transposition des directives. Le Conseil d’État relève que les auteurs ont cependant omis de désigner le président du tribunal d’arrondissement compétent, de sorte qu’il doit s’opposer formellement à la disposition sous revue pour insécurité juridique. Il renvoie sur ce point à l’observation formulée à l’endroit de l’amendement
  10. Amendements 30 à 32 Sans observation. Amendement 33 L’amendement 33 modifie l’article 23, paragraphe 4, point 8°, du projet de loi en précisant que le pouvoir d’imposer des amendes incombe aux seules autorités compétentes, de sorte que l’opposition formelle émise à l’égard de cette disposition, qui était source d’insécurité juridique et ne répondait pas aux exigences européennes en matière de transposition des directives, peut être levée. Amendement 34 Sans observation. Amendement 35 À travers les modifications proposées à l’amendement 35, les paragraphes 4 et 5 de l’article 26 du projet de loi sont adaptés afin, d’une part, de préciser une référence et, d’autre part, de lever une incohérence en déterminant de manière non équivoque le montant maximal des amendes pouvant être prononcées en cas de violation de certaines obligations. L’opposition formelle émise pour contrariété des paragraphes en question au principe de légalité des peines prévu à l’article 19 de la Constitution peut ainsi être levée. Amendements 36 à 48 Sans observation. Observations d’ordre légistique Observation préliminaire En application de la circulaire CIRC-MESJ-2025.01 du Premier ministre du 10 février 2025, le Conseil d’État demande de veiller à ce que le texte voté soit muni d’un préambule indiquant la directive à transposer en vue de la promulgation par le Grand-Duc. Observation générale La date relative à la loi sur la résilience des entités critiques fait défaut. Une fois que celle-ci est connue, elle devra être insérée à l’endroit pertinent. 7 Amendement 13 À l’article 8, paragraphe 1er, alinéa 1er, points 1° et 3° à 6°, dans sa teneur amendée, il est suggéré de remplacer les mots « les CSIRT » par le mot « ils ». Dans le même ordre d’idées, au point 2°, il est suggéré de remplacer les mots « les locaux des CSIRT » par ceux de « leurs locaux ». Amendement 15 Contrairement à la phrase liminaire, le Conseil d’État constate que l’amendement sous revue porte uniquement sur l’alinéa 1er et non pas sur l’article 9 dans son ensemble. Amendement 17 À l’article 11, paragraphe 4, alinéa 1er, phrase liminaire, dans sa teneur amendée, il y a lieu d’écrire « à compter de l’entrée en vigueur de la présente loi ». Amendement 21 À l’article 15, première phrase, dans sa teneur amendée, il est signalé que, lorsqu’un acte est cité, il faut veiller à reproduire son intitulé tel que publié officiellement, indépendamment de sa longueur, sauf s’il existe un intitulé de citation. Partant, il y a lieu d’insérer le sigle entouré de parenthèses « (UE) » après la première occurrence du mot « directive ». Amendement 26 À l’article 21, paragraphe 1er, dans sa teneur amendée, il convient d’écrire « Lorsque les autorités compétentes accomplissent leurs tâches de supervision prévues aux articles 22 et 23, les autorités compétentes elles peuvent […]. » Amendement 29 À l’article 22, paragraphe 5, alinéa 1er, deuxième phrase, point 1°, dans sa teneur amendée, la virgule après les mots « juge des référés » est à omettre. Amendement 39 À l’article 29, point 2°, lettre c), phrase liminaire, dans sa teneur amendée, le qualificatif « bis » est à écrire en caractères italiques. Par analogie, cette observation vaut également pour l’amendement 40, à l’article 29, point 2°, lettre e), phrase liminaire, dans sa teneur amendée, en ce qui concerne le qualificatif « quater », ainsi que pour l’amendement 41, à l’article 29, point 2°, lettre f), dans sa teneur amendée, en ce qui concerne le qualificatif « quinquies ». Amendement 46 À l’annexe I, secteur «
  11. Énergie », sous-secteur « a) Électricité », sixième tiret, dans sa teneur amendée, il convient de remplacer les mots « de la loi de 1er août 2007 relative à l’organisation du marché de l’électricité » par 8 les mots « de la loi modifiée du 1er août 2007 relative à l’organisation du marché de l’électricité ». Ainsi délibéré en séance plénière et adopté à l’unanimité des 21 votants, le 8 décembre
  12. Le Secrétaire général, Le Président, s. Marc Besch s. Marc Thewes 9

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.