Projet de loi n°83641 concernant des mesures destinées à assurer un niveau élevé de cybersécurité et portant modification de : 1° la loi modifiée du 1

Luxembourg, le 1er octobre 2025 Objet : Projet de loi n°83641 concernant des mesures destinées à assurer un niveau élevé de cybersécurité et portant modification de : 1° la loi modifiée du 14 août 2000 relative au commerce électronique ; 2° la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection Nationale ; 3° la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques - Amendements gouvernementaux. (6613bisVKA/MLE) Saisine : Ministre d’Etat (22 mai 2025) Le projet de loi n°8364 (ci-après le « Projet initial ») a pour objet de transposer en droit national la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n°910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (ci-après la « Directive NIS 2 »). La Chambre de Commerce l’a avisé le 31 juillet 20242 (ci-après l’« Avis initial »). Le Projet initial a fait l’objet d’une série d’amendements gouvernementaux3 en date du 13 mai 2025 (ci-après, les « Amendements »), qui visent à répondre aux oppositions formelles et aux observations émises par le Conseil d’Etat dans son avis du 8 octobre

1. Dans le présent avis, la Chambre de Commerce entend, d’une part, commenter les amendements gouvernementaux (I) et, d’autre part, formuler des commentaires additionnels quant au projet de loi (II). Lien vers les amendements gouvernementaux sur le site de la Chambre des Députés Avis initial de la Chambre de Commerce du 31 juillet 2024 sur le Projet initial Le Projet initial a fait l’objet de 48 amendements au total. 4 Lien vers l’avis du Conseil d’Etat du 8 octobre 2024 1 2 3 2 En bref ➢ La Chambre de Commerce rappelle ses commentaires formulés dans son Avis initial du 31 juillet 2024, visant à préciser différents éléments relatifs à la mise en œuvre de la future loi, et les propositions de modifications afférentes au Projet initial, dans un souci de sécurité juridique et de proportionnalité pour les opérateurs visés par les obligations prévues par le texte. ➢ En outre, la Chambre de Commerce estime nécessaire d’affiner le champ d’application du Projet initial sur plusieurs aspects : - la mention expresse du critère d’indépendance d’une entité vis-à-vis de ses entreprises partenaires et entreprises liées, en ce qui concerne le réseau et les systèmes d’information utilisés, pour l’évaluation du critère de la taille des entités, - la prise en compte uniquement de l’activité principale pour l’appréciation du critère du type d’activité des entités, et - l’exclusion des entités exerçant des activités de fabrication d’équipements électriques destinés aux particuliers. ➢ La Chambre de Commerce est en mesure d’approuver les amendements gouvernementaux sous avis, sous réserve de la prise en compte de ses commentaires. Considérations générales La Chambre de Commerce rappelle qu’elle avait formulé une série de commentaires dans son Avis initial ainsi que des propositions de modification du Projet initial. Si les Amendements ont modifié les dispositions relatives au délai et aux modalités d’enregistrement des entités visées par la future loi (points également identifiés dans l’Avis initial), ses autres observations n’ont pas été prises en compte. Partant, la Chambre de Commerce réitère ses commentaires et les propositions de modifications du Projet initial5 qui sont à ses yeux importants, dans un souci de sécurité juridique, pour les opérateurs concernés et pour faciliter la mise en conformité des entités aux obligations leur incombant. La Chambre de Commerce estime toujours utile de préciser, en ce qui concerne la sécurité de la chaîne d’approvisionnement, si tous les fournisseurs et prestataires de services d’une entité doivent être pris en compte, ou si l’on doit considérer uniquement ceux présentant un certain niveau de risque selon le type de produit ou service fourni mais également de fournir des orientations sur le niveau de cybersécurité attendu des fournisseurs et des prestataires, et le niveau de vérification adéquat à mettre en place par les entités. 5 Voir l’Avis initial, page 15 « Commentaire des articles » 3 En outre, la Chambre de Commerce réitère la nécessité de définir un standard de formation auquel doivent se conformer les membres des organes de direction des entités visées ainsi que leur personnel, ce standard devant être précisé par les autorités compétentes par voie de règlement ou de circulaire. De plus, concernant les mesures de supervision et d’exécution ainsi que les sanctions, la Chambre de Commerce rappelle qu’il serait pertinent d’apporter des précisions pour expliciter la gradation des sanctions et pour assurer la proportionnalité des mesures à la gravité des violations constatées. I. Commentaires des amendements gouvernementaux Les Amendements visent à répondre aux oppositions formelles et aux recommandations sur le fond, ainsi qu’aux observations d’ordre légistique, formulées par le Conseil d’Etat dans son avis du 8 octobre
2. Les Amendements d’ordre purement légistique n’appellent pas de commentaires spécifiques de la part de la Chambre de Commerce. Quant aux autres Amendements, elle salue les modifications apportées au Projet initial qui visent à assurer une transposition complète et fidèle de la Directive NIS
3. La Chambre de Commerce se félicite en particulier des modifications apportées par l’amendement 17, à savoir de ce qu’un délai de 2 mois à compter de l’entrée en vigueur de la future loi ait été expressément prévu à l’article 11, paragraphe 4, alinéa 1er du Projet initial pour la communication des informations pertinentes aux autorités compétentes par les entités visées. Cet amendement est conforme au commentaire qu’elle avait formulé à ce sujet dans son Avis initial, lequel rejoint la recommandation formulée par le Conseil d’Etat. En outre, l’amendement 18 modifie l’article 11, paragraphe 4, alinéa 3 du Projet initial pour rendre facultatif l’enregistrement des entités visées au moyen des mécanismes nationaux mis en place par les autorités compétentes, tout en maintenant la confirmation par l’autorité compétente de la désignation en tant qu’entité essentielle ou importante, ce que la Chambre de Commerce salue. La Chambre de Commerce n’a pas de commentaires à formuler concernant les autres amendements gouvernementaux. II. Commentaires additionnels concernant la délimitation du champ d’application du Projet initial La Chambre de Commerce souhaite également formuler des remarques complémentaires concernant le Projet initial. En effet, elle estime nécessaire de préciser davantage le champ d’application sur plusieurs aspects, et d’apporter les modifications afférentes au texte. Concernant la prise en compte du critère de l'indépendance d’une entité vis-à-vis de ses entreprises partenaires et entreprises liées, en ce qui concerne le réseau et les systèmes d’information utilisés, pour l’évaluation du critère de taille de l’entité Pour délimiter son champ d’application et les entités visées, l’article 1er du Projet initial prévoit notamment un critère de taille des entreprises (« size-cap »), par référence à l’article 2 de l’annexe 4 de la recommandation 2003/361/CE de la Commission européenne du 6 mai 2003 concernant la définition des micros, petites et moyennes entreprises
4. En outre, l’article 11 du Projet initial définit les entités qui relèvent de son champ d’application, en les classant en deux catégories – les entités essentielles et les entités importantes – selon leur degré de criticité au regard du secteur concerné, du type de service fourni, ainsi que de leur taille. A cet égard, la Chambre de Commerce relève que le Projet initial ne fait pas expressément référence au degré d’indépendance d’une entité vis-à-vis de ses entreprises partenaires et entreprises liées (ci-après le « critère d’indépendance ») dans le cadre de l’évaluation du critère de la taille de l’entité. De même, les Amendements n’apportent pas de modifications substantielles aux dispositions relatives au champ d’application de la future loi, ni à l’appréciation du critère de taille précité. Il serait opportun, aux yeux de la Chambre de Commerce, que le Projet Initial, tel qu’amendé par les Amendements sous avis, prévoie explicitement la prise en compte du critère d’indépendance des entités vis-à-vis de leurs entreprises partenaires et entreprises liées, en ce qui concerne le réseau et les systèmes d’information utilisés, dans le cadre de l’évaluation de la taille des entités visées. En effet, le considérant n°16 de la Directive NIS 2 fait référence au critère d’indépendance (passages soulignés par la Chambre de Commerce) : « Afin d’éviter que des entités ayant des entreprises partenaires ou des entreprises liées ne soient considérées comme des entités essentielles ou importantes lorsque cela serait disproportionné, les États membres sont en mesure de tenir compte du degré d’indépendance dont jouit une entité à l’égard de ses partenaires et de ses entreprises liées lorsqu’ils appliquent l’article 6, paragraphe 2, de l’annexe de la recommandation 2003/361/CE. En particulier, les États membres sont en mesure de tenir compte du fait qu’une entité est indépendante de son partenaire ou d’entreprises liées en ce qui concerne le réseau et les systèmes d’information qu’elle utilise pour fournir ses services et en ce qui concerne les services qu’elle fournit. Sur cette base, s’il y a lieu, les États membres peuvent considérer qu’une telle entité ne constitue pas une entreprise moyenne en vertu de l’article 2 de l’annexe de la recommandation 2003/361/CE, ou ne dépasse pas les plafonds applicables à une entreprise moyenne prévus au paragraphe 1 dudit article, si, après prise en compte du degré d’indépendance de ladite entité, celleci n’aurait pas été considérée comme constituant une entreprise moyenne ou dépassant lesdits plafonds si seules ses propres données avaient été prises en compte. Cela ne modifie en rien les obligations prévues par la présente directive pour les entreprises partenaires et les entreprises liées qui relèvent du champ d’application de la présente directive. ». Pour rappel, le commentaire de l’article 11 du Projet initial se réfère également au critère d’indépendance (soulignement ajouté par la Chambre de Commerce) : « […] les considérants de la directive NIS 2 donnent des recommandations concernant les entreprises partenaires et les entreprises liées, afin d’éviter que celles-ci seraient considérées comme entités essentielles ou importantes lorsque ceci serait disproportionné Ainsi, une évaluation au cas par cas devrait déterminer le degré d’indépendance de l’entité en question par rapport à ses partenaires et entreprises liées en ce qui concerne le réseau et les systèmes d’information qu’elle utilise pour fournir ses services et en ce qui concerne les services qu’elle fournit. Par conséquent, le degré d’indépendance d’une entité pourra faire en sorte que celle-ci ne dépasse pas les seuils pertinents de la recommandation 2003/361/CE et ne sera donc pas à considérer comme entité essentielle ou importante. […] ». 6 Certaines entités peuvent néanmoins entrer dans le champ d’application du Projet initial indépendamment de leur taille. 5 Toutefois, même si le critère d’indépendance est rappelé dans le commentaire de l’article 11, il n’a pas été expressément intégré dans le texte du Projet initial. Cette omission paraît problématique aux yeux de la Chambre de Commerce car le Projet initial se fonde sur une approche d’auto-enregistrement de la part des entités qui estiment entrer dans le champ d’application de la future loi. Or, le formulaire d’auto-enregistrement7 mis à la disposition des entités par l’Institut Luxembourgeois de Régulation (ILR), qui est une des autorités compétentes pour dresser la liste des entités essentielles et importantes, ne prévoit pas la prise en compte du critère d’indépendance de l’entité, ce qui exclut de facto l’appréciation de ce critère lors de l’évaluation préalable à l’autoenregistrement. La Chambre de Commerce donne à considérer que le critère d’indépendance est expressément prévu par les législations nationales belge et italienne transposant la Directive NIS
5. La Belgique a intégré le critère d’indépendance à l’article 3, paragraphe 2 de la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général pour la sécurité publique (ci-après la « Loi NIS 2 belge ») (passages soulignés par la Chambre de Commerce) : « Section
6. — Champ d’application Art.
7. § 1er. Dans les limites de l’article 4 et sans préjudice de l’article 6, la présente loi s’applique aux entités publiques ou privées d’un type visé à l’annexe I ou II et qui constituent : 1° une entreprise moyenne en vertu de l’article 2 de l’annexe de la recommandation no 2003/361/CE ; ou 2° une entreprise qui dépasse les plafonds prévus au paragraphe 1er du même article de cette annexe. L’article 3, § 4, de l’annexe de la recommandation no 2003/361/CE ne s’applique pas aux fins de la présente loi. §
8. Dans le cadre de l’application de l’article 6, paragraphe 2, de l’annexe de la recommandation n° 2003/361/CE, l’autorité nationale de cybersécurité tient compte du degré d’indépendance dont jouit une entité à l’égard de ses partenaires et de ses entreprises liées, en particulier en ce qui concerne les réseaux et les systèmes d’information qu’elle utilise pour fournir ses services et en ce qui concerne les services qu’elle fournit. Sur base de l’alinéa 1er, l’autorité nationale de cybersécurité considère qu’une telle entité ne constitue pas une entreprise moyenne en vertu de l’article 2 de l’annexe de la recommandation n° 2003/361/CE, ou ne dépasse pas les plafonds applicables à une entreprise moyenne prévus au paragraphe 1 dudit article, si, après prise en compte du degré d’indépendance de ladite entité, celleci n’aurait pas été considérée comme constituant une entreprise moyenne ou dépassant lesdits plafonds si seules ses propres données avaient été prises en compte. Le Roi peut déterminer les critères sur base desquels le degré d’indépendance dont jouit une entité à l’égard de ses partenaires et de ses entreprises liées est évalué. […] ». 7 L’ILR a mis en place un formulaire en ligne aux fins de l’auto-enregistrement des entités visées. 6 Le critère d’indépendance est ainsi explicitement prévu par la Loi NIS 2 belge et l’autorité nationale belge de cybersécurité est chargée de l’appliquer pour apprécier le critère de la taille des entités, sur base d’une approche d’auto-enregistrement des entités qui estiment relever du champ d’application de la Loi NIS 2 belge
9. L’Italie intègre également le critère d’indépendance à l’article 3 de sa législation nationale portant transposition de la Directive NIS 2 – le décret législatif n°138 du 4 septembre 2024 (ci-après la « Loi NIS 2 italienne ») (passages soulignés par la Chambre de Commerce) : « Art. 3 Champ d'application
10. Les entités publiques et privées des types indiqués aux annexes I, II, III et IV, qui font partie intégrante du présent décret, relèvent du champ d'application du présent décret et sont soumises à la juridiction nationale en vertu de l'article
11. Les annexes I et II décrivent les secteurs considérés comme hautement critiques et critiques, respectivement, ainsi que leurs sous-secteurs et types d'entités. Les annexes III et IV décrivent respectivement les catégories d'administrations publiques et les types d'entités supplémentaires auxquels le présent décret s'applique.
12. Ce décret s'applique aux entités des types énumérés aux annexes I et II, qui dépassent les plafonds fixés pour les petites entreprises conformément à l'article 2, paragraphe 2, de l'annexe de la recommandation 2003/361/CE.
13. L'article 3, paragraphe 4, de l'annexe de la recommandation 2003/361/CE de la Commission du 6 mai 2003 ne s'applique pas aux fins du présent décret.
14. Pour déterminer si une entité doit être considérée comme une moyenne ou une grande entreprise au sens de l'article 2 de l'annexe de la recommandation 2003/361/CE article 6, paragraphe 2, de ladite annexe s'applique, sauf si cela n'est pas proportionné, en tenant également compte de l'indépendance de l'entité par rapport à ses entreprises liées en termes de systèmes d'information et de réseau qu'elle utilise pour la prestation de ses services et en termes de services qu'elle fournit. […] »
15. Le critère d’indépendance est ainsi explicitement prévu par la Loi NIS 2 italienne et il est d’application générale pour apprécier la taille de l’entité. La législation italienne prévoit également une approche d’auto-enregistrement des entités qui estiment relever du champ d’application de la loi
16. Toutefois, contrairement au modèle belge, elle ne charge pas l’autorité nationale de cybersécurité de l’appréciation du critère d’indépendance des entités. Partant, afin de remédier à la lacune actuellement constatée dans le Projet initial, la Chambre de Commerce recommande que soit expressément prévue la prise en compte du critère d’indépendance des entités vis-à-vis de leurs entreprises partenaires et entreprises liées, en ce qui concerne le réseau et les systèmes d’information utilisés, aux fins de l’appréciation de la taille des entités visées. La Chambre de Commerce propose en outre que les autorités compétentes nationales intègrent dans leurs formulaires d’auto-enregistrement des questions permettant d’appliquer le critère d’indépendance des entités visées afin d’évaluer de manière plus juste le champ d’application de la loi. Articles 13 et 14 de la Loi NIS 2 Belge L’extrait reproduit ici est une traduction non officielle en français. 10 Article 7 de la Loi NIS 2 italienne 8 9 7 Concernant la prise en compte de l’activité principale pour l’appréciation du critère d’activité de l’entité Le champ d’application de la Directive NIS 2 est élargi par rapport à celui de la Directive NIS 111 afin d’ « assurer une couverture complète des secteurs et des services revêtant une importance cruciale pour les activités économiques et sociétales essentielles dans le marché intérieur »
17. Par conséquent, le champ d’application du Projet initial (transposant la Directive NIS 2) est élargi à de nouveaux secteurs d’activité et de types d’entités. Les annexes I et II du Projet initial spécifient la liste des « secteurs hautement critiques » et des « autres secteurs critiques » visés, ainsi que les types d’entités concernées dans chacun des secteurs
18. Ces annexes sont une transposition fidèle des annexes de la Directive NIS 2, ce que la Chambre de Commerce salue. L’objectif poursuivi par la Directive NIS 2 semble pleinement justifié par la nécessité de protéger les infrastructures critiques et les services essentiels contre les cybermenaces. Toutefois, l’intérêt apparaît plus limité pour des entités qui exercent un type d’activité visé uniquement à titre secondaire ou résiduel, et qui ne relèverait pas du champ d’application de la Directive NIS 2 au titre de leurs activités principales. Les objectifs poursuivis par la Directive NIS 2, pourraient être atteints, tout en limitant le champ d’application du Projet initial aux entités exerçant leurs activités principales dans les secteurs visés aux annexes I et II. A l’inverse, faire peser les obligations sur des entités au titre de leurs activités secondaires dans les secteurs visés aux annexes I et II, serait susceptible d’engendrer des coûts et nécessiterait la mobilisation de ressources qui pourraient s’avérer disproportionnées par rapport à leur exposition réelle aux cybermenaces, d'autant que les conséquences sociétales ou économiques d’une telle exposition demeurent à ce jour non démontrées. En effet, conformément à l’article 12