Loi – niveau élevé de cybersécurité en établissant des règles pour la sécurité des réseaux et

Projet de loi concernant des mesures destinées à assurer un niveau élevé de cybersécurité et portant modification de :

1° la loi modifiée du 14 août 2000 relative au commerce électronique ;

2° la loi modifiée du 23 juillet 2016 portant création d’un HautCommissariat à la Protection nationale ;

3° la loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale ;

4° la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques Texte du projet de loi Chapitre 1er – Champ d’application et définitions

Art. 1er(1) La présente loi s’applique aux entités publiques ou privées d’un type visé à

l’annexe I ou II qui constituent des entreprises moyennes en vertu de l’article 2 de l’annexe de la recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises, ou qui dépassent les plafonds prévus au paragraphe 1er dudit article, et qui fournissent leurs services ou exercent leurs activités au sein de l’Union européenne.

L’article 3, paragraphe 4, de l’annexe de ladite recommandation ne s’applique pas aux fins de la présente loi.

1° les services sont fournis par :

1

2° l’entité est, au Luxembourg, le seul prestataire d’un service qui est essentiel au maintien d’activités sociétales ou économiques critiques ;

3° une perturbation du service fourni par l’entité pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique ;

4° une perturbation du service fourni par l’entité pourrait induire un risque systémique important, en particulier pour les secteurs où cette perturbation pourrait avoir un impact transfrontière ;

5° l’entité est critique en raison de son importance spécifique au niveau national ou régional pour le secteur ou le type de service en question, ou pour d’autres secteurs interdépendants au Luxembourg ;

6° l’entité est une entité de l’administration publique telle que définie à l’article 2, point 34°.

Les exigences visées à l’alinéa 1er du présent paragraphe sont considérées comme ayant un effet équivalent aux obligations prévues par la présente loi lorsque :

2 1° les mesures de gestion des risques en matière de cybersécurité ont un effet au moins équivalent à celui des mesures prévues à l’article 12, paragraphes 1 et 2 ; ou 2° l’acte juridique sectoriel de l’Union européenne prévoit un accès immédiat, s’il y a lieu, automatique et direct, aux notifications d’incidents par les CSIRT, les autorités compétentes ou les points de contact uniques en vertu de la présente loi, et lorsque les exigences relatives à la notification des incidents importants sont au moins équivalentes à celles prévues à l’article 14, paragraphes 1 à 6.

Les autorités compétentes visées à l’article 3 déterminent, par voie de règlement ou de circulaire et conformément aux lignes directrices adoptées par la Commission européenne et clarifiant l’application des points 1° et 2°, les actes juridiques sectoriels de l’Union européenne ayant un effet au moins équivalent à la présente loi.

Art. 2Pour l’application de la présente loi, on entend par

1° « réseau et système d’information » :

2° « sécurité des réseaux et des systèmes d’information » : la capacité des réseaux et des systèmes d’information de résister, à un niveau de confiance donné, à tout événement susceptible de compromettre la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données stockées, transmises ou faisant l’objet d’un traitement, ou des services que ces réseaux et systèmes d’information offrent ou rendent accessibles ;

3° « cybersécurité » : la cybersécurité au sens de l’article 2, point 1°, du règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité), tel que modifié ;

4° « incident évité » : un événement qui aurait pu compromettre la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou faisant l’objet d’un traitement, ou des services que les réseaux et systèmes d’information offrent ou rendent accessibles, mais dont la réalisation a pu être empêchée ou ne s’est pas produite ;

5° « incident » : un événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou faisant l’objet d’un traitement, ou des services que les réseaux et systèmes d’information offrent ou rendent accessibles ;

3 6° « incident de cybersécurité majeur » : un incident qui provoque des perturbations dépassant les capacités de réaction du seul État membre concerné ou qui a un impact important sur au moins deux États membres ;

7° « traitement des incidents » : toutes les actions et procédures visant à prévenir, détecter, analyser et contenir un incident ou à y répondre et à y remédier ;

8° « risque » : le potentiel de perte ou de perturbation causé par un incident, à exprimer comme la combinaison de l’ampleur de cette perte ou de cette perturbation et de la probabilité qu’un tel incident se produise ;

9° « cybermenace » une cybermenace au sens de l’article 2, point 8°, du règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité), tel que modifié ;

10° « cybermenace importante » : une cybermenace qui, compte tenu de ses caractéristiques techniques, peut être considérée comme susceptible d’avoir un impact grave sur les réseaux et les systèmes d’information d’une entité ou les utilisateurs des services de l’entité, en causant un dommage matériel, corporel ou moral considérable ;

11° « produit TIC » : un produit TIC au sens de l’article 2, point 12°, du règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité), tel que modifié ;

12° « service TIC » : un service TIC au sens de l’article 2, point 13°, du règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité), tel que modifié ;

13° « processus TIC » : un processus TIC au sens de l’article 2, point 14°, du règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité), tel que modifié ;

14° « vulnérabilité » : une faiblesse, susceptibilité ou faille de produits TIC ou de services TIC qui peut être exploitée par une cybermenace ;

15° « norme » : une norme au sens de l’article 2, point 1°, du règlement (UE) n° 1025/2012 du Parlement européen et du Conseil du 25 octobre 2012 relatif à la normalisation européenne, modifiant les directives 89/686/CEE et 93/15/CEE du Conseil ainsi que les directives 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE et 2009/105/CE du Parlement européen et du Conseil et abrogeant la décision 87/95/CEE du Conseil et la décision n° 1673/2006/CE du Parlement européen et du Conseil, tel que modifié ;

4 16° « spécification technique » : une spécification technique au sens de l’article 2, point 4°, du règlement (UE) n° 1025/2012 du Parlement européen et du Conseil du 25 octobre 2012 relatif à la normalisation européenne, modifiant les directives 89/686/CEE et 93/15/CEE du Conseil ainsi que les directives 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE et 2009/105/CE du Parlement européen et du Conseil et abrogeant la décision 87/95/CEE du Conseil et la décision n° 1673/2006/CE du Parlement européen et du Conseil, tel que modifié ;

17° « point d’échange internet » : une structure de réseau qui permet l’interconnexion de plus de deux réseaux indépendants (systèmes autonomes), essentiellement aux fins de faciliter l’échange de trafic internet, qui n’assure l’interconnexion que pour des systèmes autonomes et qui n’exige pas que le trafic internet passant entre une paire quelconque de systèmes autonomes participants transite par un système autonome tiers, pas plus qu’il ne modifie ou n’altère par ailleurs un tel trafic ;

18° « système de noms de domaine » ou « DNS » : un système hiérarchique et distribué d’affectation de noms qui permet l’identification des services et des ressources internet, ce qui rend possible l’utilisation de services de routage et de connectivité internet par les dispositifs des utilisateurs finaux pour accéder à ces services et ressources ;

19° « fournisseur de services DNS » : une entité qui fournit :

20° « registre de noms de domaine de premier niveau » : une entité à laquelle un domaine de premier niveau spécifique a été délégué et qui est responsable de l’administration du domaine de premier niveau, y compris de l’enregistrement des noms de domaine relevant du domaine de premier niveau et du fonctionnement technique du domaine de premier niveau, notamment l’exploitation de ses serveurs de noms, la maintenance de ses bases de données et la distribution des fichiers de zone du domaine de premier niveau sur les serveurs de noms, que ces opérations soient effectuées par l’entité elle-même ou qu’elles soient sous-traitées, mais à l’exclusion des situations où les noms de domaine de premier niveau sont utilisés par un registre uniquement pour son propre usage ;

21° « entité fournissant des services d’enregistrement de noms de domaine » : un bureau d’enregistrement ou un agent agissant pour le compte de bureaux d’enregistrement, tel qu’un fournisseur ou revendeur de services d’anonymisation ou d’enregistrement fiduciaire ;

22° « service numérique » : un service au sens de l’article 1er, paragraphe 1er, lettre b), de la loi du 8 novembre 2016 prévoyant une procédure d'information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l'information ;

23° « service de confiance » : un service de confiance au sens de l’article 3, point 16°, du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE ;

5 24° « prestataire de services de confiance » : un prestataire de services de confiance au sens de l’article 3, point 19°, du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE ;

25° « service de confiance qualifié » : un service de confiance qualifié au sens de l’article 3, point 17°, du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE ;

26° « prestataire de services de confiance qualifié » : un prestataire de services de confiance qualifié au sens de l’article 3, point 20°, du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE ;

27° « place de marché en ligne » : une place de marché en ligne au sens de l’article L. 010-1, point 15°, du Code de la consommation ;

28° « moteur de recherche en ligne » : un moteur de recherche en ligne au sens de l’article 2, point 5°, du règlement (UE) 2019/1150 du Parlement européen et du Conseil du 20 juin 2019 promouvant l’équité et la transparence pour les entreprises utilisatrices de services d’intermédiation en ligne ;

29° « service d’informatique en nuage » : un service numérique qui permet l’administration à la demande et l’accès large à distance à un ensemble modulable et variable de ressources informatiques pouvant être partagées, y compris lorsque ces ressources sont réparties à différents endroits ;

30° « service de centre de données » : un service qui englobe les structures, ou groupes de structures, dédiées à l’hébergement, l’interconnexion et l’exploitation centralisées des équipements informatiques et de réseau fournissant des services de stockage, de traitement et de transport des données, ainsi que l’ensemble des installations et infrastructures de distribution d’électricité et de contrôle environnemental ;

31° « réseau de diffusion de contenu » : un réseau de serveurs géographiquement répartis visant à assurer la haute disponibilité, l’accessibilité ou la fourniture rapide de contenu et de services numériques aux utilisateurs d’internet pour le compte de fournisseurs de contenu et de services ;

32° « plateforme de services de réseaux sociaux » : une plateforme qui permet aux utilisateurs finaux de se connecter, de partager, de découvrir et de communiquer entre eux sur plusieurs terminaux, notamment par conversations en ligne, publications, vidéos et recommandations ;

33° « représentant » : une personne physique ou morale établie dans l’Union européenne qui est expressément désignée pour agir pour le compte d’un fournisseur de services DNS, d’un registre de noms de domaine de premier niveau, d’une entité fournissant des services d’enregistrement de noms de domaine, d’un fournisseur d’informatique en nuage, d’un fournisseur de services de centre de données, d’un fournisseur de réseau de diffusion de contenu, d’un fournisseur de services gérés, d’un fournisseur de services de sécurité gérés ou 6 d’un fournisseur de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux non établi dans l’Union européenne, qui peut être contactée par une autorité compétente ou un CSIRT à la place de l’entité elle-même concernant les obligations incombant à ladite entité en vertu de la présente loi ;

34° « entité de l’administration publique » : toute entité, à l’exclusion de l’organisation judiciaire, de la Chambre des députés et de la Banque centrale du Luxembourg, qui satisfait aux critères suivants :

35° « réseau de communications électroniques public » : un réseau de communications électroniques public au sens de l’article 2, point 8°, de la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques ;

36° « service de communications électroniques » : un service de communications électroniques au sens de l’article 2, point 4°, de la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques ;

37° « entité » : une personne physique ou morale constituée et reconnue comme telle en vertu du droit national de son lieu de constitution, et ayant, en son nom propre, la capacité d’être titulaire de droits et d’obligations ;

38° « fournisseur de services gérés » : une entité qui fournit des services liés à l’installation, à la gestion, à l’exploitation ou à l’entretien de produits, de réseaux, d’infrastructures ou d’applications TIC ou d’autres réseaux et systèmes d’information, par l’intermédiaire d’une assistance ou d’une administration active, soit dans les locaux des clients, soit à distance ;

39° « fournisseur de services de sécurité gérés » : un fournisseur de services gérés qui effectue ou fournit une assistance pour des activités liées à la gestion des risques en matière de cybersécurité ;

40° « organisme de recherche » : une entité dont l’objectif premier est de mener des activités de recherche appliquée ou de développement expérimental en vue d’exploiter les résultats de cette recherche à des fins commerciales, à l’exclusion des établissements d’enseignement ;

7 41° « CIRCL » : Computer Incident Response Center Luxembourg, opéré par le groupement d’intérêt économique Luxembourg House of Cybersecurity ;

42° « données de communications électroniques » : le contenu et les métadonnées de communications électroniques ;

43° « contenu de communications électroniques » : le contenu échangé au moyen de services de communications électroniques, notamment sous forme de texte, de voix, de documents vidéo, d'images et de son ;

44° « métadonnées de communications électroniques » : les données traitées dans un réseau de communications électroniques aux fins de la transmission, la distribution ou l'échange de contenu de communications électroniques, y compris les données permettant de retracer une communication et d'en déterminer l'origine et la destination ainsi que les données relatives à la localisation de l'appareil produites dans le cadre de la fourniture de services de communications électroniques, et la date, l'heure, la durée et le type de communication.

Chapitre 2 – Autorités en matière de cybersécurité

Art. 3L’Institut Luxembourgeois de Régulation est l’autorité compétente chargée de la

cybersécurité dans le cadre de la présente loi et des tâches de supervision et d’exécution visées au chapitre 6 pour les secteurs visés aux annexes I et II et les entités critiques telles que visées par la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil.

Par dérogation à l’alinéa 1er, la Commission de surveillance du secteur financier est l’autorité compétente chargée de la cybersécurité dans le cadre de la présente loi et des tâches de supervision et d’exécution visées au chapitre 6 pour le secteur bancaire et le secteur des infrastructures des marchés financiers, figurant aux points 3° et 4° du tableau de l’annexe I.

Elle est par ailleurs l’autorité compétente pour le secteur des infrastructures numériques et le secteur de la gestion des services TIC, figurant aux points 8° et 9° du tableau de l’annexe I, en ce qui concerne les activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier.

L’obligation au secret professionnel prévue par l’article 16 de la loi modifiée du 23 décembre 1998 portant création d’une Commission de surveillance du secteur financier et l’article 15 de la loi modifiée du 30 mai 2005 portant : 1) organisation de l’Institut Luxembourgeois de Régulation ; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État ne fait pas obstacle à l’échange d’informations confidentielles entre les autorités compétentes, les CSIRT et le point de contact unique tels que visés aux articles 5 et 7, dans le cadre et aux seules fins de la présente loi et dans les mesures prises pour son exécution.

Art. 4L’Institut Luxembourgeois de Régulation bénéficie d’une contribution financière à

charge du budget de l’État afin de couvrir l’intégralité des frais de fonctionnement qui résultent de l’exercice des missions prévues par la présente loi.

Art. 5Le Haut-Commissariat à la Protection nationale constitue le point de contact unique

chargé d’exercer une fonction de liaison afin d’assurer la coopération transfrontière des 8 autorités compétentes avec les autorités compétentes des autres États membres et, le cas échéant, avec la Commission et l’Agence de l’Union européenne pour la cybersécurité, ci-après « ENISA », ainsi qu’à garantir la coopération intersectorielle avec les autres autorités compétentes nationales.

Art. 6Le Haut-Commissariat à la Protection nationale est l’autorité compétente chargée de la

gestion des incidents de cybersécurité majeurs et des crises, ci-après « autorité de gestion des crises cyber » et représente le Grand-Duché de Luxembourg au sein du réseau européen pour la préparation et la gestion des crises cyber, dénommé « EU-CyCLONe », institué par l’article 16 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2).

Art. 7(1) Le Haut-Commissariat à la Protection nationale, dans sa fonction de

GOVCERT.LU, constitue le centre de réponse aux incidents de sécurité informatique, ci-après « CSIRT », pour les administrations et services de l’État, les établissements publics et les entités critiques en vertu de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil.

Le CIRCL constitue le CSIRT pour tous les autres cas, pour lesquels le Haut-Commissariat à la Protection nationale, dans sa fonction de GOVCERT.LU, n’est pas compétent.

Art. 8(1) Les CSIRT assument les tâches suivantes

1° surveiller et analyser les cybermenaces, les vulnérabilités et les incidents et, sur demande, apporter une assistance aux entités essentielles et importantes concernées pour surveiller en temps réel ou quasi réel leurs réseaux et systèmes d’information ;

2° activer le mécanisme d’alerte précoce, la diffusion de messages d’alerte, les annonces et la diffusion d’informations sur les cybermenaces, les vulnérabilités et les incidents auprès des entités essentielles et importantes concernées ainsi qu’auprès des autorités compétentes et des autres parties prenantes concernées, si possible en temps quasi réel ;

3° réagir aux incidents et apporter une assistance, à leur demande, aux entités essentielles et importantes concernées ;

4° rassembler et analyser des données de police scientifique, et assurer une analyse dynamique des risques et incidents et une appréciation de la situation en matière de cybersécurité ;

9 5° réaliser, à la demande d’une entité essentielle ou importante, un scan proactif du réseau et des systèmes d’information de l’entité concernée afin de détecter les vulnérabilités susceptibles d’avoir un impact important ;

6° participer au réseau des CSIRT, tel que visé par la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) et apporter une assistance mutuelle en fonction de leurs capacités et de leurs compétences aux autres membres du réseau des CSIRT à leur demande ;

7° le cas échéant, agir en qualité de coordinateur aux fins du processus de divulgation coordonnée des vulnérabilités en vertu de l’article 9, paragraphe 1er ;

8° contribuer au déploiement d’outils de partage d’informations sécurisés conformément à l’article 10, paragraphe 3, de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2).

Les CSIRT peuvent procéder à un scan proactif et non intrusif des réseaux et systèmes d’information accessibles au public d’entités essentielles et importantes. Ce scan est effectué dans le but de détecter les réseaux et systèmes d’information vulnérables ou configurés de façon peu sûre et d’informer les entités concernées. Ce scan n’a pas d’effet négatif sur le fonctionnement des services des entités.

Lorsqu’ils exécutent les tâches visées à l’alinéa 1er, les CSIRT peuvent donner la priorité à certaines tâches sur la base d’une approche basée sur les risques.

Art. 9Le CIRCL est le coordinateur aux fins de la divulgation coordonnée des vulnérabilités

Il fait office d’intermédiaire de confiance en facilitant, si nécessaire, les interactions entre la personne physique ou morale qui signale une vulnérabilité et le fabricant ou le fournisseur des produits TIC ou des services TIC potentiellement vulnérables, à la demande de l’une des deux parties. Les tâches du coordinateur consistent :

1° à identifier et contacter les entités concernées ;

2° à apporter une assistance aux personnes physiques ou morales signalant une vulnérabilité ; et 3° à négocier des délais de divulgation et gérer les vulnérabilités qui touchent plusieurs entités.

Les personnes physiques ou morales sont en mesure de signaler une vulnérabilité, de manière anonyme lorsqu’elles le demandent, au CIRCL. Le CIRCL veille à ce que des mesures de suivi diligentes soient prises en ce qui concerne la vulnérabilité signalée et veille à l’anonymat de la personne physique ou morale signalant la vulnérabilité. Lorsque la vulnérabilité signalée est 10 susceptible d’avoir un impact important sur des entités dans plusieurs États membres, le CIRCL coopère, le cas échéant, avec les autres CSIRT désignés comme coordinateurs au sein du réseau des CSIRT tel que visé par la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2).

Art. 10(1) Les autorités compétentes, le point de contact unique et les CSIRT coopèrent les

uns avec les autres afin de respecter les obligations énoncées dans la présente loi.

Chapitre 3 – Entités essentielles et importantes

Art. 11(1) Les entités suivantes sont considérées comme étant des entités essentielles

1° les entités d’un type visé à l’annexe I qui dépassent les plafonds applicables aux moyennes entreprises prévus à l’article 2, paragraphe 1er, de l’annexe de la recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises ;

2° les prestataires de services de confiance qualifiés et les registres de noms de domaine de premier niveau ainsi que les fournisseurs de services DNS, quelle que soit leur taille ;

3° les fournisseurs de réseaux publics de communications électroniques publics ou de services de communications électroniques accessibles au public qui constituent des moyennes entreprises en vertu de l’article 2 de l’annexe de la recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises ;

4° les entités de l’administration publique visées à l’article 1er, paragraphe 2, point 6° ;

5° toute autre entité d’un type visé à l’annexe I ou II qui est identifiée par l’autorité compétente en tant qu’entité essentielle en vertu de l’article 1er, paragraphe 2, points 2° à 5° ;

6° les entités recensées en tant qu’entités critiques en vertu de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil, visées à l’article 1er, paragraphe 3 ;

7° les entités que les autorités compétentes ont identifiées avant l’entrée en vigueur de la présente loi comme des opérateurs de services essentiels conformément à la loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé 12 commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale.

1° le nom de l’entité ;

2° l’adresse et les coordonnées actualisées, y compris les adresses électroniques, les plages d’IP et les numéros de téléphone ;

3° le cas échéant, le secteur et le sous-secteur concernés visés à l’annexe I ou II ;

4° le cas échéant, une liste des États membres dans lesquels elles fournissent des services relevant du champ d’application de la présente loi ;

5° la taille de l’entité et, le cas échéant, celle du groupe d’entités auquel l’entité concernée appartient.

Les entités visées au paragraphe 3 notifient sans tarder toute modification des informations qu’elles ont communiquées conformément à l’alinéa 1er du présent paragraphe et, en tout état de cause, dans un délai de deux semaines à compter de la date de la modification.

Les autorités compétentes mettent en place un mécanisme national par lequel les entités visées au paragraphe 3 sont dans l'obligation de s'enregistrer elles-mêmes. L’autorité compétente concernée confirme à ces entités concernée leur désignation en tant qu’entité essentielle ou importante.

Art. 12

Les mesures visées au à l’alinéa 1er garantissent, pour les réseaux et les systèmes d’information, un niveau de sécurité adapté au risque existant, en tenant compte de l’état des connaissances 13 et, s’il y a lieu, des normes européennes et internationales applicables, ainsi que du coût de mise en œuvre. Lors de l’évaluation de la proportionnalité de ces mesures, il convient de tenir dûment compte du degré d’exposition de l’entité aux risques, de la taille de l’entité et de la probabilité de survenance d’incidents et de leur gravité, y compris leurs conséquences sociétales et économiques.

Afin d’identifier les risques, les entités essentielles et importantes utilisent un cadre d’analyse de risques approprié pouvant être précisé par l’autorité compétente concernée par voie de règlement ou de circulaire.

1° les politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information ;

2° la gestion des incidents ;

3° la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises ;

4° la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ;

5° la sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités ;

6° des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité ;

7° les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ;

8° des politiques et des procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement ;

9° la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs ;

10° l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins.

Art. 13(1) Les organes de direction des entités essentielles et importantes approuvent les

mesures de gestion des risques en matière de cybersécurité prises par ces entités afin de se conformer à l’article 12, supervisent leur mise en œuvre et peuvent être tenus responsables de la violation dudit article par ces entités.

Art. 14(1) Les entités essentielles et importantes notifient, sans retard injustifié, à l’autorité

compétente concernée, conformément au paragraphe 4, tout incident ayant un impact important sur leur fourniture des services visés au paragraphe 3, ci-après « incident important ». Le cas échéant, les entités concernées notifient, sans retard injustifié, aux destinataires de leurs services les incidents importants susceptibles de nuire à la fourniture de ces services. Ces entités signalent, entre autres, toute information permettant à l’autorité compétente de déterminer si l’incident a un impact transfrontière. Le simple fait de notifier un incident n’accroît pas la responsabilité de l’entité qui est à l’origine de la notification.

L’autorité compétente transmet la notification au CSIRT concerné et au point de contact unique dès qu’elle la reçoit.

1° il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée ;

15 2° il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

L’autorité compétente concernée peut préciser, par voie de règlement ou de circulaire, les paramètres et les modalités des notifications des incidents ayant un impact important sur leur fourniture des services.

1° sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l’incident important, une notification préliminaire qui, le cas échéant, indique si l’on suspecte l’incident important d’avoir été causé par des actes illicites ou malveillants ou s’il pourrait avoir un impact transfrontière ;

2° sans retard injustifié et en tout état de cause dans les soixante-douze heures après avoir eu connaissance de l’incident important, une notification d’incident qui, le cas échéant, met à jour les informations visées au point 1° et fournit une évaluation initiale de l’incident important, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission, lorsqu’ils sont disponibles ;

3° à la demande d’un CSIRT ou, selon le cas, de l’autorité compétente, un rapport intermédiaire sur les mises à jour pertinentes de la situation ;

4° un rapport final au plus tard un mois après la présentation de la notification d’incident visée au point 2°, comprenant les éléments suivants :

5° en cas d’incident en cours au moment de la présentation du rapport final visé au point 4°, les entités concernées fournissent à ce moment-là un rapport d’avancement puis un rapport final dans un délai d’un mois à compter du traitement de l’incident.

Par dérogation à l’alinéa 1er, point 2°, un prestataire de services de confiance notifie à l’autorité compétente les incidents importants qui ont un impact sur la fourniture de ses services de confiance, sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l’incident important.

Art. 15Afin de démontrer la conformité à certaines exigences visées à l’article 12, l’autorité

compétente peut prescrire aux entités essentielles et importantes d’utiliser des produits TIC, services TIC et processus TIC particuliers qui, mis au point par l’entité essentielle ou importante ou acquis auprès de tiers, sont certifiés dans le cadre de schémas européens de certification de cybersécurité adoptés conformément à l’article 49 du règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité), tel que modifié. En outre, l’autorité compétente encourage les entités essentielles et importantes à utiliser des services de confiance qualifiés.

17

Chapitre 4 – Compétence et enregistrement

Art. 16(1) Les entités relevant du champ d’application de la présente loi sont considérées

comme relevant de la compétence du Grand-Duché de Luxembourg lorsqu’elles y sont établies, à l’exception des cas suivants :

1° les fournisseurs de réseaux de communications électroniques publics ou les fournisseurs de services de communications électroniques accessibles au public, qui sont considérés comme relevant de la compétence de l’État membre dans lequel ils fournissent leurs services ;

2° les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les entités fournissant des services d’enregistrement de noms de domaine, les fournisseurs de services d’informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux, qui sont considérés comme relevant de la compétence de l’État membre dans lequel ils ont leur établissement principal dans l’Union européenne en application du paragraphe 2 ;

3° les entités de l’administration publique, qui sont considérées comme relevant de la compétence de l’État membre qui les a établies.

Art. 17(1) Les fournisseurs de services DNS, les registres des noms de domaine de premier

niveau, les entités fournissant des services d’enregistrement de noms de domaine, les fournisseurs de services d’informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux soumettent les informations suivantes à l’autorité compétente au plus tard le 17 janvier 2025 :

1° le nom de l’entité ;

2° les secteur, sous-secteur et type d’entité concernés, visés à l’annexe I ou II, le cas échéant ;

3° l’adresse de l’établissement principal de l’entité et de ses autres établissements légaux dans l’Union européenne ou, si elle n’est pas établie dans l’Union européenne, de son représentant désigné conformément à l’article 16, paragraphe 3 ;

4° les coordonnées actualisées, y compris les adresses de courrier électronique et les numéros de téléphone de l’entité et, le cas échéant, de son représentant désigné conformément à l’article 16, paragraphe 3 ;

5° les États membres dans lesquels l’entité fournit des services ; et 6° les plages d’IP de l’entité.

Le point de contact unique transmet ces informations, à l’exception de celles visées au paragraphe 1er, point 6°, à l’ENISA, afin de permettre à l’ENISA de mettre en place le registre visé à l’article 27 de la directive 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2).

Art. 18(1) Afin de contribuer à la sécurité, à la stabilité et à la résilience du DNS, les registres

des noms de domaine de premier niveau et les entités fournissant des services d’enregistrement de noms de domaine collectent les données d’enregistrement de noms de domaine et les maintiennent exactes et complètes au sein d’une base de données spécialisée avec la diligence requise par la législation sur la protection des données à caractère personnel.

19 1° le nom de domaine ;

2° la date d’enregistrement ;

3° le nom du titulaire, l’adresse de courrier électronique et le numéro de téléphone permettant de le contacter ;

4° l’adresse de courrier électronique et le numéro de téléphone permettant de contacter le point de contact qui gère le nom de domaine, si ces coordonnées sont différentes de celles du titulaire.

Chapitre 5 – Partage d’informations

Art. 19(1) Les entités relevant du champ d’application de la présente loi et, le cas échéant, les

autres entités concernées ne relevant pas du champ d’application de la présente loi peuvent échanger entre elles, à titre volontaire, des informations pertinentes en matière de cybersécurité, y compris des informations relatives aux cybermenaces, aux incidents évités, aux vulnérabilités, aux techniques et procédures, aux indicateurs de compromission, aux tactiques adverses, ainsi que des informations spécifiques sur les acteurs de la menace, des alertes de cybersécurité et des recommandations concernant la configuration des outils de cybersécurité pour détecter les cyberattaques, lorsque ce partage d’informations :

1° vise à prévenir et à détecter les incidents, à y réagir, à s’en rétablir ou à atténuer leur impact ;

20 2° renforce le niveau de cybersécurité, notamment en sensibilisant aux cybermenaces, en limitant ou en empêchant leur capacité de se propager, en soutenant une série de capacités de défense, en remédiant aux vulnérabilités et en les révélant, en mettant en œuvre des techniques de détection, d’endiguement et de prévention des menaces, des stratégies d’atténuation ou des étapes de réaction et de rétablissement, ou en encourageant la recherche collaborative en matière de cybermenaces entre les entités publiques et privées.

Art. 20(1) Outre l’obligation de notification prévue à l’article 14, des notifications peuvent

être transmises à titre volontaire :

1° aux autorités compétentes par les entités essentielles et importantes en ce qui concerne les incidents, les cybermenaces et les incidents évités ;

2° à l’Institut Luxembourgeois de Régulation par les entités autres que celles visées au point 1°, indépendamment du fait qu’elles relèvent ou non du champ d’application de la présente loi, en ce qui concerne les incidents importants, les cybermenaces ou les incidents évités.

Lorsque cela est nécessaire, l’autorité compétente fournit au CSIRT concerné et au point de contact unique les informations relatives aux notifications reçues en vertu du présent article, tout en garantissant la confidentialité et une protection appropriée des informations fournies par l’entité à l’origine de la notification. Sans préjudice de la prévention et de la détection d’infractions pénales et des enquêtes et poursuites en la matière, un signalement volontaire n’a pas pour effet d’imposer à l’entité ayant effectué la notification des obligations supplémentaires auxquelles elle n’aurait pas été soumise si elle n’avait pas transmis la notification.

Chapitre 6 – Supervision et exécution

Art. 21(1) Les autorités compétentes peuvent mettre en place des méthodes de supervision

permettant de fixer des priorités en ce qui concerne les tâches de supervision selon une approche basée sur les risques. À cet effet, lorsqu’elles accomplissent leurs tâches de supervision prévues aux articles 22 et 23, les autorités compétentes peuvent mettre au point des méthodes de supervision permettant de fixer des priorités concernant ces tâches selon une approche basée sur les risques.

21

Art. 22(1) Les mesures de supervision ou d’exécution imposées aux entités essentielles à

l’égard des obligations prévues par la présente loi doivent être effectives, proportionnées et dissuasives, compte tenu des circonstances de chaque cas.

1° des inspections sur place et des contrôles à distance, y compris des contrôles aléatoires effectués par des professionnels formés ;

2° des audits de sécurité réguliers et ciblés réalisés par un organisme indépendant ou l’autorité compétente ;

3° des audits ad hoc, notamment lorsqu’ils sont justifiés en raison d’un incident important ou d’une violation de la présente loi par l’entité essentielle ;

4° des scans de sécurité fondés sur des critères d’évaluation des risques objectifs, non discriminatoires, équitables et transparents, si nécessaire avec la coopération de l’entité concernée ;

5° des demandes d’informations nécessaires à l’évaluation des mesures de gestion des risques en matière de cybersécurité adoptées par l’entité concernée, notamment les politiques de cybersécurité consignées par écrit, ainsi que du respect de l’obligation de soumettre des informations aux autorités compétentes conformément à l’article 17 ;

6° des demandes d’accès à des données, à des documents et à toutes informations nécessaires à l’accomplissement de leurs tâches de supervision ;

7° des demandes de preuves de la mise en œuvre de politiques de cybersécurité, telles que les résultats des audits de sécurité effectués par un auditeur qualifié et les éléments de preuve sous-jacents correspondants.

Les audits de sécurité ciblés visés à l’alinéa 1er, point 2°, sont basés sur des évaluations des risques effectuées par l’autorité compétente ou l’entité contrôlée, ou sur d’autres informations disponibles relatives aux risques.

Les résultats de tout audit de sécurité ciblé sont mis à la disposition de l’autorité compétente.

Les coûts de cet audit de sécurité ciblé effectué par un organisme indépendant sont à la charge de l’entité contrôlée, sauf lorsque l’autorité compétente en décide autrement dans des cas dûment motivés.

22

1° d’émettre des avertissements concernant les violations de la présente loi par les entités concernées ;

2° d’adopter des instructions contraignantes, y compris en ce qui concerne les mesures nécessaires pour éviter un incident ou y remédier, ainsi que les délais pour mettre en œuvre ces mesures et rendre compte de cette mise en œuvre, ou une injonction exigeant des entités concernées qu’elles remédient aux insuffisances constatées ou aux violations de la présente loi ;

3° d’ordonner aux entités concernées de mettre un terme à un comportement qui viole la présente loi et de ne pas le réitérer ;

4° d’ordonner aux entités concernées de garantir la conformité de leurs mesures de gestion des risques en matière de cybersécurité avec l’article 12 ou de respecter les obligations d’information énoncées à l’article 14, de manière spécifique et dans un délai déterminé ;

5° d’ordonner aux entités concernées d’informer les personnes physiques ou morales à l’égard desquelles elles fournissent des services ou exercent des activités susceptibles d’être affectées par une cybermenace importante de la nature de la menace, ainsi que de toutes mesures préventives ou réparatrices que ces personnes physiques ou morales pourraient prendre en réponse à cette menace ;

6° d’ordonner aux entités concernées de mettre en œuvre les recommandations formulées à la suite d’un audit de sécurité dans un délai raisonnable ;

7° de désigner, pour une période déterminée, un responsable du contrôle ayant des tâches bien définies pour superviser le respect, par les entités concernées, des articles 12 et 14 ;

8° d’ordonner aux entités concernées de rendre publics les aspects de violations de la présente loi de manière spécifique ;

9° d’imposer ou de demander aux organes compétents ou aux juridictions d’imposer une amende administrative en vertu de l’article 26 en plus de l’une ou l’autre des mesures visées aux points 1° à 8° du présent paragraphe.

1° de suspendre temporairement ou de demander à un organisme de certification ou d’autorisation, ou à une juridiction, de suspendre temporairement une certification ou 23 une autorisation concernant tout ou partie des services pertinents fournis ou des activités pertinentes menées par l’entité essentielle ;

2° de demander aux organes compétents ou aux juridictions compétentes d’interdire temporairement à toute personne physique exerçant des responsabilités dirigeantes à un niveau de directeur général ou de représentant légal dans l’entité essentielle d’exercer des responsabilités dirigeantes dans cette entité.

Les suspensions ou interdictions temporaires imposées au titre du présent paragraphe sont uniquement appliquées jusqu’à ce que l’entité concernée prenne les mesures nécessaires pour remédier aux insuffisances ou se conformer aux exigences de l’autorité compétente à l’origine de l’application de ces mesures d’exécution.

Les mesures d’exécution prévues au présent paragraphe ne peuvent pas être appliquées aux entités de l’administration publiques qui relèvent de la présente loi.

En ce qui concerne les entités de l’administration publique, le présent paragraphe est sans préjudice du droit national en ce qui concerne la responsabilité des agents de la fonction publique et des responsables élus ou nommés.

1° de la gravité de la violation et de l’importance des dispositions enfreintes, les faits suivants, entre autres, devant être considérés en tout état de cause comme graves :

2° de la durée de la violation ;

3° de toute violation antérieure pertinente commise par l’entité concernée ;

24 4° des dommages matériels, corporels ou moraux causés, y compris des pertes financières ou économiques, des effets sur d’autres services et du nombre d’utilisateurs touchés ;

5° du fait que l’auteur de la violation a agi délibérément ou par négligence ;

6° des mesures prises par l’entité pour prévenir ou atténuer les dommages matériels, corporels ou moraux ;

7° de l’application de codes de conduite approuvés ou de mécanismes de certification approuvés ;

8° du degré de coopération avec les autorités compétentes des personnes physiques ou morales tenues pour responsables.

25

Art. 23(1) Au vu d’éléments de preuve, d’indications ou d’informations selon lesquels une

entité importante ne respecterait pas la présente loi, et notamment ses articles 12 et 14, les autorités compétentes prennent des mesures, le cas échéant, dans le cadre de mesures de contrôle ex post. Ces mesures doivent être effectives, proportionnées et dissuasives, compte tenu des circonstances propres à chaque cas d’espèce.

1° des inspections sur place et des contrôles à distance ex post, effectués par des professionnels formés ;

2° des audits de sécurité ciblés réalisés par un organisme indépendant ou l’autorité compétente ;

3° des scans de sécurité fondés sur des critères d’évaluation des risques objectifs, non discriminatoires, équitables et transparents, si nécessaire avec la coopération de l’entité concernée ;

4° des demandes d’informations nécessaires à l’évaluation ex post des mesures de gestion des risques en matière de cybersécurité adoptées par l’entité concernée, notamment les politiques de cybersécurité consignées par écrit, ainsi que du respect de l’obligation de soumettre des informations aux autorités compétentes conformément à l’article 17 ;

5° des demandes d’accès à des données, à des documents et à des informations nécessaires à l’accomplissement de leurs tâches de supervision ;

6° des demandes de preuves de la mise en œuvre de politiques de cybersécurité, telles que les résultats des audits de sécurité effectués par un auditeur qualifié et les éléments de preuve sous-jacents correspondants.

Les audits de sécurité ciblés visés à l’alinéa 1er, point 2°, sont fondés sur des évaluations des risques effectuées par l’autorité compétente ou l’entité contrôlée, ou sur d’autres informations disponibles relatives aux risques.

Les résultats de tout audit de sécurité ciblé sont mis à la disposition de l’autorité compétente.

Les coûts de cet audit de sécurité ciblé effectué par un organisme indépendant sont à la charge de l’entité contrôlée, sauf lorsque l’autorité compétente en décide autrement dans des cas dûment motivés.

1° d’émettre des avertissements concernant des violations de la présente loi par les entités concernées ;

26 2° d’adopter des instructions contraignantes ou une injonction exigeant des entités concernées qu’elles pallient les insuffisances constatées ou les violations de la présente loi ;

3° d’ordonner aux entités concernées de mettre un terme à un comportement qui viole la présente loi et de ne pas le réitérer ;

4° d’ordonner aux entités concernées de garantir la conformité de leurs mesures de gestion des risques en matière de cybersécurité avec l’article 12 ou de respecter les obligations d’information prévues à l’article 14, de manière spécifique et dans un délai déterminé ;

5° d’ordonner aux entités concernées d’informer les personnes physiques ou morales à l’égard desquelles elles fournissent des services ou exercent des activités susceptibles d’être affectées par une cybermenace importante de la nature de la menace, ainsi que de toutes mesures préventives ou réparatrices que ces personnes physiques ou morales pourraient prendre en réponse à cette menace ;

6° d’ordonner aux entités concernées de mettre en œuvre les recommandations formulées à la suite d’un audit de sécurité dans un délai raisonnable ;

7° d’ordonner aux entités concernées de rendre publics des aspects de violations de la présente loi de manière spécifique ;

8° d’imposer ou de demander aux organes compétents ou aux juridictions compétentes d’imposer une amende administrative en vertu de l’article 26 en plus de l’une ou l’autre des mesures visées aux points 1° à 7°.

Art. 24(1) Lorsque les autorités compétentes prennent connaissance, dans le cadre de la

supervision ou de l’exécution, du fait que la violation commise par une entité essentielle ou importante à l’égard des obligations énoncées aux articles 12 et 14 peut donner lieu à une violation de données à caractère personnel au sens de l’article 4, point 12°, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la 27 protection des données), tel que modifié, devant être notifiée en vertu de l’article 33 dudit règlement, elles en informent sans retard injustifié les autorités de contrôle visées à l’article 55 ou 56 dudit règlement.

Art. 25(1) Lorsque l’autorité compétente concernée constate une violation des obligations

prévues par les articles 11, paragraphe 4, 13, paragraphes 1 et 2, 15, 17, paragraphes 1er et 2, et 18, paragraphes 1er à 6, elle peut frapper l’entité essentielle ou importante concernée d’une ou de plusieurs des sanctions suivantes :

1° un avertissement ;

2° un blâme ;

3° une amende administrative, dont le montant est proportionné à la gravité du manquement, à la situation de l’intéressé, à l’ampleur du dommage et aux avantages qui en sont tirés sans pouvoir excéder 250 000 euros.

28

Art. 26(1) Les amendes administratives imposées aux entités essentielles et importantes pour

des violations de la présente loi sont effectives, proportionnées et dissuasives, compte tenu des circonstances de chaque cas.

Le montant de l’astreinte par jour à raison du manquement constaté ne peut être supérieur à 1 250 euros, sans que le montant total imposé à raison du manquement constaté ne puisse dépasser 25 000 euros.

Art. 27(1) Lorsqu’une entité fournit des services dans plusieurs États membres, ou fournit

des services dans un ou plusieurs États membres alors que ses réseaux et systèmes d’information sont situés dans un ou plusieurs autres États membres, les autorités compétentes des États membres concernés coopèrent et se prêtent mutuellement assistance si nécessaire.

Cette coopération suppose, au minimum :

29 1° que les autorités compétentes appliquant des mesures de supervision ou d’exécution dans un État membre informent et consultent, par l’intermédiaire du point de contact unique, les autorités compétentes des autres États membres concernés en ce qui concerne les mesures de supervision et d’exécution prises ;

2° qu’une autorité compétente puisse demander à une autre autorité compétente de prendre des mesures de supervision ou d’exécution ;

3° qu’une autorité compétente, dès réception d’une demande motivée d’une autre autorité compétente, fournisse à l’autre autorité compétente une assistance mutuelle proportionnée à ses propres ressources afin que les mesures de supervision ou d’exécution puissent être mises en œuvre de manière effective, efficace et cohérente.

L’assistance mutuelle visée à l’alinéa 1er, point 3°, peut porter sur des demandes d’informations et des mesures de contrôle, y compris des demandes de procéder à des inspections sur place, à des contrôles à distance ou à des audits de sécurité ciblés. Une autorité compétente à laquelle une demande d’assistance est adressée ne peut refuser cette demande que s’il est établi que l’autorité n’est pas compétente pour fournir l’assistance demandée, que l’assistance demandée n’est pas proportionnée aux tâches de supervision de l’autorité compétente ou que la demande concerne des informations ou implique des activités dont la divulgation ou l’exercice seraient contraires aux intérêts essentiels de la sécurité nationale, la sécurité publique ou la défense de cet État membre. Avant de refuser une telle demande, l’autorité compétente consulte les autres autorités compétentes concernées ainsi que, à la demande de l’un des États membres concernés, la Commission et l’ENISA.

Chapitre 7 – Dispositions modificatives

Art. 28À l’article 45bis, paragraphe 3, de la loi modifiée du 14 août 2000 relative au

commerce électronique, les lettres a) et b) sont abrogées.

Art. 29La loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la

Protection nationale est modifiée comme suit :

1° À l’article 2, le point 5° est supprimé et l’article 2 est complété comme suit : « 5. « réseau et système d’information » : le réseau et système d’information au sens de l’article 2, point 1°, de la loi du XXXX concernant des mesures destinées à assurer un niveau élevé de cybersécurité ;

30 8. « incident » : l’incident au sens de l’article 2, point 5°, de la loi du XXXX concernant des mesures destinées à assurer un niveau élevé de cybersécurité ;

2° L’article 3 est modifié comme suit :

31

Le Haut-Commissaire à la Protection nationale peut, dans l’intérêt de l’exécution des missions du GOVCERT.LU, demander leur concours aux agents des administrations et services de l’État. »

3° Le chapitre 4bis est remplacé par la disposition suivante : « Chapitre 4bis – La stratégie nationale en matière de cybersécurité

Art. 9bis(1) Le Haut-Commissariat à la Protection nationale adopte une stratégie

nationale en matière de cybersécurité qui détermine les objectifs stratégiques, les ressources nécessaires pour atteindre ces objectifs ainsi que les mesures politiques et réglementaires appropriées, en vue de parvenir à un niveau élevé de cybersécurité et de le maintenir. La stratégie nationale en matière de cybersécurité comprend :

32

33

Le Haut-Commissariat à la Protection nationale évalue régulièrement la stratégie nationale en matière de cybersécurité, et au moins tous les cinq ans, sur la base d’indicateurs clés de performance et, le cas échéant, les modifient. » ;

4° Après l’article 9bis, il est inséré un nouveau chapitre 4ter, libellé comme suit : « Chapitre 4ter – Le plan national de réaction aux crises et incidents de cybersécurité majeurs

Art. 9terLe Haut-Commissariat à la Protection nationale adopte un plan national de

réaction aux crises et incidents de cybersécurité majeurs dans lequel sont définis les objectifs et les modalités de gestion des incidents de cybersécurité majeurs et des crises.

Ce plan établit notamment les éléments suivants :

34

5° A l’article 15bis, les termes « Le personnel de l’ANSSI, du CERT Gouvernemental et du SCC » sont remplacés par ceux de « Le personnel de l’ANSSI et du GOVCERT.LU ».

Art. 30Les articles 1 à 14 de la loi du 28 mai 2019 portant transposition de la directive (UE)

2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale sont abrogés.

Art. 31Les articles 42 et 43 de la loi du 17 décembre 2021 sur les réseaux et les services de

communications électroniques sont abrogés.

Chapitre 8 – Intitulé de citation

Art. 32La référence à la présente loi se fait sous la forme suivante : « loi du XXXX concernant

des mesures destinées à assurer un niveau élevé de cybersécurité ».

35 ANNEXE I Secteurs hautement critiques 1.

Secteur Énergie Sous-secteur

Transports

Secteur bancaire 40 4.

Infrastructures des marchés financiers - 5.

Santé - - - - - 41 point 43°, de la loi modifiée du 30 mai 2018 relative aux marchés d’instruments financiers Contreparties centrales au sens de l’article 2, point 1°, du règlement (UE) n°648/2012 du Parlement européen et du Conseil du 4 juillet 2012 sur les produits dérivés de gré à gré, les contreparties centrales et les référentiels centraux, tel que modifié Prestataires de soins de santé au sens de l’article 2, lettre e), de la loi modifiée du 24 juillet 2014 relative aux droits et obligations du patient Laboratoires de référence de l’Union européenne visés à l’article 15 du règlement (UE) 2022/2371 du Parlement européen et du Conseil du 23 novembre 2022 concernant les menaces transfrontières graves pour la santé et abrogeant la décision n°1082/2013/UE Entités exerçant des activités de recherche et de développement dans le domaine des médicaments au sens de l’article 1er, point 2°, de la directive 2001/83/CE du Parlement européen et du Conseil du 6 novembre 2001 instituant un code communautaire relatif aux médicaments à usage humain Entités fabriquant des produits pharmaceutiques de base et des préparations pharmaceutiques au sens de la NACE Rév. 2 Nomenclature statistique des activités économiques dans la Communauté européenne, section C, division 21 Entités fabriquant des dispositifs médicaux considérés comme critiques en cas d’urgence de santé publique (liste des dispositifs médicaux critiques en cas d’urgence de santé publique) au sens de l’article 22 du règlement (UE) 2022/123 du Parlement européen et du Conseil du 25 janvier 2022 relatif à un rôle renforcé de l’Agence européenne des médicaments dans la préparation aux crises et la gestion de celles-ci en ce 6.

Eau potable 7.

Eaux usées 8.

Infrastructure numérique 9.

Gestion des services TIC (interentreprises) qui concerne les médicaments et les dispositifs médicaux, tel que modifié Fournisseurs et distributeurs d’eaux destinées à la consommation humaine au sens de l’article 2, point 1°, lettre a), de la loi du 23 décembre 2022 relative à la qualité des eaux destinées à la consommation humaine et modifiant la loi modifiée du 19 décembre 2008 relative à l’eau, à l’exclusion des distributeurs pour lesquels la distribution d’eaux destinées à la consommation humaine constitue une partie non essentielle de leur activité générale de distribution d’autres produits et biens Entreprises collectant, évacuant ou traitant les eaux urbaines résiduaires, les eaux ménagères usées ou les eaux industrielles usées au sens de l’article 2, points 1°, 2° et 3°, du règlement grandducal modifié du 13 mai 1994 relatif au traitement des eaux urbaines résiduaires, à l’exclusion des entreprises pour lesquelles la collecte, l’évacuation ou le traitement des eaux urbaines résiduaires, des eaux ménagères usées ou des eaux industrielles usées constituent une partie non essentielle de leur activité générale

Gestion déchets 3.

Fabrication, production et distribution de produits chimiques 4.

Production, transformation et distribution des denrées alimentaires Type d’entité Prestataires de services postaux au sens de l’article 1er, point 12°, de la loi modifiée du 26 décembre 2012 sur les services postaux, y compris les prestataires de services d’expédition Entreprises exécutant des opérations de gestion des déchets au sens de l’article 4, point 22°, de la loi modifiée du 21 mars 2012 relative aux déchets, à l’exclusion des entreprises pour lesquelles la gestion des déchets n’est pas la principale activité économique Entreprises procédant à la fabrication de substances et à la distribution de substances ou de mélanges au sens de l’article 3, points 9° et 14°, du règlement (CE) n°1907/2006 du Parlement européen et du Conseil du 18 décembre 2006 concernant l'enregistrement, l'évaluation et l'autorisation des substances chimiques, ainsi que les restrictions applicables à ces substances (REACH), instituant une agence européenne des produits chimiques, modifiant la directive 1999/45/CE et abrogeant le règlement (CEE) n°793/93 du Conseil et le règlement (CE) n°1488/94 de la Commission ainsi que la directive 76/769/CEE du Conseil et les directives 91/155/CEE, 93/67/CEE, 93/105/CE et 2000/21/CE de la Commission, tel que modifié, et entreprises procédant à la production d’articles au sens de l’article 3, point 3°, dudit règlement, à partir de substances ou de mélanges Entreprises du secteur alimentaire au sens de l’article 3, point 2°, du règlement (CE) n°178/2002 du Parlement européen et du Conseil du 28 janvier 2002 établissant les principes généraux et les prescriptions générales de la législation alimentaire, instituant l'Autorité européenne de sécurité des aliments et Sous-secteur des 44 5.

Fabrication