2010/227/UE de la Commission, tel que modifié, à l’exception des entités fabriquant des dispositifs médicaux mentionnés à l’annexe I, point 5°, cinquième tiret Entreprises exerçant l’une des activités économiques visées dans la NACE Rév.
\n2 Nomenclature statistique des activités économiques dans la Communauté européenne, section C, division 26 Entreprises exerçant l’une des activités économiques visées dans la NACE Rév.
\n2 Nomenclature statistique des activités économiques dans la Communauté européenne, section C, division 27 Entreprises exerçant l’une des activités économiques visées dans la NACE Rév.
\n2 Nomenclature statistique des activités économiques dans la Communauté européenne, section C, division 28 Entreprises exerçant l’une des activités économiques visées dans la NACE Rév.
\n2 Nomenclature statistique des activités économiques dans la Communauté européenne, section C, division 29 6.
\nFournisseurs numériques 7.
\nRecherche
\nIl convient de noter que la directive NIS 2 n’est pas la première initiative qui tend à répondre à ces défis. En effet, la directive NIS 2 remplace la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union, ci-après la « directive NIS 1 », qui a été transposée en droit luxembourgeois par la loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale, ci-après la « loi NIS 1 ».1 Or, lors d’une évaluation de la directive NIS 1, il est devenu apparent que celle-ci n’était plus en mesure de répondre efficacement aux défis actuels et émergents liés à la cybersécurité en ce qu’elle laissait de la place à fortes divergences dans sa mise en œuvre par les États membres.
\nAinsi, le champ d’application, les obligations concernant la sécurité et la notification d’incidents et les mesures de supervision et d’exécution variaient considérablement d’un État membre à l’autre.2 Par conséquent, il existe de fortes divergences dans le niveau de cybersécurité d’un État à l’autre, ce qui peut aggraver la vulnérabilité de certains États face aux cybermenaces. Étant donné que ceci pourrait avoir des retombées dans l’ensemble de l’Union, ainsi que sur le fonctionnement du marché intérieur, le législateur européen a pris l’initiative de mettre à niveau les règles définies par la directive NIS 1, notamment en définissant des règles minimales concernant le fonctionnement d’un cadre règlementaire coordonné, en renforçant les mécanismes de coopération entre États membres, en mettant à jour la liste des secteurs soumis à des obligations en matière de cybersécurité et en prévoyant des mesures de supervision et d’exécution effectives.3 1 Loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale, Mém. A n° 372, 31 mai 2019, p. 1.
\n2 Consid. (2) et (4) directive NIS 2.
\n3 Consid. (5) directive NIS 2.
\n47 Il est à noter que la directive NIS 2 est en étroite relation avec la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil (Critical Entities Resilience Directive, ciaprès « directive CER ») 4 et le projet de loi n° 8307 y relatif.5 En effet, alors que la directive CER règlemente la résilience physique des « entités critiques », la directive NIS 2 se charge de la cybersécurité des « entités essentielles » et des « entités importantes ». Vu que la directive NIS 2 postule que chaque entité recensée comme entité critique est automatiquement une entité essentielle au sens de la directive NIS 2 et afin d’éviter tout double emploi, les deux directives prévoient une coopération étroite entre les autorités en charge de leur mise en œuvre.
\nLa directive NIS 2 compte assurer un niveau élevé de cybersécurité à travers trois axes. D’un côté, elle vise à renforcer la cybersécurité des entités dites essentielles et importantes en imposant à ces entités des obligations en matière de gestion des risques et de notification des incidents et, d’un autre côté, elle fixe des obligations concernant les politiques nationales en matière de cybersécurité. Finalement, la directive entend renforcer la coopération européenne entre les autorités de cybersécurité.
\nProjet de loi portant transposition de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil, et modifiant : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État ; 2° la loi modifiée du 23 juillet 2016 portant création d'un HautCommissariat à la Protection nationale, doc. parl. n° 8307.
\n6 Une grande entreprise est une entreprise qui occupe au moins 250 personnes ou dont le chiffre d’affaires annuel excède 50 millions d’euros ou dont le total du bilan annuel excède 43 millions d’euros (art. 2 de l’annexe de la recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises, J.O.U.E., L 124 du 20 mai 2003, p. 36).
\n7 Une entreprise moyenne occupe au moins 50 personnes ou a un chiffre d’affaires annuel ou un total du bilan annuel d’au moins 10 millions d’euros, sans dépasser les seuils qui la qualifieraient de grande entreprise (art. 2 de l’annexe de la recommandation 2003/361/CE, o.c., (v. note 6)).
\n5 48 médicaux de diagnostic in vitro, fabrication de produits informatiques, électroniques et optiques, fabrication d’équipements électriques, fabrication de machines et équipements n.c.a., construction de véhicules automobiles, remorques et semiremorques, fabrication d’autres matériels de transport), les fournisseurs numériques et la recherche. - Il existe néanmoins des exceptions à cette catégorisation. Ainsi, certaines entités sont toujours considérées comme « essentielles », quelle que soit leur taille. Tombent notamment dans cette catégorie, les entités identifiées comme critiques en vertu du projet de loi CER, les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau, les fournisseurs de services DNS, les fournisseurs de réseaux publics de communications électroniques publics qui constituent des moyennes entreprises ou encore les entités de l’administration publique.
\nNotons que la différence principale entre les entités essentielles et importantes réside dans la rigueur du contrôle auquel elles sont soumises.
\nAfin de renforcer la cybersécurité des entités essentielles et importantes, le projet de loi leur impose deux grandes obligations. - D’abord, les entités essentielles et importantes doivent mettre en place des mesures de gestion des risques en matière de cybersécurité. Ces mesures comprennent notamment la mise en place d’une politique relative à l’analyse des risques et à la sécurité des systèmes d’information, à la gestion des incidents et à la gestion de crise. - En outre, ces entités sont soumises à une obligation de notification. Ainsi, les entités essentielles et importantes devront notifier, endéans un certain délai, tout « incident important ».
\nRemarquons que, pour éviter des doubles emplois et des charges inutiles, les dispositions précitées ne s’appliquent pas aux entités soumises à des législations sectorielles de l’Union européenne qui leur imposeraient des mesures ayant un effet au moins équivalent à celui des obligations du projet de loi NIS 2.
\nRemarquons que l’impact de la directive sur les secteurs relevant de la compétence de la CSSF reste relativement modeste, vu que ces secteurs sont d’ores et déjà soumis à un grand nombre d’obligations en vertu d’autres législations sectorielles. - Afin d’assurer une cohérence entre le présent projet de loi et le projet de loi portant transposition de la directive CER, le projet de loi accorde la mission de point de contact unique au Haut-Commissariat à la Protection nationale (HCPN). Le point de contact unique assure la coopération transfrontière des autorités compétentes luxembourgeoises avec les autorités compétentes des autres États membres et, le cas échéant, avec la Commission européenne et l’Agence de l’Union européenne pour la cybersécurité et garantit la coopération intersectorielle avec les autres autorités compétentes nationales. - Un nouveau rôle introduit par la directive NIS 2 est celui de l’autorité de gestion des crises cyber. Cette fonction sera exercée par le HCPN, organe national de gestion de crises, et impliquera l’adoption d’un plan national de réaction aux crises et incidents de cybersécurité majeurs qui définira les objectifs et les modalités de gestion des incidents de cybersécurité majeurs et des crises. En sus, le HCPN représente le Grand-Duché au sein du réseau européen pour la préparation et la gestion des crises cyber (« EUCyCLONe »). - Finalement, la directive impose la mise en place de centres de réponse aux incidents de sécurité informatique (CSIRT). Cette fonction sera exercée par le HCPN, dans sa fonction de GOVCERT.LU, pour les administrations et services de l’État, les établissements publics et les entités critiques désignées en vertu de la directive CER et par le Computer Incident Response Center Luxembourg (CIRCL) pour tous les autres cas. Remarquons que cette répartition est en ligne avec les compétences actuelles du GOVCERT.LU, qui est le centre réponse aux incidents de sécurité informatique de l’État et des infrastructures critiques. - Il reviendra au HCPN d’élaborer la stratégie nationale en matière de cybersécurité, qui remplace la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information instaurée par la directive NIS 1. Cette stratégie a pour but de déterminer les objectifs stratégiques, les ressources nécessaires pour atteindre ces objectifs ainsi que les mesures politiques et réglementaires appropriées, en vue de parvenir à un niveau élevé de cybersécurité et de le maintenir. Vu que le HCPN est d’ores et déjà en charge
\nd’élaborer la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information, il est cohérent de lui confier cette mission.
\n50 - Le groupe de coopération, qui a été mis en place par la directive NIS 1, vise à mettre en place une coopération politique au niveau européen en matière de cybersécurité.
\nAinsi, le groupe a pour mission de faciliter la coopération stratégique et l’échange d’informations entre les États membres et de renforcer la confiance. - Le réseau des CSIRT, lui aussi mis en place par la directive NIS 1, vise à intensifier la coopération entre États membres au niveau technique. Ainsi, il a pour mandat de contribuer au renforcement de la confiance et de promouvoir une coopération opérationnelle rapide et efficace entre les États membres. - Le réseau européen pour la préparation et la gestion des crises cyber (EUCyCLONe) est un nouveau réseau introduit par la directive NIS 2. Selon la directive, ce réseau tend à contribuer à la gestion coordonnée, au niveau opérationnel, des incidents de cybersécurité majeurs et des crises, à garantir l’échange régulier d’informations pertinentes entre les États membres et les institutions, organes et organismes de l’Union européenne.
\nPuisque les dispositions de la directive concernant le groupe de coopération, le réseau des CSIRT et le réseau européen pour la préparation et la gestion des crises cyber se suffisent à elles-mêmes, elles n’ont pas été transposées en droit luxembourgeois.
\n51 Commentaire des articles Ad art. 1er L’article 1er du projet de loi définit son champ d’application. D’abord, le premier paragraphe fixe le principe que les micro et petites entreprises sont exclues du champ d’application de la loi sous projet. Ainsi, sont couvertes les entités publiques ou privées d’un secteur visé à l’annexe I ou II, qui constituent des entreprises moyennes8 ou des grandes entreprises9 en vertu de l’article 2 de l’annexe de la recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises,10 et qui fournissent leurs services ou exercent leurs activités au sein de l’Union européenne. Le champ d’application par secteur est étendu à une plus grande partie de l’économie pour assurer une couverture complète des secteurs et des services qui ont une importance cruciale pour les activités économiques et sociétales essentielles dans le marché intérieur.
\nEnsuite, le deuxième paragraphe procède à une énumération limitative de cas dans lesquels le présent projet sera entièrement applicable aux entités visées, peu importe leur taille. Ainsi, on retrouve parmi cette liste le cas de l’entité qui, au Luxembourg, est le seul prestataire d’un service essentiel au maintien d’activités sociétales ou économiques critiques, ou encore, le cas de l’entité qui fournit un service dont la perturbation pourrait induire un risque systémique important.
\nVu l’étroite relation entre le présent projet et la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil, ci-après « directive CER »,11 il convient de veiller à ce que les champs d’application des deux textes s’articulent d’une manière cohérente. 12 Ainsi, le troisième paragraphe pose que la loi sous projet s’applique à toutes les entités recensées en tant qu’entités critiques en vertu de ladite directive, quelle que soit leur taille.
\nPar analogie au projet de loi n° 8307 portant transposition de la directive CER, ci-après « projet de loi CER », la présente loi sous projet est aussi applicable aux administrations et entités qui exercent des activités dans le domaine de la sécurité nationale, de la sécurité publique, de la défense et de l’application de la loi, y compris la prévention et la détection des infractions pénales, ainsi que les poursuites en la matière. Alors que la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) Une entreprise moyenne occupe au moins 50 personnes ou a un chiffre d’affaires annuel ou un total du bilan annuel d’au moins 10 millions d’euros, sans dépasser les seuils qui la qualifieraient de grande entreprise.
\n9 Une grande entreprise est une entreprise qui occupe au moins 250 personnes ou dont le chiffre d’affaires annuel excède 50 millions d’euros ou dont le total du bilan annuel excède 43 millions d’euros.
\n10 Recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises, J.O.U.E., L 124 du 20 mai 2003, p. 36.
\n11 Directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil, J.O.U.E., L 333 du 27 décembre 2022, p. 164 ; projet de loi n° 8307 portant transposition de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil, et modifiant : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État ; 2° la loi modifiée du 23 juillet 2016 portant création d'un HautCommissariat à la Protection nationale.
\n12 Remarquons que, puisque la directive 2022/2557 est en cours de transposition (projet de loi n° 8307, cf. note
\n8 52 2016/1148, ci-après « directive NIS 2 »,13 aurait permis de les exclure, les auteurs du projet de loi ont fait le choix de ne pas suivre cette voie, vu que déjà aujourd’hui, certaines entités de ces secteurs ont été recensées comme critiques.
\nLe paragraphe 5 exclut les entités exclues du champ d’application du règlement (UE) 2022/2554 du Parlement européen et du Conseil14 du champ d’application de la présente loi, conformément à l’article 2, paragraphe 4 dudit règlement.
\nLe sixième paragraphe précise que la présente loi sous projet ne remet pas en cause la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité.15 De ce fait, le présent projet de loi ne s’applique pas aux systèmes de communication et d’information où sont conservées ou traitées des pièces classifiées au sens de la loi précitée.
\nD’une part, la loi du 15 juin 2004 prévoit que l’Autorité nationale de Sécurité (ANS) est l’autorité chargée de veiller à la sécurité des pièces classifiées et d’autre part, le projet de loi n° 6961 attribue à l’ANS certaines missions en relation avec les systèmes d’information classifiés. Ainsi, il reviendra notamment à l’ANS de définir une politique de sécurité en relation avec ces systèmes, de procéder à des inspections périodiques de ces systèmes et de participer à des groupes de travail ou des missions relatifs à la sécurité physique de lieux et de systèmes d’informations sensibles.16 Afin de ne pas empiéter sur la compétence de l’ANS dans ce domaine, le présent projet de loi ne s’appliquera donc pas aux systèmes d’information classifiés.
\nLe dernier paragraphe du présent article prévoit que lorsque des dispositions d’actes juridiques sectoriels de l’Union européenne exigent des entités essentielles ou importantes qu’elles prennent des mesures de gestion des risques en matière de cybersécurité, ou notifient des incidents importants, et lorsque ces exigences ont un effet au moins équivalent aux obligations correspondantes prévues par la loi sous projet, les dispositions pertinentes du présent projet ne s’appliquent pas, de manière à éviter tout double emploi ou charge inutile. Dans un tel cas, les dispositions pertinentes de cet acte juridique sectoriel s’appliquent. Ainsi, le secteur de l’aviation dispose d’une réglementation qui impose à ses entités des obligations en matière de cybersécurité.17 Notons que, lorsqu’un acte juridique sectoriel de l'Union européenne ne couvre pas l'ensemble des entités d'un secteur visé dans la loi sous projet, les dispositions pertinentes de la présente loi s’appliquent pour ces entités.18 Pour garantir une sécurité juridique, le paragraphe prévoit que les autorités compétentes déterminent par voie de règlement ou de circulaire les actes juridiques sectoriels de l’Union européenne ayant un effet au moins équivalent à la présente loi. Les autorités se conforment 13 Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148, J.O.U.E., L 333 du 27 décembre 2022, p. 80.
\n14 Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) no 1060/2009, (UE) no 648/2012, (UE) no 600/2014, (UE) no 909/2014 et (UE) 2016/1011, J.O.U.E., L 333, 27 décembre 2022, p. 1.
\n15 Loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité, Mém. A n°113 du 12 juillet 2004.
\n16 Projet de loi n° 6961 portant 1. création de l'Autorité nationale de sécurité et 2. modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) de la loi modifiée du 13 janvier 2019 instituant un Registre des bénéficiaires effectifs ; 3) du Code pénal, doc. parl. n° 6961 13.
\n17 Consid. (29) directive NIS 2.
\n18 Consid. (23) directive NIS 2.
\n53 pour cela aux lignes directrices adoptées par la Commission européenne qui permettent de garantir une interprétation harmonisée entre les États membres. A noter que ces lignes directrices19 indiquent notamment que le règlement (UE) 2022/2554 du Parlement européen et du Conseil (Règlement DORA) est à considérer comme un acte juridique sectoriel de l’Union européenne ayant un effet au moins équivalent à la présente loi. Les dispositions dudit règlement portant sur les mesures de gestion des risques concernant les technologies de l’information et de la communication (TIC), la gestion des incidents liés aux TIC et notamment la notification des incidents majeurs liés aux TIC, ainsi que sur le test de la résilience opérationnelle numérique, les accords de partage d’informations et les risques liés aux tiers en matière de TIC s’appliquent au lieu de celles prévues par la loi sous projet. Par conséquent, les dispositions relatives à la gestion des risques de cybersécurité, aux obligations de notification et à la supervision et exécution ne s’appliquent pas à ces entités financières.20 Ad art. 2 L’article 2 reprend la définition des termes employés dans le projet de loi. Signalons que la grande majorité des définitions fait preuve d’une transposition fidèle de la directive NIS 2.
\nLa définition sous l’article 2, point 1°, énonce ce que la loi sous projet comprend par « réseau et système d’information ». Cette définition vise à clarifier les types de systèmes et de réseaux qui sont couverts par le projet de loi, englobant à la fois les réseaux de communications électroniques tels que définis dans la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques21 et les dispositifs interconnectés qui traitent des données numériques.
\nL’article 2, point 3°, définit le terme « cybersécurité ». La cybersécurité englobe toutes les actions nécessaires pour protéger les réseaux et systèmes d’information, les utilisateurs de ces systèmes et les autres personnes exposées aux cybermenaces.22 Les cybermenaces représentent des risques pour la confidentialité, l'intégrité et la disponibilité des données, ainsi que pour la sécurité des utilisateurs finaux. En mettant l'accent sur la protection des utilisateurs et de toutes autres personnes exposées, le présent projet de loi adopte une approche holistique dans le but de minimiser les impacts négatifs des cybermenaces sur la société dans son ensemble.
\nUn incident, défini au point 5° de l’article 2, se réfère à un événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises Communication de la Commission, lignes clarifiant l’application de l’article 4, paragraphes 1 et 2, de la directive (UE) 2022/2555 (directive SRI 2), J.O.U.E., C 328/2 du 18 septembre 2023, p. 2.
\n20 Consid. (28) directive NIS 2.
\n21 Mém. A, n° 927 du 22 décembre 2021. L’article 2, point 1, de cette loi se lit comme suit : « « réseau de communications électroniques » : les systèmes de transmission, qu’ils soient ou non fondés sur une infrastructure permanente ou une capacité d’administration centralisée et, le cas échéant, les équipements de commutation ou de routage et les autres ressources, y compris les éléments de réseau qui ne sont pas actifs, qui permettent l’acheminement de signaux par câble, par la voie hertzienne, par moyen optique ou par d’autres moyens électromagnétiques, comprenant les réseaux satellitaires, les réseaux fixes (avec commutation de circuits ou de paquets, y compris l’internet) et mobiles, les systèmes utilisant le réseau électrique, pour autant qu’ils servent à la transmission de signaux, les réseaux utilisés pour la radiodiffusion sonore et télévisuelle et les réseaux câblés de télévision, quel que soit le type d’information transmise ; ».
\n22 Article 2, point 1, règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n o 526/2013, J.O.U.E., L 151 du 7 juin 2019, p. 15.
\n19 54 ou faisant l’objet d’un traitement, ou des services que les réseaux et systèmes d’information offrent ou rendent accessibles. Les entités essentielles et importantes doivent être capables de prévenir les incidents les touchant ou susceptibles de les toucher. En outre, le projet de loi met en place un système de notification des incidents ayant un impact important sur la fourniture de leurs services.
\nLa cybermenace est définie au point 9° du même article et constitue « toute circonstance, tout événement ou toute action potentiels susceptibles de nuire ou de porter autrement atteinte aux réseaux et systèmes d'information, aux utilisateurs de tels systèmes et à d'autres personnes, ou encore de provoquer des interruptions de ces réseaux et systèmes ».23 Cette définition met en évidence la nature dynamique et en constante évolution des cybermenaces. En effet, les cybermenaces peuvent prendre de nombreuses formes, telles que des logiciels malveillants, d'attaques de phishing, de violations de données, de dénis de service, ou autres.
\nLa dix-septième définition sous l’article 2 explique le terme « point d’échange internet », qui est une structure de réseau qui permet l’interconnexion de plus de deux réseaux indépendants, également appelés systèmes autonomes. L'objectif principal de cette interconnexion est de permettre l'échange de trafic internet entre ces réseaux.
\nCe point d'échange internet se distingue par deux caractéristiques essentielles. D’abord, il ne fournit une interconnexion que pour des systèmes autonomes, ce qui signifie qu'il est conçu spécifiquement pour faciliter la connectivité entre réseaux indépendants. Ensuite, il n'impose pas que le trafic internet échangé entre n'importe quelle paire de systèmes autonomes participants passe par un système autonome tiers, ni qu'il soit modifié ou altéré d'une manière quelconque.
\nLe « système de noms de domaine » (« DNS »), défini à l’article 2, point 18°, est un système hiérarchique et distribué qui attribue des noms aux services et aux ressources sur internet.
\nL’attribution de noms permet l'identification desdits services et ressources, ce qui rend possible l'utilisation des services de routage et de connectivité internet par les dispositifs des utilisateurs finaux pour accéder à ces services et ressources. Le rôle principal du système est donc de traduire les noms de domaine assignés en adresses IP (Internet Protocol). Afin de permettre ce type de « traduction » des noms de domaine en adresses IP opérationnelles, le DNS exploite une base de données et utilise des serveurs de noms et un résolveur.24 Vu qu’il est primordial de soutenir et de préserver un système de noms de domaine fiable, résilient et sécurisé afin de protéger l’intégrité de l’internet et d’assurer son fonctionnement continu et stable, la loi sous projet s’applique aussi aux fournisseurs de services DNS (point 19°) et aux registres de noms de domaine de premier niveau (point 20°).25 L'article 2, point 29°, définit le « service d'informatique en nuage ». Un service d'informatique en nuage est un service numérique qui permet l’administration à la demande et l’accès large à distance à un ensemble, modulable et variable, de ressources informatiques, pouvant être partagées, même lorsque ces ressources sont réparties dans différents endroits. Les ressources 23 Ibid., article 2, point 8.
\nAnnexe de la communication de la Commission au Parlement européen et au Conseil, « Exploiter tout le potentiel de la directive SRI – Vers la mise en œuvre effective de la directive (UE) 2016/1148 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union », C.O.M. (2017) 476 final, p. 25.
\n25 Consid. (32) directive NIS 2.
\n24 55 informatiques comprennent des ressources telles que les réseaux, les serveurs ou d’autres infrastructures, les systèmes d’exploitation, les logiciels, le stockage, les applications et les services.26 - Les termes « administration à la demande » portent sur la capacité des utilisateurs de services d’informatique en nuage de se fournir eux-mêmes en capacités informatiques, comme du temps de serveur ou du stockage en réseau, sans aucune intervention humaine de la part du fournisseur.27 - Les termes « accès large à distance » portent sur le fait que les capacités en nuage sont fournies sur le réseau et que l’accès à celles-ci se fait par des mécanismes encourageant le recours à des plateformes clients légères ou lourdes disparates, y compris les téléphones mobiles, les tablettes, les ordinateurs portables et les postes de travail.28 - Le terme « modulable » renvoie aux ressources informatiques qui sont attribuées d’une manière souple par le fournisseur de services en nuage, indépendamment de la localisation géographique de ces ressources, pour gérer les fluctuations de la demande.29 - Le terme « variable » est utilisé pour décrire les ressources informatiques qui sont mises à disposition et libérées en fonction de la demande afin de pouvoir augmenter ou réduire rapidement les ressources disponibles en fonction de la charge de travail.30 - Les notions « pouvant être partagées » sont utilisées pour décrire les ressources informatiques mises à disposition de nombreux utilisateurs qui partagent un accès commun au service. Bien que le service soit fourni à partir du même équipement électronique, le traitement est effectué séparément pour chaque utilisateur.31 - Le terme « distribué » est utilisé pour décrire les ressources informatiques qui se trouvent sur des ordinateurs ou des appareils en réseau différents, qui communiquent et se coordonnent par transmission de messages.32 Le point 34° de l’article 2 reprend la définition de l’entité de l’administration publique. Faute de définition de l’administration publique dans la législation luxembourgeoise, la référence au droit national a été omise dans le texte de transposition. En outre, alors que la directive NIS 2 exclut les entités de l’administration publique qui exercent leurs activités dans les domaines de la sécurité nationale, la sécurité publique, la défense ou de l’application de la loi, une telle exclusion n’est pas prévue par le projet de loi, de sorte que chaque entité qui répond aux critères de l’article 2, point 34°, est susceptible d’être considérée comme entité essentielle. Ainsi, le
\nprésent projet de loi se montre cohérent avec le projet de loi 8307 33 qui prévoit lui aussi que les entités des secteurs de la défense, de la sécurité publique et de la sécurité nationale puissent être recensées comme entités critiques.
\n26 Consid. (33) directive NIS 2.
\nConsid. (33) directive NIS 2.
\n28 Consid. (33) directive NIS 2.
\n29 Consid. (33) directive NIS 2.
\n30 Consid. (33) directive NIS 2.
\n31 Consid. (33) directive NIS 2.
\n32 Consid. (33) directive NIS 2.
\n33 Projet de loi n° 8307, o.c., (v. note 11).
\n27 56 La définition sous le point 40° énonce ce que la loi sous projet comprend par « organisme de recherche », nouveau type d’entité par rapport à la directive NIS 1. 34 Un organisme de recherche est une entité qui concentre l’essentiel de ses activités sur la conduite de la recherche appliquée ou du développement expérimental, en vue d’exploiter les résultats de recherche à des fins commerciales, telles que la fabrication ou la mise au point d’un produit ou d’un processus, la fourniture d’un service ou la commercialisation d’un produit, d’un processus ou d’un service.35 Afin de faciliter la compréhension de la loi sous projet, la définition du « CIRCL » a été insérée à l’article 2, point 41°, et constitue dès lors, au niveau des définitions, un ajout par rapport au texte de la directive NIS 2. Le Computer Incident Response Center Luxembourg et le GOVCERT.LU constituent des centres de réponse aux incidents de sécurité informatique (CSIRT).
\nFinalement, les définitions des points 42°, 43° et 44° ont été ajoutées afin de préciser les dispositions sur la protection des données à caractère personnel (articles 28 et suivants). En effet, les « données de communications électroniques », le « contenu de communications électroniques » et les « métadonnées de communications électroniques » constituent une partie des catégories de données qui sont susceptibles d’être traitées dans le contexte de ce projet de loi.
\nAd art. 3 L’article 3 détermine les autorités compétentes chargées de veiller à l’application correcte du présent projet de loi.
\nD’une part, la loi sous projet s’insère dans la logique de la loi du 28 mai 2019 portant transposition de la directive NIS 136 et attribue à l’Institut Luxembourgeois de Régulation (ILR) la fonction d’autorité compétente en matière de sécurité des réseaux et des systèmes d’information pour la grande majorité des secteurs (énergie, transports, santé, eau potable, eaux usées, infrastructures numériques, services TIC, administration publique, espace, services postaux et d’expédition, gestion des déchets, fabrication, production, transformation et distribution de produits chimiques et de denrées alimentaires, fabrication, fournisseurs numériques, recherche).
\nD’autre part, vu l’expertise et la compétence de la Commission de surveillance du secteur financier (CSSF) en matière bancaire et financière, il a été jugé cohérent de lui confier le rôle d’autorité compétente pour le secteur bancaire et le secteur des infrastructures des marchés financiers. En outre, la CSSF est l’autorité compétente pour le secteur des infrastructures 34 Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union, J.O.U.E., L 194 du 19 juillet 2016, p. 1.
\n35 Consid. (36) directive NIS 2.
\n36 Loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale, Mém. A n° 372, 31 mai 2019, p. 1.
\n57 numériques et le secteur de la gestion des services TIC, en ce qui concerne les activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier.
\nAfin d’assurer une bonne coopération entre les autorités compétentes et d’assurer une approche cohérente en matière de cybersécurité, le troisième alinéa de l'article 3 prévoit une exception au secret professionnel inscrit dans les lois organiques respectives de la CSSF et de l’ILR, afin de permettre aux autorités compétentes, aux CSIRT et au point de contact unique d’échanger des informations en cas de besoin.
\nAd art. 4 Alors que les nouvelles missions de la CSSF en tant qu’autorité compétente se recoupent largement avec le domaine de compétence actuel de la CSSF, l’ILR voit ses missions élargies notamment par le fait que le champ d’application de la directive NIS2 englobe plus de secteurs que celui de la première directive NIS. De ce fait, l’ILR se voit accorder une contribution financière à charge du budget de l’État afin de couvrir l’intégralité des frais de fonctionnement qui résultent de l’exercice de ses missions prévues par la présente loi.
\nAd art. 5 Afin d’assurer une cohérence entre le présent projet de loi et le projet de loi CER, 37 le projet de loi accorde la mission d’ordre stratégique de point de contact unique au Haut-Commissariat à la Protection nationale (HCPN).
\nEn tant que point de contact unique, le HCPN a pour mission de faciliter la coopération et la communication transfrontières et de permettre la mise en œuvre effective de la présente loi sous projet. Dans la mise en œuvre de cette mission, le point de contact unique est chargé de coordonner les tâches liées à la sécurité des réseaux et des systèmes d’information et de la coopération transfrontière au niveau de l’Union européenne.38 Ainsi, le HCPN assure la coopération transfrontière des autorités compétentes luxembourgeoises avec les autorités compétentes des autres États membres, et, le cas échéant, avec la Commission et l’Agence de l’Union européenne pour la cybersécurité (ENISA), ainsi que la coopération intersectorielle avec les autres autorités compétentes nationales. La CSSF et l’ILR pourront également participer aux groupes de travail et de coopération ayant trait aux compétences respectives de ces autorités.
\nAd art. 6 L’article 6 désigne le HCPN en tant qu’autorité compétente chargée de la gestion des incidents de cybersécurité majeurs et des crises, ci-après « autorité de gestion des crises cyber ». Le HCPN représente par ailleurs le Grand-Duché de Luxembourg au sein du réseau européen pour la préparation et la gestion des crises cyber, dénommé « EU-CyCLONe ».
\n37 38 Projet de loi n° 8307, o.c., (v. note 11).
\nConsid. (39) directive NIS 2.
\n58 Ad. art. 7 L’article 7 détermine les autorités compétentes pour la gestion des incidents de sécurité informatique qui pourraient menacer la stabilité et la sécurité des entités essentielles et importantes.
\nD’une part, l’article 7, paragraphe 1er, attribue au Haut-Commissariat à la Protection nationale, dans sa fonction de GOVCERT.LU, la responsabilité de garantir la fonction de centre de réponse aux incidents de sécurité informatique (CSIRT) pour les administrations, les services de l'État, les établissements publics et les entités critiques en vertu de la directive CER. Ceci est en ligne avec les compétences que la loi modifiée du 23 juillet 201639 attribue au GOVCERT.LU.
\nD’autre part, la loi sous projet désigne le CIRCL en tant que CSIRT pour tous les autres cas, pour lesquels le HCPN, dans sa fonction de GOVCERT.LU, n’est pas compétent.
\nLe deuxième paragraphe précise que les CSIRT couvrent les secteurs et sous-secteurs énumérés dans les annexes I et II du présent projet de loi, et qu'ils doivent suivre un processus bien défini pour la gestion des incidents. Les CSIRT doivent fournir une réponse rapide et adéquate pour faire face aux incidents de sécurité informatique.
\nLe paragraphe 3 souligne l'importance de la coopération entre les CSIRT et les communautés sectorielles ou intersectorielles d'entités essentielles et importantes. Cette coopération et l'échange d'informations sont essentiels pour anticiper et répondre efficacement aux menaces qui évoluent rapidement dans le domaine de la cybersécurité.
\nAd art. 8 Le premier paragraphe de l’article 8 liste les tâches des CSIRT. D’abord, les CSIRT ont une obligation générale de surveiller et d’analyser les cybermenaces et de diffuser des alertes. Les CSIRT veilleront à ce que les autorités compétentes soient informées de ces alertes. Ensuite, les entités essentielles et importantes peuvent demander l’assistance aux CSIRT pour la surveillance en temps réel ou quasi réel de leurs réseaux et systèmes d’information, pour la réaction aux incidents et pour la réalisation de scans proactifs de leurs réseaux afin de détecter des vulnérabilités éventuelles. Notons qu’afin de clarifier que cette assistance des CSIRT n’aura lieu que sur demande de l’entité concernée, la terminologie du point 3 a été légèrement adaptée par rapport au texte de la directive. En outre, les CSIRT jouent un rôle important dans les réseaux de coopération internationale, tels que le réseau des CSIRT. Vu que les cybermenaces peuvent entraîner des répercussions transfrontalières, le partage d’informations relève d’une importance primordiale. Enfin, dans la même lignée, le CIRCL est chargé de coordonner le processus de divulgation coordonnée des vulnérabilités en vertu de l’article 9, paragraphe 1er, de la présente loi sous projet, et les deux CSIRT contribuent au déploiement d'outils de partage d'informations sécurisés conformément à l’article 10, paragraphe 3, de la directive NIS 2.
\n39 Art. 3, para. 1quater, loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale, Mém. A n°137 du 28 juillet 2016, p. 1.
\n59 Afin de pouvoir mener à bien leurs missions, les CSIRT respectent certaines exigences qui visent à garantir un niveau élevé de disponibilité, de confidentialité et de continuité de leur service, tels que : - la disponibilité et communication : les CSIRT doivent maintenir un niveau élevé de disponibilité de leurs canaux de communication, en évitant les points de défaillance. Ils doivent disposer de plusieurs moyens de communication pour être contactés et pour contacter d'autres parties à tout moment. La spécification claire de ces canaux de communication est essentielle pour garantir une réponse rapide et efficace aux incidents ; - la sécurité des locaux et des systèmes : les locaux des CSIRT, ainsi que les systèmes d'information qu'ils utilisent, doivent être situés sur des sites sécurisés ; - la gestion et routage des demandes : les CSIRT doivent disposer d'un système de gestion et de routage des demandes approprié pour faciliter les transferts efficaces des informations et des demandes. Cela permet d'assurer une coordination efficace entre les différentes parties impliquées dans la gestion des incidents ; - la confidentialité et fiabilité : les CSIRT sont tenus de garantir la confidentialité et la fiabilité de leurs opérations. Cela inclut la protection des données sensibles et la fourniture de services fiables pour les entités qui font appel à leurs services ; - le personnel et la formation : les CSIRT doivent disposer du personnel adéquat pour assurer une disponibilité permanente de leurs services. De plus, ils doivent veiller à ce que leur personnel reçoive une formation appropriée pour faire face aux menaces et aux incidents ; - la continuité de service : les CSIRT doivent avoir en place des systèmes redondants et un espace de travail de secours pour garantir la continuité de leurs services, même en cas de perturbations majeures.
\nLe paragraphe 2 met l'accent sur l'importance de la coopération entre les CSIRT et le secteur privé. En effet, la collaboration et le partage d’informations entre les CSIRT et les acteurs du secteur privé permet de mieux anticiper les cybermenaces et de réagir plus efficacement aux incidents. Afin de faciliter cette coopération, les CSIRT encouragent l’adoption et l’utilisation de pratiques, de systèmes de classification et de taxonomies communs ou normalisés portant sur les procédures de gestion des incidents, la gestion de crise et la divulgation coordonnée des vulnérabilités en vertu de l’article 9, paragraphe 1er, du présent projet de loi.
\nAd art. 9 L'article 9 porte sur la divulgation coordonnée des vulnérabilités qui se caractérise par un processus structuré dans lequel les vulnérabilités sont signalées au fabricant ou au fournisseur de produits TIC ou de services TIC afin qu’ils puissent diagnostiquer la vulnérabilité et y remédier.40 40 Consid. (58) directive NIS 2.
\n60 Le CIRCL, dans son rôle de coordinateur aux fins de la divulgation coordonnée des vulnérabilités, est un intermédiaire de confiance qui facilite les interactions entre la personne physique ou morale qui signale une vulnérabilité et le fabricant ou le fournisseur des produits TIC ou des services TIC potentiellement vulnérables.
\nConcrètement, le CIRCL est chargé d'identifier et de contacter les entités concernées et d’apporter une assistance aux personnes qui signalent une vulnérabilité. En sus, il négocie les délais de divulgation, gère les vulnérabilités qui touchent plusieurs entités (divulgation multipartite coordonnée de vulnérabilité) et coopère au sein du réseau du CSIRT, lorsque la vulnérabilité pourrait avoir un impact transfrontalier.41 Ce rôle d’intermédiaire est important pour faciliter le cadre volontaire de divulgation des vulnérabilités et pour garantir une communication fluide et la prise en compte rapide de la vulnérabilité signalée.
\nLa possibilité est offerte aux personnes physiques ou morales de signaler une vulnérabilité de manière anonyme, si elles le souhaitent. Ceci favorise un environnement propice à la divulgation sans crainte de représailles et renforce la confiance des parties prenantes.
\nUne base de données européennes des vulnérabilités, mise en place par l’ENISA, permet l’accès en temps utile à des informations correctes relatives aux vulnérabilités touchant les produits et services TIC et contribue à une meilleure gestion des risques en matière de cybersécurité. Les entités, leurs fournisseurs de réseaux et de systèmes d’information, les autorités compétentes, ainsi que les CSIRT, peuvent, à titre volontaire, y divulguer et enregistrer les vulnérabilités publiquement connues afin de permettre aux utilisateurs de prendre les mesures d’atténuation appropriées.42 Ad art. 10 L’article 10 met en lumière l'importance de la coopération et de l'échange d'informations entre notamment les autorités compétentes, le point de contact unique et les CSIRT dans le cadre de la mise en œuvre de la loi sous projet.
\nLe paragraphe 2 souligne que les informations et les notifications concernant les incidents importants, les incidents, les cybermenaces et les incidents évités notifiées à l’autorité compétente doivent être transmises au CSIRT concerné et au point de contact unique. Cette transparence dans le partage d'informations est essentielle pour une réponse rapide et efficace aux incidents de cybersécurité.
\nLe paragraphe 3 de l’article 10 encourage la coopération entre les organes compétents sous la présente loi sous projet et d'autres organismes, tels que les autorités répressives, les autorités chargées de la protection des données, les autorités nationales compétentes en matière de sûreté de l'aviation civile, les organes de contrôle en matière de transactions électroniques, les autorités de régulation des communications électroniques, et les autorités compétentes en vertu de la directive CER.
\n41 42 Consid. (61) directive NIS 2.
\nConsid. (62) directive NIS 2.
\n61 Vu que chaque entité critique en vertu de la directive CER constitue une entité essentielle et afin d’assurer la cohérence entre la mise en œuvre de la présente loi sous projet et de la directive CER, les autorités compétentes en vertu des deux textes coopèrent et échangent des informations sur le recensement des entités critiques, les risques, les cybermenaces et les incidents, sur les risques, menaces et incidents non cyber touchant les entités critiques, ainsi que sur les mesures prises pour faire face à ces risques, menaces et incidents.
\nAfin d’assurer une bonne coopération entre les autorités compétentes, le point de contact unique, les CSIRT, les autorités compétentes en vertu de la directive CER, et les autres organismes visés à l’article 10 du présent projet de loi, le paragraphe 5 prévoit une exception au secret professionnel inscrit dans les lois organiques respectives de la CSSF et de l’ILR.
\nAd art. 11 L’article 11 décrit les entités qui relèvent du champ d’application du présent projet et qui sont donc soumises aux mesures de gestion des risques en matière de cybersécurité et aux obligations de notification. Les entités sont classées en deux catégories, entités essentielles et entités importantes, en fonction de la mesure dans laquelle elles sont critiques au regard du secteur ou du type de service qu’elles fournissent, ainsi que de leur taille.43 Les premier et deuxième paragraphes de l’article 11 posent quelles entités sont à considérer comme essentielles et importantes. - En principe, les entités essentielles sont des grandes entreprises44 actives dans des secteurs hautement critiques, spécifiés dans l’annexe I du projet de loi. Plus concrètement, il s’agit des secteurs de l’énergie (électricité, réseaux de chaleur et de froid, pétrole, gaz, hydrogène), du transport (transports aériens, transports ferroviaires, transports par eau, transports routiers), du secteur bancaire, des infrastructures des marchés financiers, de la santé, de l’eau potable, des eaux usées, de l’infrastructure numérique, de la gestion des services TIC, de l’administration publique et de l’espace. - Les entités importantes sont en règle générale des moyennes entreprises45 actives dans les secteurs hautement critiques de l’annexe I et les grandes entreprises ou moyennes entreprises actives dans les « autres secteurs critiques » spécifiés dans l’annexe II du projet de loi. Parmi les secteurs énumérés à l’annexe II figurent les services postaux et d’expédition, la gestion des déchets, la fabrication, la production et la distribution de produits chimiques, la production, la transformation et la distribution des denrées alimentaires, la fabrication (fabrication de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro, fabrication de produits informatiques, électroniques et optiques, fabrication d’équipements électriques, fabrication de machines et équipements n.c.a., construction de véhicules automobiles, remorques et semi- 43 Consid. (15) directive NIS 2.
\nUne grande entreprise est une entreprise qui occupe au moins 250 personnes ou dont le chiffre d’affaires annuel excède 50 millions d’euros ou dont le total du bilan annuel excède 43 millions d’euros (art. 2 de l’annexe de la recommandation 2003/361/CE, o.c., (v. note 10)).
\n45 Une entreprise moyenne occupe au moins 50 personnes ou a un chiffre d’affaires annuel ou un total du bilan annuel d’au moins 10 millions d’euros, sans dépasser les seuils qui la qualifieraient de grande entreprise (art. 2 de l’annexe de la recommandation 2003/361/CE, o.c., (v. note 10)).
\n44 62 remorques, fabrication d’autres matériels de transport), les fournisseurs numériques et la recherche. - Il existe néanmoins des exceptions à cette catégorisation. Ainsi, notamment les entités critiques en vertu de la directive (UE) 2022/255746 et les opérateurs de services essentiels identifiés sous la loi du 28 mai 2019 portant transposition de la directive NIS 147 sont tous considérés comme entités essentielles.
\nRemarquons que les entités essentielles sont soumises à des régimes de supervision et d’exécution plus stricts.48 Notons aussi que les considérants de la directive NIS 2 donnent des recommandations concernant les entreprises partenaires et les entreprises liées, afin d’éviter que celles-ci seraient considérées comme entités essentielles ou importantes lorsque ceci serait disproportionné.49 Ainsi, une évaluation au cas par cas devrait déterminer le degré d’indépendance de l’entité en question par rapport à ses partenaires et entreprises liées en ce qui concerne le réseau et les systèmes d’information qu’elle utilise pour fournir ses services et en ce qui concerne les services qu’elle fournit. Par conséquent, le degré d’indépendance d’une entité pourra faire en sorte que celle-ci ne dépasse pas les seuils pertinents de la recommandation 2003/361/CE50 et ne sera donc pas à considérer comme entité essentielle ou importante.
\nL’article 11 prévoit également, en son paragraphe 3, la création et la mise à jour régulière de listes des entités essentielles et importantes, ainsi que des entités fournissant des services d'enregistrement de noms de domaine par les autorités compétentes.51 La régularité de la mise à jour garantit que les informations restent pertinentes et à jour. Ces listes devront par ailleurs être partagées au CSIRT compétent et au point de contact unique afin que ces derniers puissent satisfaire leurs missions respectives.
\nEnfin, le paragraphe 4 stipule les informations que les entités concernées doivent au moins fournir aux autorités compétentes afin de compléter ces listes. Cela comprend des données de contact précises, des informations sur les secteurs et activités, sur leur présence géographique et sur leur taille et, le cas échéant, celle du groupe d’entités auquel l’entité appartient. Afin de faciliter la transmission de ces données, les autorités compétentes mettent en place une plateforme dédiée à cet effet.
\nAprès que les entités se sont inscrites via le mécanisme national, l’autorité compétente leur confirme leur désignation en tant qu’entité essentielle ou importante.
\nAd art. 12 Vu qu’il incombe aux entités essentielles et importantes de garantir la sécurité de leurs réseaux et systèmes d’information, l’article 12 du projet de loi impose à ces entités de mettre en place des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées 46 Projet de loi n° 8307, o.c., (v. note 11).
\nLoi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148, o.c., (v. note 36).
\n48 Voir chapitre 6 du projet de loi.
\n49 Consid. (16) directive NIS 2.
\n50 Art. 2 de l’annexe de la recommandation 2003/361/CE, o.c., (v. note 10).
\n51 Consid. (18) directive NIS 2.
\n47 63 pour gérer les risques qui menaceraient la sécurité de ces réseaux et systèmes et pour éliminer ou réduire les conséquences que les incidents auraient sur les utilisateurs de leurs services.
\nNotons que ces entités devront garantir la sécurité de tous les réseaux et systèmes d’information qu’elles utilisent, indépendamment du fait que ces entités effectuent la maintenance de ces réseaux en interne ou qu’elles l’externalisent.52 Les mesures à mettre en place par les entités essentielles et importantes doivent englober des mesures visant à identifier tous les risques d'incidents, à prévenir et à détecter ces incidents, ainsi qu'à y réagir, à s’en rétablir, et à atténuer leurs effets. Elles doivent, d’une part, prendre en considération le degré de dépendance de l'entité essentielle ou importante à l’égard des réseaux et systèmes d'information.53 D’autre part, elles devront répondre aux risques qui découlent de la chaîne d’approvisionnement d’une entité et de ses relations avec ses fournisseurs, tels que les fournisseurs de services de stockage et de traitement des données ou les fournisseurs de services de sécurité gérés et les éditeurs de logiciels.54 Les entités essentielles et importantes doivent, avant tout, mettre en place une variété de pratiques de cyberhygiène de base, notamment l'adoption de principes « confiance zéro », la mise à jour régulière des logiciels, la configuration des dispositifs, la segmentation des réseaux, la gestion des identités et des accès, ainsi que la sensibilisation des utilisateurs. De plus, ces entités doivent organiser des formations pour leur personnel et les sensibiliser aux cybermenaces. Elles doivent également évaluer leur propre niveau de préparation en matière de cybersécurité et, s’il y a lieu, poursuivre l'intégration de technologies de renforcement de la cybersécurité, telles que l'intelligence artificielle ou les systèmes d'apprentissage automatique, pour améliorer leurs capacités et renforcer la sécurité de leurs réseaux et systèmes d'information.55 A noter que les mesures à mettre en place ne devraient pourtant pas être disproportionnées.
\nAinsi, les mesures devraient être adaptées au niveau de risque existant, en prenant en considération l'état de l’art de ces mesures, les normes européennes et internationales applicables, ainsi que le coût de mise en œuvre.56 La proportionnalité de ces mesures est évaluée en fonction de différents critères. Ainsi, il faudra prendre en compte la criticité de l’entité, les risques, y compris les risques sociétaux, auxquelles elle est exposée, la taille de l’entité et la probabilité de survenance d’incidents et leur gravité.57 Le troisième alinéa du premier paragraphe prévoit qu’un règlement ou une circulaire de l’autorité compétente précisera un cadre d’analyse des risques qui aidera les entités essentielles et importantes à identifier les risques. A l’instar de la transposition de la directive NIS 1, ce projet permet aux autorités compétentes de pouvoir demander aux entités essentielles et importantes d’utiliser un outil d’analyse de risque spécifique.
\nLes mesures de gestion des risques en matière de cybersécurité se fondent sur une approche « tous risques » (paragraphe 2). En d’autres mots, les mesures techniques, opérationnelles et organisationnelles doivent couvrir un large éventail d’éléments, notamment la gestion des 52 Consid. (83) directive NIS 2.
\nConsid. (78) directive NIS 2.
\n54 Consid. (85) directive NIS 2.
\n55 Consid. (89) directive NIS 2.
\n56 Consid. (81) directive NIS 2.
\n57 Consid. (82) directive NIS 2.
\n53 64 incidents, la sécurité de la chaîne d'approvisionnement, la formation, la cybersécurité ou encore l'utilisation de solutions d'authentification à plusieurs facteurs.
\nLe troisième paragraphe est une ajoute par rapport à la directive. Ce paragraphe prévoit que les mesures mises en place par les entités essentielles doivent être notifiées à l'autorité compétente.
\nLes modalités de cette notification seront précisées par l’autorité compétente par voie de règlement ou de circulaire. Cette précision est en ligne avec la transposition de la directive NIS 158 et constitue un parallélisme avec la législation en matière de télécommunications qui exige une notification similaire à l’ILR.59 Enfin, le paragraphe 5 insiste sur la nécessité pour les entités de prendre des mesures correctives en cas de non-conformité avec les mesures de gestion des risques en matière de cybersécurité.
\nAd art. 13 L'article 13 souligne le rôle des organes de direction dans l'approbation des mesures de gestion des risques en matière de cybersécurité. Les membres des organes de direction ont la responsabilité de superviser la mise en œuvre de ces mesures et peuvent être tenus responsables en cas de violation de l’article 12.60 De plus, les membres des organes de direction et le personnel des entités essentielles et importantes sont tenus de suivre régulièrement une formation (paragraphe 2) et à en offrir régulièrement une aux membres du personnel. Ces formations visent à ce que ces personnes aient les connaissances et les compétences nécessaires pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l’entité. En favorisant la sensibilisation et la formation, les entités sont mieux préparées à faire face aux cybermenaces.
\nAd art. 14 La procédure de notification et de gestion des incidents de cybersécurité est définie à l’article 14. Le texte de la directive tend à trouver un juste équilibre entre une notification rapide et efficace destinée à atténuer une propagation éventuelle, d’une part, et une notification détaillée permettant une analyse approfondie des incidents qui augmentera la cyberrésilience des entités à moyen et long terme.61 D'abord, le paragraphe 1er stipule que les entités essentielles et importantes notifient à l'autorité compétente tout incident ayant un impact important sur leur fourniture des services (ci-après « incident important »). L’importance de l’incident est déterminée à l’aide d’une évaluation initiale effectuée par l’entité concernée et prend en compte, d’un côté, les perturbations opérationnelles graves des services de l’entité ou les pertes financières pour l’entité et, d’un autre côté, la nuisance à des personnes physiques ou morales en causant un dommage matériel, corporel ou moral considérable. Les considérants de la directive citent plusieurs exemples 58 Art. 8, para. 3, loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148, o.c., (v. note 36).
\nArt. 42, para. 1er, al. 2, la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques, Mém. A n° 927, 22 décembre 2021.
\n60 Consid. (137) directive NIS 2.
\n61 Consid. (101) directive NIS 2.
\n59 65 d’éléments jouant un rôle lors de cette évaluation initiale. Ainsi, l’entité concernée devra considérer les réseaux et les systèmes d’information touchés et notamment leur importance dans la fourniture des services de l’entité, la gravité et les caractéristiques techniques de l’incident, ainsi que l’expérience de l’entité en matière de traitement d’incidents similaires.
\nAfin de déterminer la gravité de la perturbation opérationnelle du service, les entités devraient tenir compte notamment de la mesure dans laquelle le fonctionnement du service est affecté, de la durée de l’incident et du nombre d’utilisateurs touchés.62 Lorsqu'une cybermenace importante est détectée, l’entité concernée en informe les destinataires de ses services afin de leur donner la possibilité de prendre des mesures pour se prémunir contre la menace ou pour atténuer ses effets (paragraphe 2). Alors que cette obligation d’information des destinataires devra être respectée dans toute la mesure du possible, elle ne saurait dispenser l’entité de prendre, de son côté, les mesures appropriées afin de prévenir et de gérer l’incident. Notons que la notification aux destinataires du service devrait être gratuite et formulée dans un langage facilement compréhensible.63 Le quatrième paragraphe de l’article 14 établit le détail de la procédure de notification des incidents importants aux autorités compétentes. Ainsi, les entités concernées soumettent à l’autorité compétente, sans retard injustifiée et au plus tard dans les vingt-quatre heures après avoir eu connaissance de l’incident, une notification préliminaire. Notons que les termes « alerte précoce » de la directive ont été remplacés par ceux de « notification préliminaire » afin d’éviter toute confusion avec le mécanisme d’alerte précoce activé par le CSIRT dans le cadre de l’article 8, paragraphe 1er. Remarquons que la notification préliminaire devrait uniquement inclure les informations nécessaires pour porter l’incident important à la connaissance de l’autorité compétente et, le cas échéant, pour permettre à l’entité concernée de demander une assistance.64 La notification préliminaire est suivie, dans les soixante-douze heures après avoir eu connaissance de l’incident, d’une notification d’incident. Cette notification servira à mettre à jour les informations transmises lors de la notification préliminaire et fournira une évaluation initiale de l’incident.
\nSignalons que ni la notification préliminaire, ni la notification proprement dite ne devraient détourner les ressources de l’entité concernée des activités liées à la gestion des incidents qui devraient avoir la priorité.
\nAprès avoir reçu la notification préliminaire et la notification d’incident, l’autorité compétente ou le CSIRT peuvent demander à l’entité concernée de soumettre un rapport intermédiaire et, au plus tard un mois après la présentation de la notification d’incident, un rapport final.
\nEnsuite, l’autorité compétente, en coopération avec le CSIRT concerné, fournit une réponse à l’entité émettrice de la notification et, à sa demande, des orientations ou des conseils opérationnels sur la mise en œuvre d’éventuelles mesures d’atténuation (paragraphe 5).
\nLorsqu'un incident important a un impact sur deux États membres ou plus, il est essentiel que le point de contact unique informe rapidement les États membres concernés ainsi que l'ENISA.
\nCette action vise à garantir une réponse coordonnée et efficace à l'incident, minimisant ainsi 62 Consid. (101) directive NIS 2.
\nConsid. (103) directive NIS 2.
\n64 Consid. (102) directive NIS 2.
\n63 66 ses conséquences potentielles tout en garantissant les intérêts commerciaux des entités et la confidentialité des informations (paragraphe 6).
\nLors de la survenance d’un incident important, il peut parfois être nécessaire de sensibiliser le public pour prévenir de futures menaces ou pour gérer la situation de manière appropriée.
\nLorsque la sécurité et les intérêts du public sont en jeu, l'autorité compétente, les CSIRT et les autorités compétentes des autres États membres peuvent, après avoir consulté l’entité concernée, informer le public de l’incident important ou exiger de l’entité qu’elle le fasse (paragraphe 7).
\nD’après le paragraphe 9, le point de contact unique soumet des rapports périodiques sur les incidents de cybersécurité à l'ENISA et, à la demande de l’autorité compétente, aux points de contact uniques des autres États membres touchés (paragraphe 8).
\nEnfin, le paragraphe 10 prévoit que les autorités compétentes en vertu du présent projet de loi fournissent aux autorités compétentes de la directive CER des informations sur les incidents importants, les incidents, les cybermenaces et les incidents évités notifiés.
\nAd art. 15 Cet article permet à l’autorité compétente d’exiger des entités essentielles et importantes d’utiliser des produits, services et processus TIC spécifiques qui répondent aux normes de certification de cybersécurité européennes. Cette démarche vise à garantir la conformité aux exigences de l'article 12, renforçant ainsi la sécurité des entités essentielles et importantes, ainsi que celle des services essentiels qu'elles fournissent. L'utilisation de produits et services TIC certifiés permet de s'assurer que les technologies de l'information et des communications utilisées par ces entités répondent aux normes de sécurité les plus élevées, réduisant ainsi les risques liés à des cybermenaces.
\nAd art. 16 L’article 16 traite de la compétence territoriale des autorités luxembourgeoises en définissant les cas dans lesquels une entité est considérée comme relevant de la compétence du GrandDuché de Luxembourg.
\nLe paragraphe 1er énonce que les entités relevant du champ d’application du présent projet de loi sont soumises à la compétence du Grand-Duché de Luxembourg si elles y sont établies.
\nCependant, il y a des exceptions, notamment pour les fournisseurs de services de communications électroniques, les entités de l’administration publique et divers autres prestataires de services TIC. Ces entités sont soumises à la compétence de l'État membre dans lequel elles fournissent leurs services, ont leur établissement principal dans l'Union européenne ou par lequel elles ont été établies.65 Le paragraphe 2 précise également comment déterminer l'établissement principal des fournisseurs de services DNS, des registres des noms de domaine de premier niveau, des entités fournissant des services d’enregistrement de noms de domaine, des fournisseurs de services 65 Consid. (113) directive NIS 2.
\n67 d’informatique en nuage, des fournisseurs de services de centres de données, des fournisseurs de réseaux de diffusion de contenu, des fournisseurs de services gérés, des fournisseurs de services de sécurité gérés, ainsi que des fournisseurs de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux entité, dans l'Union européenne. Selon les considérants de la directive, l’établissement suppose l’exercice effectif d’une activité au moyen d’une installation stable. Cependant, la forme juridique de l’entité (filiale, succursale ou autre) ne joue aucun rôle à cet égard. En outre, la localisation physique du réseau et des systèmes d’information n’est pas déterminante afin d’identifier la localisation de l’établissement principal. Ce qui importe est de déterminer l’État membre dans lequel sont principalement prises les décisions relatives aux mesures de gestion des risques en matière de cybersécurité dans l’Union. Généralement, cet endroit est le lieu d’administration centrale des entités dans l’Union. S’il s’avérait impossible de déterminer dans quel État membre ces décisions étaient prises, il faudra considérer que l’établissement principal se trouve dans l’État membre où sont effectuées les opérations de cybersécurité. Si, à nouveau, il n’est pas possible de déterminer cet État membre, il faudra considérer que l’établissement principal se trouve dans l’État membre où l’entité possède l’établissement comptant le plus grand nombre de salariés dans l’Union. Lorsque les services sont effectués par un groupe d’entreprises, il convient de considérer que l’établissement principal dans l’Union de l’entreprise qui exerce le contrôle est l’établissement principal du groupe d’entreprises au sens du présent projet de loi.66 Le troisième paragraphe concerne les entités citées ci-dessus non établies dans l'Union européenne qui offrent des services au Luxembourg. Afin de déterminer si une entité propose des services au Luxembourg, il convient d’examiner si elle envisage d’offrir des services à des personnes au Grand-Duché. Remarquons que la seule accessibilité du site Internet de l’entité ou d’un intermédiaire ou d’une adresse électronique ou d’autres coordonnées ou encore l’utilisation d’une langue généralement utilisée dans le pays tiers où l’entité est établie ne suffisent pas pour établir une telle intention. Cependant, des facteurs tels que la faculté d’acquérir des services en euros, l’utilisation d’une langue généralement utilisée au Luxembourg, avec la possibilité de commander des services dans cette langue ou la mention
\nde clients ou d’utilisateurs qui se trouvent au Luxembourg pourraient indiquer que l’entité envisage d’offrir des services au Grand-Duché.67 Ces entités doivent désigner un représentant dans l'Union européenne, établi dans l'un des États membres où elles fournissent des services. Ce représentant devra agir pour le compte de l’entité et devra pouvoir être contacté par les autorités compétentes ou les CSIRT. Il devra être expressément désigné par un mandat écrit de l’entité le chargeant d’agir en son nom pour remplir les obligations, y compris la notification des incidents, qui lui incombent en vertu du présent projet.68 Si les entités ne désignent pas de représentant, l'État luxembourgeois peut engager des poursuites judiciaires contre elles pour violation de la présente loi sous projet.
\nAd art. 17 L’article 17 traite de l’obligation des fournisseurs de services DNS, des registres de noms de domaine de premier niveau, des entités fournissant des services d'enregistrement de noms de 66 Consid. (114) directive NIS 2.
\nConsid. (116) directive NIS 2.
\n68 Consid. (116) directive NIS 2.
\n67 68 domaine, des fournisseurs de services d'informatique en nuage, des fournisseurs de services de centres de données, des fournisseurs de réseaux de diffusion de contenu, des fournisseurs de services gérés, des fournisseurs de services de sécurité gérés, ainsi que des fournisseurs de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux de fournir certaines informations à l'autorité compétente.
\nD’après le paragraphe 1er, ces entités soumettent des informations spécifiques à l'autorité compétente, telles que le nom de l'entité, le secteur dans lequel elle opère, l'adresse de son établissement principal, ses coordonnées, les États membres dans lesquels elle fournit des services et ses plages d’IP. Ensuite, le point de contact unique transmet ces informations à l'ENISA pour la mise en place d'un registre, visé à l’article 27 de la directive NIS 2, afin d’assurer une bonne vue d’ensemble de ces entités.69 Ces entités doivent, en outre, notifier à l'autorité compétente toute modification des informations fournies dans un délai de trois mois à compter de la date de la modification (paragraphe 2).
\nAd art. 18 L’article 18 concerne la collecte des données d'enregistrement des noms de domaine, en mettant l'accent sur la sécurité, la stabilité et la résilience du système de noms de domaine.70 Le premier paragraphe stipule que les registres des noms de domaine de premier niveau et les entités fournissant des services d'enregistrement de noms de domaine sont tenus de collecter les données d'enregistrement avec diligence, conformément à la législation sur la protection des données personnelles, au sein d’une base de données spécialisée. Cette base de données contient des informations telles que le nom de domaine, la date d'enregistrement, les coordonnées du titulaire et du point de contact (paragraphe 2).
\nAfin de garantir la qualité des données relatives à l’enregistrement des noms de domaine, les registres des noms de domaine de premier niveau et les entités qui fournissent des services d’enregistrement de noms de domaine devraient mettre en place des politiques et des procédures aux fins de collecter des données d’enregistrement de noms de domaine, de maintenir ces données exactes et complètes et pour prévenir et corriger les données d’enregistrement inexactes (paragraphe 3).71 En outre, le paragraphe 4 prévoit que les registres de noms de domaine de premier niveau et les entités d'enregistrement rendent publiques les données d'enregistrement qui ne sont pas des données personnelles, immédiatement après l'enregistrement du nom de domaine.72 Le paragraphe 5 concerne l'accès aux données d'enregistrement de noms de domaine par les demandeurs d’accès légitimes. Un demandeur d’accès légitime est une personne physique ou morale qui formule une demande en vertu du droit de l’Union européenne ou du droit luxembourgeois, telle qu’une autorité compétente en vertu du présent projet de loi ou les autorités compétentes en matière de prévention et de détection d’infractions pénales, 69 Consid. (117) directive NIS 2.
\nConsid. (109) directive NIS 2.
\n71 Consid. (111) directive NIS 2.
\n72 Consid. (112) directive NIS 2.
\n70 69 d’enquêtes et de poursuites. La demande d’accès doit être accompagnée d’une motivation permettant d’évaluer la nécessité d’accès aux données.73 A cet effet, les registres des noms de domaine de premier niveau et les entités fournissant des services d’enregistrement de noms de domaine mettent en place des procédures d’accès qui pourraient notamment inclure l’utilisation d’une interface, d’un portail ou d’un autre outil technique afin de fournir un système efficace de demande et d’accès aux données d’enregistrement.74 Les registres des noms de domaine de premier niveau et les entités fournissant des services d’enregistrement de noms de domaine sont tenus de répondre dans un délai de soixante-douze heures à ces demandes.
\nEnfin, le dernier paragraphe encourage la coopération entre les registres de noms de domaine de premier niveau et les entités d'enregistrement pour garantir la cohérence et l'efficacité de cette collecte de données. Il est important de veiller que la collecte des données d’enregistrement des noms de domaine n’entraine de répétition inutile.
\nAd art. 19 L'article 19 de la loi sous projet met en lumière l'importance de la coopération et de l'échange d'informations en matière de cybersécurité pour les entités relevant de son champ d'application et celles ne relevant pas de son champ d’application. Dans un paysage numérique de plus en plus complexe et menaçant, le partage volontaire d'informations pertinentes sur les menaces et les vulnérabilités est essentiel et contribue à accroitre la sensibilisation aux cybermenaces ainsi que d’empêcher les menaces de se concrétiser.75 Le premier paragraphe de l’article 19 précise les objectifs de cet échange d’informations, notamment la prévention des incidents, la détection des menaces, la réaction à ces dernières, le rétablissement après incident et l’atténuation de leurs impacts. De plus, il souligne que cet échange d’informations doit contribuer à renforcer le niveau global de cybersécurité, en sensibilisant aux menaces, en limitant leur propagation, en remédiant aux vulnérabilités, et en mettant en œuvre des stratégies de défense et des techniques de détection et de prévention des menaces.
\nLe deuxième paragraphe porte sur la mise en œuvre d’accords de partage d’informations en matière de cybersécurité pour faciliter l’échange d’informations. Ces accords doivent tenir compte de la nature sensible des informations. En outre, ces accords précisent les éléments opérationnels, y compris l’utilisation de plateformes TIC spécialisées et d’outils d’automatisation, le contenu et les conditions des accords de partage d’informations. Lorsque des autorités publiques participent à ces accords, des conditions en ce qui concerne les informations mises à disposition par les autorités compétentes ou les CSIRT peuvent être imposées. Les autorités offrent un soutien aux entités dans l’application de ces accords de partage d’informations.
\nEnfin, le dernier paragraphe souligne l’importance de notifier à l’autorité compétente la participation à de tels accords, ainsi que les retraits de ces accords.
\n73 Consid. (110) directive NIS 2.
\nConsid. (112) directive NIS 2.
\n75 Consid. (119) directive NIS 2.
\n74 70 Ad art. 20 L’article 20 met en avant l’importance de la coopération volontaire et du partage d’informations en matière de cybersécurité. En effet, il établit un cadre qui permet aux entités essentielles et importantes, ainsi qu’à d’autres entités qui ne relèvent pas du champ d’application du présent projet de loi, de notifier à titre volontaire des incidents, des cybermenaces et des incidents évités aux autorités compétentes.
\nLe premier paragraphe précise que ces notifications volontaires ne se substituent pas aux obligations de notification énoncées à l'article 14. Même si les entités essentielles et importantes sont tenues de notifier les incidents importants, elles sont encouragées à signaler d'autres incidents, menaces ou incidents évités de manière volontaire aux autorités compétentes. De même, les entités qui ne relèvent pas du champ d’application du présent projet de loi peuvent également contribuer à la sécurité des systèmes et réseaux d’information en signalant des incidents importants, des cybermenaces ou des incidents évités à l’Institut Luxembourgeois de Régulation. En effet, vu que la CSSF a une compétence très spécifique en matière bancaire et financière et que ces secteurs et les entités afférentes sont couverts par le présent projet de loi, il a été jugé plus opportun de désigner l’ILR en tant qu’interlocuteur unique pour les entités qui ne relèvent pas du champ d’application du présent projet.
\nLe deuxième paragraphe met en place un mécanisme de traitement des notifications volontaires par les autorités compétentes, en leur donnant la possibilité d’accorder la priorité aux notifications obligatoires afin que les incidents importants soient traités en premier lieu. De plus, il stipule que les informations pertinentes provenant de ces notifications volontaires peuvent être transmises au CSIRT concerné et au point de contact unique, tout en veillant à la confidentialité et à la protection appropriée des informations.
\nEnfin, l'article 20 souligne que, sans préjudice de la prévention et de la détection d’infractions pénales et des enquêtes et poursuites en la matière, le fait de signaler volontairement un incident n'entraîne pas d'obligations supplémentaires pour l'entité qui a effectué la notification. Cela vise, en effet, à encourager la divulgation proactive des incidents.
\nAd art. 21 L'article 21 permet aux autorités compétentes de fixer des priorités en ce qui concerne les tâches de supervision selon une approche basée sur les risques. Cette approche permet aux autorités de hiérarchiser leurs actions de supervision et d'adapter leurs mesures en fonction des niveaux de risque associés aux différentes entités essentielles. Plus précisément, les autorités compétentes peuvent classer les entités essentielles en catégories de risque, en utilisant des critères et des valeurs de référence. En fonction de cette classification, elles peuvent recommander des mesures de supervision adaptées à chaque catégorie de risque. Cela peut inclure des méthodes telles que les inspections sur place, les audits de sécurité ciblés, les scans de sécurité, la collecte d'informations spécifiques, et le niveau de détail requis dans les rapports.76 De plus, en son deuxième paragraphe, l'article souligne l'importance de la coopération entre les autorités compétentes en matière de cybersécurité et les autorités de contrôle en vertu du 76 Consid. (124) directive NIS 2.
\n71 règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE. Cette coopération revêt une importance cruciale pour traiter les incidents liés aux violations de données à caractère personnel, garantissant ainsi une approche cohérente et coordonnée de ces questions.
\nAd art. 22 L'article 22 détaille les mesures de supervision et d'exécution que les autorités compétentes prennent à l'égard des entités essentielles. Les entités essentielles sont soumises à un régime de supervision à part entière, ex ante et ex post.77 Ces mesures visent à garantir que ces entités respectent les obligations prévues par le présent projet et sont effectives, proportionnées et dissuasives compte tenu des circonstances spécifiques de chaque cas.
\nD’une part, parmi les pouvoirs de supervision accordés aux autorités compétentes, nous retrouvons (paragraphe 2) : - les inspections sur place et les contrôles à distance ; les audits de sécurité ; les audits ad hoc ; les scans de sécurité ; les demandes d'informations ; les demandes d'accès à des données et documents ; et les demandes de preuves de mise en œuvre de politiques de cybersécurité.
\nRemarquons que lorsqu’un audit de sécurité est effectué par un organisme indépendant, les coûts en relation avec cet audit sont à la charge de l’entité contrôlée.
\nLes autorités compétentes s’assurent que les professionnels chargés de la supervision sont correctement formés et possèdent les compétences nécessaires pour mener à bien leurs missions. Cela inclut la capacité de réaliser des inspections sur place, ainsi que des contrôles hors site, tout en étant capables d'identifier les faiblesses potentielles dans les bases de données, le matériel, les pare-feux, le chiffrement et les réseaux.78 Il est important de noter que les mesures de supervision ne devraient pas entraver inutilement les activités économiques des entités concernées. La nécessité de trouver un équilibre entre la sécurité numérique et la continuité des activités économiques est cruciale dans un environnement de plus en plus numérique. Alors que des mesures de supervision rigoureuses sont nécessaires pour garantir la sécurité des réseaux et des systèmes d'information, elles doivent être appliquées de manière à minimiser les conséquences économiques négatives.79 D’autre part, parmi les pouvoirs d’exécution accordés aux autorités compétentes, nous retrouvons (paragraphe 4) : - l'émission d'avertissements ; l'adoption d'instructions contraignantes ;
\n77 Consid. (122) directive NIS 2.
\nConsid. (125) directive NIS 2.
\n79 Consid. (123) directive NIS 2.
\n78 72 - l’ordonnance de mettre un terme à des comportements violant le projet de loi ; l’ordonnance de mises en conformité spécifiques ; l’ordonnance d’informer les personnes susceptibles d’être affectées par une cybermenace ; l’ordonnance de mettre en œuvre les recommandations ; la désignation d’un responsable du contrôle du respect des articles 12 et 14 ; l’ordonnance de rendre publics les aspects de violations de le projet de loi ; et l'imposition d'amendes administratives en vertu de l’article 24.
\nLorsque les mesures ci-avant s’avèrent inefficaces, les autorités compétentes ont en outre le pouvoir de suspendre temporairement des certifications ou autorisations liées aux services fournis par l'entité ou d'interdire temporairement à des responsables dirigeants de l'entité d'exercer leurs fonctions (paragraphe 5). À noter est que la suspension temporaire ne peut être infligée aux entités de l'administration publique relevant du projet de loi.
\nLe paragraphe 7 liste les circonstances que les autorités compétentes prennent en compte lors de la mise en œuvre des mesures d’exécution des paragraphes 4 et 5. Ainsi, sont notamment pris en compte la gravité de la violation, la durée de celle-ci, toute violation antérieure commise, les dommages causés, le fait que l’auteur de la violation a agi délibérément ou par négligence, les mesures prises par l’entité pour prévenir ou atténuer les dommages, l’application de codes de conduite, et la coopération des personnes responsables avec les autorités compétentes.
\nSelon le huitième paragraphe de l’article 22, les autorités compétentes sont dans l’obligation d’exposer en détail les motifs de leurs mesures d’exécution aux entités essentielles et leur donnent un délai raisonnable afin de présenter leurs observations. Or, dans des situations dûment justifiées présentant une cybermenace importance ou un risque imminent, les autorités compétentes prennent des mesures d'exécution immédiates. Cela signifie qu'elles mettent en place des actions rapidement pour contrer les menaces, minimiser les dommages potentiels et protéger les réseaux et systèmes d'information.80 Enfin, les autorités compétentes collaborent avec d'autres autorités compétentes nationales, notamment dans le domaine de la résilience des entités critiques et de la résilience opérationnelle numérique du secteur financier, pour s'assurer du respect de la loi sous projet par les entités concernées (paragraphes 9 et 10).
\nAd art. 23 L’article 23 traite des mesures de supervision et d'exécution applicables aux entités importantes. Il met en avant l'importance de ces mesures pour garantir la conformité des entités importantes à la réglementation en vigueur, en particulier en ce qui concerne les articles 12 et 14. Les entités importantes sont soumises à un régime de supervision léger, uniquement ex post. Les entités importantes ne sont pas tenues de notifier systématiquement leur conformité aux exigences en matière de gestion des risques de cybersécurité.
\nLe paragraphe 1er stipule que les autorités compétentes prennent des mesures de contrôle ex post basées sur des éléments de preuve, des indications ou des informations indiquant une 80 Consid. (126) directive NIS 2.
\n73 possible violation du projet de loi. Ces éléments peuvent être soumis par diverses sources, y compris d'autres autorités, des citoyens, les médias ou d'autres entités, ou peuvent résulter des activités menées par les autorités compétentes.81 Ces mesures doivent être efficaces, proportionnées et dissuasives, adaptées à chaque cas spécifique.
\nD’une part, le deuxième paragraphe de l’article 23 énumère les pouvoirs de supervision des autorités compétentes lorsqu'elles supervisent les entités importantes, notamment : - la possibilité de mener des inspections sur place et des contrôles à distance ; la réalisation d'audits de sécurité ciblés par un organisme indépendant ou l’autorité compétente ; la réalisation de scans de sécurité ; la demande d'informations et de preuves ; et la demande d’accès à des données et à des documents.
\nD’autre part, le quatrième paragraphe énumère les pouvoirs d’exécution des autorités compétentes, notamment la possibilité de : - émettre des avertissements ; adopter des instructions contraignantes ; ordonner de mettre un terme à des comportements violant le projet de loi ; ordonner des mises en conformité spécifiques ; ordonner d’informer les personnes susceptibles d’être affectées par une cybermenace ; ordonner de mettre en œuvre les recommandations ; ordonner de rendre publics les aspects de violations du projet de loi ; imposer des amendes administratives en cas de non-conformité.
\nDe même que pour les entités essentielles, les autorités compétentes prennent des mesures d'exécution immédiates dans des cas dûment motivés présentant une cybermenace importance ou un risque imminent.82 Le paragraphe 5 prévoit que les paragraphes 6, 7 et 8 de l’article 22 du projet s’appliquent également aux entités importantes. Ce paragraphe offre une continuité dans l'approche réglementaire en matière de cybersécurité, en s'assurant que toutes les entités importantes sont soumises à des mécanismes de surveillance similaires, bien que potentiellement moins intensifs.
\nSous le paragraphe 6, les autorités compétentes collaborent avec les autorités compétentes relevant du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011. Cette coopération vise à renforcer la supervision et l'exécution des règles en matière de cybersécurité.
\n81 82 Consid. (122) directive NIS 2.
\nConsid. (126) directive NIS 2.
\n74 Ad art. 24 Cet article porte sur la coordination entre les autorités compétentes en vertu de la présente loi sous projet et les autorités de contrôle en matière de protection des données à caractère personnel. Tout d'abord, en son paragraphe 1er, l’article souligne l’obligation des autorités compétentes de notifier sans délai injustifié les autorités de contrôle compétentes en vertu du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »)83 lorsqu’elles ont connaissance d’une violation de données à caractère personnel.
\nEn outre, si les autorités de contrôle imposent une amende administrative en vertu de l’article 58 du RGPD pour une violation dudit règlement, les autorités compétentes n’imposent pas une amende administrative supplémentaire en vertu de la présente loi sous projet pour une violation résultant du même comportement. Cependant, les autorités compétentes conservent la possibilité d’imposer d’autres mesures d’exécution prévues aux articles 22 et 23 (paragraphe
\nEnfin, le troisième paragraphe souligne la nécessité de coopération entre les autorités compétentes en vertu du présent projet de loi et les autorités de contrôle compétentes en vertu du RGPD, en particulier lorsque l'autorité de contrôle est établie dans un autre État membre.
\nAd art. 25 L'article 25, paragraphe 1er, porte sur les sanctions en cas de non-respect des obligations prévues par les articles 11, paragraphe 4, 13, paragraphes 1er et 2, 15, 17, paragraphes 1er et 2, et 18, paragraphes 1er à 6, garantissant que les entités essentielles ou importantes se conforment à cette loi et aux normes de cybersécurité requises. Afin d’éviter que la présente loi reste lettre morte, il y a lieu de prévoir des sanctions administratives à l’encontre de ceux qui ne la respectent pas. Ainsi, l’autorité compétente peut imposer aux entités essentielles ou importantes des avertissements, des blâmes ou des amendes administratives. Les amendes administratives peuvent s'avérer significatives, atteignant un maximum de 250 000 euros.
\nLa procédure contradictoire mise en place, dans le deuxième et troisième paragraphe, permet de protéger les droits de la défense, garantissant que les entités essentielles et importantes disposent d'un droit de consultation, d'observation et de recours. Cela assure un traitement équitable et transparent pour toutes les entités concernées. De plus, la possibilité d'un recours en réformation devant le tribunal administratif, prévue au paragraphe 4, offre une voie supplémentaire pour contester les décisions prises.
\nRemarquons que le régime de sanctions instauré par le présent projet s’inspire fortement de celui instauré par le projet de loi n° 8307 pour les entités critiques.84 83 84 J.O.U.E., L 119, 4 mai 2016, p. 1.
\nArt. 19 du projet de loi n° 8307, o.c., (v. note 11).
\n75 Ad art. 26 L'article 26 définit le cadre relatif aux amendes administratives pour les entités essentielles et importantes en cas de violation de la loi sous projet. Les amendes administratives peuvent être imposées en complément des mesures d’exécution visées aux articles 22 et 23 (paragraphe 2).
\nÀ noter est que selon les considérants de la directive NIS 2, lorsqu'une amende administrative est infligée à une entité essentielle ou importante qui est une entreprise, le terme « entreprise » doit être interprété conformément aux articles 101 et 102 du traité sur le fonctionnement de l'Union européenne.85 Lorsqu’une amende administrative est imposée à une personne qui n’est pas une entreprise, les autorités compétentes doivent tenir compte du niveau général des revenus et de la situation économique de la personne concernée lors de la détermination du montant de l'amende.86 L’imposition ainsi que le montant des amendes administratives est déterminé en fonction de plusieurs critères, prévus à l’article 22, paragraphe 7, tels que la gravité de la violation, la durée de la violation, toute violation antérieure commise, les dommages causés, le fait que l’auteur de la violation ait agi délibérément ou par négligence, les mesures prises pour prévenir les dommages, l’application de codes de conduite, et le degré de coopération avec les autorités compétentes (paragraphe 3). Cette approche individualisée garantit que les sanctions sont adaptées à la situation et ne sont ni excessives, ni inadéquates.
\nLes paragraphes 4 et 5 prévoient le montant maximal des amendes pour les entités essentielles et importantes, en cas de violation des articles 12 ou 14 de la loi sous projet. Pour les entités essentielles, les amendes s’élèvent à un montant maximal d’au moins 10.000.000 euros ou à au moins 2% du chiffre d’affaires annuel mondial total de l’exercice précédent. Pour les entités importantes, les amendes s’élèvent à un montant maximal d’au moins 7.000.000 euros ou à au moins 1,4% du chiffre d’affaires annuel mondial total de l’exercice précédent. C’est le montant le plus élevé qui devra être retenu par l’autorité compétente lors de l’imposition de l’amende.
\nCes montants assez élevés permettent, en effet, de renforcer la clarté du dispositif et montrent que la cybersécurité est un enjeu de premier plan pouvant avoir un impact financier significatif.
\nIl est à noter que ces amendes sont prononcées dans le respect de la procédure prévue à l’article 25 pour l’imposition de sanctions en cas de violation des obligations prévues aux articles 11, 13, 15, 17 et 18 (paragraphe 6).
\nEn outre, selon le paragraphe 7, les autorités compétentes ont la possibilité d’assortir leur décision d’amende administrative d’une astreinte en vue de contraindre les entités essentielles ou importantes à mettre fin aux violations de la loi sous projet. Le montant total de l’astreinte ne pourra pas excéder 25 000 euros, sans dépasser 1 250 euros par jour.
\nAd art. 27 L'article 27 aborde la coopération entre les autorités compétentes des différents États membres.
\nIl met en lumière l'importance de la coordination et de l'assistance mutuelle pour garantir une application cohérente et efficace de la loi sous projet dans un environnement où les entités opèrent souvent au-delà des frontières nationales.
\n85 86 Traité sur le fonctionnement de l’Union européenne, J.O.U.E., C 202 du 7 juin 2016, p. 47.
\nConsid. (130) directive NIS 2.
\n76 L'article stipule, dans son paragraphe 1er, que cette coopération comprend les éléments suivants : - les autorités compétentes en vertu du présent projet de loi doivent informer et consulter, par le biais du point de contact unique, les autorités compétentes des autres États membres concernés sur les mesures de supervision et d'exécution qu'elles prennent ; - les autorités compétentes peuvent demander à une autorité compétente d’un autre État membre de prendre des mesures de supervision ou d'exécution ; - lorsqu'une demande d'assistance motivée est reçue d'une autorité compétente d’un autre État membre, l'autorité compétente en vertu de la loi sous projet fournit une assistance mutuelle proportionnée à ses ressources.
\nLe deuxième alinéa du premier paragraphe énonce également les circonstances dans lesquelles une demande d'assistance peut être refusée, notamment lorsque l'autorité compétente n'est pas compétente pour fournir l'assistance demandée, lorsque l'assistance demandée n'est pas proportionnée aux tâches de supervision de l'autorité compétente, ou lorsque la demande concerne des informations ou des activités contraires aux intérêts essentiels de la sécurité nationale, de la sécurité publique ou de la défense.
\nLe deuxième paragraphe prévoit la possibilité pour les autorités compétentes en vertu du présent projet de loi et les autorités compétentes des autres États membres de mener des actions communes de supervision, sous un commun accord.
\nAd. art. 28 Les lettres a) et b) du paragraphe 3 de l’article 45bis de la loi modifiée du 14 août 2000 relative au commerce électronique87 sont abrogées.
\nLa lettre a) porte sur les sanctions, visées à l’article 19, paragraphe 4, de la loi modifiée du 14 août 2000 relative au commerce électronique, en cas de non-respect du secret professionnel par toute personne chargée ou ayant été chargée de procéder à des audits auprès d’un prestataire de services de confiance. Afin d’assurer une bonne coopération entre les autorités compétentes, le point de contact unique et les CSIRT et d’assurer une approche cohérente en matière de cybersécurité, les sanctions en cas de non-respect du secret professionnel sont abrogées. Ceci permet aux autorités de s’échanger des informations en cas de besoin.
\nLa lettre b) porte sur les sanctions en cas de non-conformité aux exigences de notification d’incidents de sécurité visées à l’article 19, paragraphe 2, du règlement (UE) n° 910/2014. 88 Cet article est abrogé puisque les prestataires de services de confiance tombent entièrement sous le champ d’application du présent projet de loi et bénéficient ainsi du cadre juridique établi 87 Loi modifiée du 14 août 2000 relative au commerce électronique, Mém. A n°96 du 8 septembre 2000, p. 1.
\nRèglement (UE) n°910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE, J.O.U.E., L 257 du 28 juillet 2014, p.73.
\n88 77 par ce projet. L’objectif est de rationaliser les obligations imposées auxdites entités en lien avec la sécurité des réseaux et systèmes d’information.89 Ad. art. 29 L’article 29 du projet de loi procède à des modifications de la loi-cadre du Haut-Commissariat à la Protection nationale90 afin d’y intégrer le nouveau vocabulaire, d’une part, et de procéder à des adaptations ponctuelles devenues nécessaires, d’autre part.
\nD’abord, le point 1° de l’article 29 insère de nouvelles définitions dans la loi-cadre sous rubrique afin d’aligner le vocabulaire utilisé dans cette loi avec celui de la directive NIS 2.
\nLe point 2°, lettre a), remplace la notion de « stratégie nationale en matière de sécurité des réseaux et des systèmes d’information » par celle de « stratégie nationale en matière de cybersécurité », afin d’accorder une suite au nouveau vocabulaire introduit par la directive NIS 2.
\nAu point 2°, lettres b), d) et f), il est procédé à une modification organisationnelle au sein du HCPN. En effet, la lettre c) du paragraphe 1bis de l’article 3 est abrogée, de sorte à abolir le Service de la communication de crise. Alors que la communication de crise reste une mission que le HPCN assurera dans le cadre de la gestion de crise, il a été jugé plus logique, sur un plan purement organisationnel, d’intégrer le personnel du Service de la communication de crise dans le service du HCPN en charge de la prévention, de l’anticipation et de la gestion de crises. Afin que cette intégration réussisse complètement, il a été décidé de ne plus accorder de statut particulier au Service de la communication de crise.
\nLe point 2°, lettres c) et e), procèdent à des modifications concernant les dispositions en relation avec le GOVERT.LU.
\nD’abord, la dénomination de ce service (« CERT Gouvernemental ») est remplacée par celle de « GOVCERT.LU ». En effet, depuis sa création, le CERT Gouvernemental utilise l’acronyme GOVCERT(.LU) (Government Computer Emergency Response Team), un standard international utilisé dans le monde entier pour désigner les CSIRT gouvernementaux nationaux. Étant donné que le CERT gouvernemental est connu par ses partenaires nationaux et internationaux sous le nom GOVCERT.LU, il a été jugé opportun d’officialiser cette dénomination et de l’inscrire dans la loi.
\nEnsuite, la terminologie de l’article 3, paragraphe 1quater de la loi organique du HCPN est adaptée à celle utilisée dans la directive NIS 2. Ainsi, l’« incident de sécurité » est remplacé par celui d’« incident » et le « centre de traitement des urgences informatiques » est remplacé par le « centre de réponse aux incidents de sécurité informatique ».
\nEn outre, alors qu’il y a des recoupements entre les lettres a) et b) dans la version actuelle du texte en ce que les deux points ont trait aux incidents, respectivement aux attaques informatiques, le texte modifié distingue clairement le rôle du traitement des incidents d’envergure (lettre a)) et celui du service de veille, de détection, d’alerte et de réaction aux 89 90 Consid. (92) directive NIS 2.
\nLoi modifiée du 23 juillet 2016, o.c., (v. note 39).
\n78 cybermenaces et aux vulnérabilités (lettre b)). De même, les termes de « cybermenace » et de « vulnérabilité », introduits par la directive NIS 2, se retrouvent dans les points subséquents concernant le CSIRT National et le MILCERT.LU.
\nFinalement, deux modifications sont faites en relation avec les entités critiques. Premièrement, il est dressé une distinction plus claire entre la mission du GOVCERT.LU et celle du CSIRT National. En effet, la prise en charge des entités critiques, qui tombait jusque lors sous la compétence du GOVCERT.LU, tombera dorénavant sous la compétence du CSIRT National.
\nPuisque le CSIRT National est intégré dans l’équipe du GOVCERT.LU, cette modification n’aura aucun impact en pratique. Or, du point de vue logique, il est plus cohérent d’attribuer cette mission au CSIRT National et de limiter les compétences du GOVCERT.LU aux services étatiques. Notons que le GOVCERT.LU resterait compétent pour les services étatiques qui se qualifient comme entité critique.
\nDeuxièmement, alors que le texte prévoit actuellement que le GOVCERT.LU assure, à la demande d’une entité critique (infrastructure critique), un service de réaction aux attaques informatiques et aux incidents de sécurité d’envergure, le texte modifié ajoute, d’une part, un service de veille aux cybermenaces et aux vulnérabilités et, d’autre part, précise que le CSIRT National apportera, en cas de demande, uniquement une assistance au traitement des incidents d’envergure. Cette deuxième modification résulte de la transposition de la directive NIS 2 qui prévoit que les CSIRT ont la tâche de « réagir aux incidents et apporter une assistance, à leur demande, aux entités essentielles et importantes concernées ».91 Ensuite, le projet de loi remplace, en son point 3° et en ligne avec la nouvelle terminologie de la directive NIS 2, le chapitre 4bis sur la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information par un nouveau chapitre « La stratégie nationale en matière de cybersécurité ».
\nVu que le Haut-Commissariat à la Protection nationale est l’autorité compétente pour adopter une stratégie en matière de sécurité des réseaux et des systèmes d’information sous la directive 2016/114892, il a été jugé cohérent de désigner le Haut-Commissariat à la Protection nationale compétent pour élaborer la stratégie nationale en matière de cybersécurité.
\nLa stratégie nationale en matière de cybersécurité est un élément-clé du projet de loi. Elle vise à parvenir à un niveau élevé de cybersécurité et à le maintenir. La stratégie contient les objectifs stratégiques, les ressources nécessaires pour atteindre ces objectifs, ainsi que les mesures politiques et réglementaires appropriées.
\nLe premier paragraphe précise les éléments que la stratégie nationale en matière de cybersécurité doit comprendre. Cette stratégie comprend les objectifs et priorités en matière de cybersécurité, un cadre de gouvernance visant à atteindre les objectifs et priorités et précisant les rôles et responsabilités des parties prenantes concernées, une évaluation des risques, un inventaire des mesures de préparation, de réaction et de récupération après incident, une liste des différents acteurs et autorités concernés, ainsi qu’un plan pour sensibiliser les citoyens à la cybersécurité. Un élément important de la stratégie est le cadre d’action pour une coordination 91 Voir article 8, paragraphe 1er, point 3.
\nDirective (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union, J.O.U.E., L 194 du 19 juillet 2016, p. 1.
\nVoir aussi : Loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148, o.c., (v. note 36).
\n92 79 renforcée entre les autorités compétentes en vertu du présent projet de loi et les autorités compétentes en vertu de la directive CER. Afin d’assurer que ces autorités fonctionnent de manière complémentaire, la stratégie a pour objectif d’encourager le partage d’informations sur les risques, menaces et incidents cybernétiques et non-cybernétiques ainsi que d’inciter une collaboration au niveau de l’exercice des tâches de supervision.
\nLe deuxième paragraphe constitue une nouveauté par rapport au texte de la directive NIS 1 et souligne les domaines spécifiques sur lesquels le Haut-Commissariat à la Protection nationale devra élaborer des politiques dans le cadre de la stratégie nationale. Ces domaines comprennent par exemple l’élaboration de politiques de cyberhygiène. Ces politiques devraient comporter une base commune de pratiques incluant notamment les mises à jour logicielles et matérielles, les changements de mots de passe, la gestion de nouvelles installations, la restriction de comptes d’accès de niveau administrateur et la sauvegarde de données.93 En outre, la lettre g) encourage la coopération avec les établissements universitaires et de recherche visant à faciliter l’utilisation de technologies innovantes, en particulier celles relatives aux outils automatisés ou semi-automatisés en matière de cybersécurité, et, s’il y a lieu, le partage des données nécessaires pour former les utilisateurs de ces technologies et les améliorer. En effet, ces technologies pourraient améliorer la détection et la prévention des cyberattaques.94 Le Luxembourg devrait aussi élaborer une politique sur les partenariats public-privé afin d’offrir un cadre adapté aux échanges de connaissances, le partage de bonnes pratiques et l’établissement d’un niveau de compréhension commun à toutes les parties prenantes (lettre h)).95 Les politiques à élaborer dans le domaine de la cybersécurité devraient aussi répondre aux besoins spécifiques des petites et moyennes entreprises (PME - lettre i)). En effet, alors que les PME représentent dans l’Union européenne une grande partie du marché de l’industrie et des entreprises, elles éprouvent souvent des difficultés à s’adapter aux nouvelles pratiques commerciales dans un monde plus connecté et à l’environnement numérique. Certaines de ces entreprises sont confrontées à des défis spécifiques en matière de cybersécurité, tels qu’une faible sensibilisation à la cybersécurité, un manque de sécurité informatique à distance, le coût élevé des solutions de cybersécurité et un niveau accru de menaces, comme les rançongiciels, pour lesquels elles devraient recevoir des orientations et une assistance. Vu que certaines PME ne font pas une gestion des cyberrisques adaptée, elles deviennent de plus en plus cibles d’attaques de leur chaîne d’approvisionnement qui n’ont souvent non seulement un impact sur leurs propres activités, mais qui peuvent avoir un effet en cascade sur des entreprises qu’elles approvisionnent.96
\nFinalement, les politiques nationales devraient couvrir le volet de la promotion d’une cyberprotection active. Ainsi, au lieu de réagir aux cyberincidents, la cyberprotection active consiste en la prévention, la détection, la surveillance, l’analyse et l’atténuation actives des violations de la sécurité du réseau, combinées à l’utilisation de capacités déployées à l’intérieur et en dehors du réseau de la victime.97 93 Consid. (49) directive NIS 2.
\nConsid. (51) directive NIS 2.
\n95 Consid. (55) directive NIS 2.
\n96 Consid. (56) directive NIS 2.
\n97 Consid. (57) directive NIS 2.
\n94 80 Enfin, le nouvel article 9bis prévoit un mécanisme d'évaluation régulière de la stratégie nationale en matière de cybersécurité, au moins tous les cinq ans, garantissant ainsi son adaptation aux évolutions technologiques et aux menaces émergentes.
\nLe projet de loi, en son point 4°, ajoute, outre le chapitre 4bis, un nouveau chapitre 4ter à la loi-cadre du Haut-Commissariat à la Protection nationale.
\nL’article 9ter, transposition fidèle de la directive NIS 2, prévoit que le HCPN est compétent pour adopter un plan national de réaction aux crises et incidents de cybersécurité majeurs. Cette approche va de pair avec la compétence du HCPN en tant qu’autorité de gestion des crises « tout risque ».
\nSelon le nouvel article 9ter, le plan national de réaction aux crises et incidents de cybersécurité majeurs contient plusieurs éléments, tels que les objectifs des mesures nationales de préparation, les tâches et les responsabilités du HCPN, en tant qu’autorité de gestion des crises cyber, les procédures de gestion des crises cyber, les mesures de préparation nationales, l’identification des parties prenantes et des infrastructures des secteurs public et privé concernées et les procédures et les arrangements nationaux entre les autorités et les organismes nationaux compétents en vue de garantir la participation et le soutien effectifs à la gestion coordonnée des incidents de cybersécurité majeurs au niveau de l'Union européenne.
\nEnfin, le point 5° de l’article 29, remplace les termes « Le personnel de l’ANSSI, du CERT Gouvernemental et du SCC » par ceux de « Le personnel de l’ANSSI et du GOVCERT.LU » afin de garder une cohérence avec l’abrogation du point 2°, lettre d) et de la nouvelle dénomination du Centre de réponse aux incidents de sécurité informatique.
\nAd. art. 30 Vu que la directive NIS 2 abroge la directive NIS 1, l'article 30 abroge les articles 1 à 14 de la loi du 28 mai 2019 portant transposition de la directive (UE) 2016/114898, de sorte que toutes les dispositions, à l’exception des dispositions modificatives, sont abrogées.
\nAd. art. 31 Les articles 42 et 43 de la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques99 sont abrogés par l’article 31. Étant donné que les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public tombent entièrement sous le champ d’application de la présente loi sous projet et bénéficient ainsi du cadre juridique établi par ladite loi, il y a lieu d’abroger l’article 42, portant sur les mesures de gestion des risques en matière de cybersécurité et l’obligation de notification des incidents, afin d’éviter toute confusion ou incohérence. Pour les mêmes raisons, il y a lieu d’abroger l’article 43 qui porte sur la mise en œuvre et l’exécution, 98 Loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148, o.c., (v. note 36).
\nLoi du 17 décembre 2021 sur les réseaux et les services de communications électroniques, Mém. A n° 927 du 22 décembre 2021, p. 1.
\n99 81 afin de d’éviter tout double emploi. L’objectif est de rationaliser les obligations imposées auxdites entités en lien avec la sécurité des réseaux et systèmes d’information.100 Ad. art. 32 Finalement, l’article 32 introduit un intitulé de citation afin de faciliter la référence à la présente loi sous projet.
\nAnnexes Les annexes du projet de loi ont été reprises des annexes de la directive NIS 2 et font état des secteurs hautement critiques, d’une part, et des autres secteurs critiques, d’autre part.
\n100 Consid. (92) directive NIS 2.
\n82 Texte législatif coordonné Loi du 17 décembre 2021 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et portant modification de la loi modifiée du 30 mai 2005 portant :
\n83
\n84 Texte législatif coordonné Loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale et modifiant
\n