NIS2 Luxembourg

Defining and documenting security objectives

Critical

High

Normal

Low

Management commitment to cyber security management and management system

Critical

High

Normal

Low

Implementation and documentation of management reviews

Critical

High

Normal

Low

Communication plan for information security management system

Critical

High

Normal

Low

Adequacy of digital security resourcing

Critical

High

Normal

Low

13.2: Formation obligatoire à la cybersécurité pour les dirigeants et le personnel

Les membres des organes de direction des entités essentielles et importantes sont tenus de suivre régulièrement une formation et les entités essentielles et importantes offrent régulièrement une formation similaire aux membres de leur personnel afin que ceux-ci acquièrent des connaissances et des compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l’entité.

Related tasks

Top management cyber security training

Critical

High

Normal

Low

Cyber security training

Maintaining a log of cyber security trainings

Critical

High

Normal

Low

Cyber security training

Staff guidance and training procedure in cyber security

Critical

High

Normal

Low

Cyber security training

Amount, competence and adequacy of key cyber security personnel

Critical

High

Normal

Low

General security competence and awareness of personnel

Critical

High

Normal

Low

14.1: Notification des incidents importants

Les entités essentielles et importantes notifient, sans retard injustifié, à l’autorité compétente concernée, conformément au paragraphe 4, tout incident ayant un impact important sur leur fourniture des services visés au paragraphe 3, ci-après “incident important”. Le cas échéant, les entités concernées notifient, sans retard injustifié, aux destinataires de leurs services les incidents importants susceptibles de nuire à la fourniture de ces services. Ces entités signalent, entre autres, toute information permettant à l’autorité compétente de déterminer si l’incident a un impact transfrontière. Le simple fait de notifier un incident n’accroît pas la responsabilité de l’entité qui est à l’origine de la notification.

Related tasks

Keeping contact with relevant authorities

Critical

High

Normal

Low

The step-by-step process of notification of incidents to the authorities

Critical

High

Normal

Low

Incident notifications for users of own services

Critical

High

Normal

Low

14.2: Notification des cybermenaces majeures pour les bénéficiaires de services

Le cas échéant, les entités essentielles et importantes communiquent, sans retard injustifié, aux destinataires de leurs services qui sont potentiellement affectés par une cybermenace importante toutes les mesures ou corrections que ces destinataires peuvent appliquer en réponse à cette menace. Le cas échéant, les entités informent également ces destinataires de la cybermenace importante elle-même.

Related tasks

Communication about information security threats and protective measures affecting users of the services

Critical

High

Normal

Low

14.3: Incident significatif

Un incident est considéré comme important si :

1° il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée ;

2° il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

L’autorité compétente concernée peut préciser, par voie de règlement ou de circulaire, les paramètres et les modalités des notifications des incidents ayant un impact important sur leur fourniture des services.

Related tasks

The step-by-step process of notification of incidents to the authorities

Critical

High

Normal

Low

14.4: Calendrier de notification des incidents et exigences en matière de rapports

Aux fins de la notification visée au paragraphe 1er, les entités concernées soumettent à l’autorité compétente:

1° sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l’incident important, une notification préliminaire qui, le cas échéant, indique si l’on suspecte l’incident important d’avoir été causé par des actes illicites ou malveillants ou s’il pourrait avoir un impact transfrontière ;

2° sans retard injustifié et en tout état de cause dans les soixante-douze heures après avoir eu connaissance de l’incident important, une notification d’incident qui, le cas échéant, met à jour les informations visées au point

3° à la demande d’un CSIRT ou, selon le cas, de l’autorité compétente, un rapport intermédiaire sur les mises à jour pertinentes de la situation;

4° un rapport final au plus tard un mois après la présentation de la notification d’incident visée au point 2°, comprenant les éléments suivants :

a) une description détaillée de l’incident, y compris de sa gravité et de son impact;

b) le type de menace ou la cause profonde qui a probablement déclenché l’incident;

c) les mesures d’atténuation appliquées et en cours;

d) le cas échéant, l’impact transfrontière de l’incident;

5° en cas d’incident en cours au moment de la présentation du rapport final visé au point 4°, les entités concernées fournissent à ce moment-là un rapport d’avancement puis un rapport final dans un délai d’un mois à compter du traitement de l’incident.

Par dérogation à l’alinéa 1er, point 2°, un prestataire de services de confiance notifie à l’autorité compétente les incidents importants qui ont un impact sur la fourniture de ses services de confiance, sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l’incident important.

Related tasks

The step-by-step process of notification of incidents to the authorities

Critical

High

Normal

Low

19.1: Partage volontaire d'informations sur la cybersécurité

Les entités relevant du champ d’application de la présente loi et, le cas échéant, les autres entités concernées ne relevant pas du champ d’application de la présente loi peuvent échanger entre elles, à titre volontaire, des informations pertinentes en matière de cybersécurité, y compris des informations relatives aux cybermenaces, aux incidents évités, aux vulnérabilités, aux techniques et procédures, aux indicateurs de compromission, aux tactiques adverses, ainsi que des informations spécifiques sur les acteurs de la menace, des alertes de cybersécurité et des recommandations concernant la configuration des outils de cybersécurité pour détecter les cyberattaques, lorsque ce partage d’informations :

1° vise à prévenir et à détecter les incidents, à y réagir, à s’en rétablir ou à atténuer leur impact;

2° renforce le niveau de cybersécurité, notamment en sensibilisant aux cybermenaces, en limitant ou en empêchant leur capacité de se propager, en soutenant une série de capacités de défense, en remédiant aux vulnérabilités et en les révélant, en mettant en œuvre des techniques de détection, d’endiguement et de prévention des menaces, des stratégies d’atténuation ou des étapes de réaction et de rétablissement, ou en encourageant la recherche collaborative en matière de cybermenaces entre les entités publiques et privées.

Related tasks

Contact with industry-specific interest groups

Critical

High

Normal

Low

Technical vulnerability management

The goals of threat intelligence and the collection of information related to information security threats

Critical

High

Normal

Low

Sharing threat intelligence

Critical

High

Normal

Low

Technical vulnerability management

Internal communication about the organization's risk situation

Critical

High

Normal

Low

19.2: Communautés et accords de partage de l'information

Cet échange d’informations a lieu au sein de communautés d’entités essentielles et importantes ainsi que, le cas échéant, de leurs fournisseurs ou prestataires de services et est mis en œuvre au moyen d’accords de partage d’informations en matière de cybersécurité, compte tenu de la nature potentiellement sensible des informations partagées.

Related tasks

Definition of information sharing agreements and notification obligations

Critical

High

Normal

Low

19.3: Notification de participation à des accords de partage d'informations

Les entités essentielles et importantes notifient à l’autorité compétente leur participation aux accords de partage d’informations en matière de cybersécurité visés au paragraphe 2, lorsqu’elles concluent de tels accords ou, le cas échéant, lorsqu’elles se retirent de ces accords, une fois que le retrait prend effet.

Related tasks

Definition of information sharing agreements and notification obligations

Critical

High

Normal

Low

20: Notification volontaire

(1) Outre l’obligation de notification prévue à l’article 14, des notifications peuvent être transmises à titre volontaire :

1° aux autorités compétentes par les entités essentielles et importantes en ce qui concerne les incidents, les cybermenaces et les incidents évités ;

2° à l’Institut Luxembourgeois de Régulation par les entités autres que celles visées au point 1°, indé- pendamment du fait qu’elles relèvent ou non du champ d’application de la présente loi, en ce qui concerne les incidents importants, les cybermenaces ou les incidents évités.

(2) L’autorité compétente traite les notifications visées au paragraphe 1er conformément à la procé- dure énoncée à l’article 14. L’autorité compétente peut traiter les notifications obligatoires en leur donnant la priorité par rapport aux notifications volontaires. Lorsque cela est nécessaire, l’autorité compétente fournit au CSIRT concerné et au point de contact unique les informations relatives aux notifications reçues en vertu du présent article, tout en garantissant la confidentialité et une protection appropriée des informations fournies par l’entité à l’origine de la notification. Sans préjudice de la prévention et de la détection d’infractions pénales et des enquêtes et poursuites en la matière, un signalement volontaire n’a pas pour effet d’imposer à l’entité ayant effectué la notification des obligations supplémentaires auxquelles elle n’aurait pas été soumise si elle n’avait pas transmis la notification.

Related tasks

Voluntary notifications of security incidents

Critical

High

Normal

Low