Cybersécurité - NISS

Notification incident

La notification incident sous NIS 2

Selon la Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (ci après "Loi NIS 2") les entités essentielles et importantes ont l’obligation de notifier les incidents importants à l’autorité compétente.
Vous êtes une entité essentielle ou importante sous NIS2 et dans un des secteurs dans la supervision de l'Institut? Vous devez notifier les incidents endéans les premiers 24 heures à l'Institut.

Vous avez besoin de l'aide pour la résolution d'un incident? Vous pouvez contacter votre CSIRT.

En cas de question, n'hésitez pas à nous contacter directement sur incident_notification(at)ilr(.)lu.

Définition d’un incident

Incident (Art.2. (5) loi NIS 2)

«« incident » : un événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou faisant l’objet d’un traitement, ou des services que les réseaux et systèmes d’information offrent ou rendent accessibles»

Incident important (Art.14. (3) loi NIS2)

« Un incident est considéré comme important si :

1° il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée ;

2° il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables. »

Etapes de la notification d'incident

01
Notification préliminaire
- La notification préliminaire doit être envoyé sans retard injustifié et au plus tard 24 heures après détection de l'incident.
- Cette alerte précoce peut aussi être faite quand l'impact ne peut pas encore être défini, et que l'incident n'est potentiellement pas de niveau important.
- L'autorité compétente ou le CSIRT donne un retour après 24h de l'alerte précoce.
02
Notification incident
- 72 heures après la détection, il faut notifier formellement l'incident, en mettant à jour les informations données par la notification préliminaire.
- L'autorité compétente ou le CSIRT peuvent demander des informations intermédiaires afin de rester au courant.
03
Rapport final
- Le rapport final est à faire au plus tard un mois après la notification incident.
- Dans le cas où l'incident n'est pas encore clôturé après un mois, une extension de 1 mois maximum peut être demandée pour la soumission du rapport final, et un rapport intermédiaire est à envoyer après un mois de la notification formelle au lieu du rapport final.

Contenu des notifications

Les questions suivantes seront à répondre dans les différentes notifications pour un incident imortant:

Notification préliminaire (endéans 24h)

{"headings":[{"title":"Question","sTitle":"Question"},{"title":"Réponse","sTitle":"Réponse"}],"body":[["Type d'entité","<ul>\n<li>Essentielle</li>\n<li>Importante</li>\n</ul>"],["Description de l'incident","Champ de texte libre"],["Critères qui rendent l'incident important","<ul>\n<li>Nombre d'utilisateurs concernés</li>\n<li>Pourcentage d'utilisateurs concernés</li>\n<li>Durée de l'interruption</li>\n<li>Répartition géographique</li>\n<li>Perte financière directe</li>\n<li>Préjudice corporel ou moral</li>\n<li>Préjudice matériel</li>\n<li>Atteinte à la réputation / L'incident a fait l'objet d'une couverture médiatique</li>\n<li>Exfiltration de secrets d'affaires ou d'autres informations sensibles</li>\n<li>L'incident est susceptible d'entraîner le décès d'une personne physique</li>\n<li>L'incident est susceptible de causer un préjudice grave à la santé d'une personne physique</li>\n<li>L'incident est susceptible de permettre un accès non autorisé effectif et présumé malveillant au réseau et aux systèmes d'information</li>\n<li>Aucun</li>\n<li>Autre (à préciser)</li>\n</ul>"],["Secteurs impactés","<ul>\n<li>Énergie</li>\n<li>Transport</li>\n<li>Secteur bancaire</li>\n<li>Infrastructures des marchés financiers</li>\n<li>Santé</li>\n<li>Eau potable</li>\n<li>Eaux usées</li>\n<li>Infrastructures numériques</li>\n<li>Administration publique</li>\n<li>Espace</li>\n<li>Gestion des services TIC (interentreprises)</li>\n<li>Services postaux et d'expédition</li>\n<li>Gestion des déchets</li>\n<li>Fabrication, production et distribution de produits chimiques</li>\n<li>Production, transformation et distribution des denrées alimentaires</li>\n<li>Fabrication</li>\n<li>Fournisseurs numériques</li>\n<li>Recherche</li>\n<li>Autre (préciser)</li>\n</ul>"],["Impact transfrontière","<ul>\n<li>Oui</li>\n<li>Non</li>\n<li>Incertain</li>\n</ul>"],["En cas d'impact transfrontière, merci d'indiquer les pays concernés","Liste déroulante des pays"],["Incident causé par des actes illégaux ou malveillants","<ul>\n<li>Oui</li>\n<li>Non</li>\n<li>Incertain</li>\n</ul>"],["Assistance requise de la part du CSIRT national","<ul>\n<li>Oui</li>\n<li>Non</li>\n</ul>"],["Si une assistance est nécessaire, merci de décrire l'aide requise pour répondre efficacement à l'incident","Champ de texte libre"]]}

Notification incident (endéans 72h)

Les questions demandées dans la notification préliminaire seront toutes reprises et pourront être adaptés dans la notification incident.

Les questions suivantes s’y rajoutent :

Rapport final (endéans 1 mois après notification incident)

Les questions demandées dans la notification préliminaire et notification incident seront toutes reprises et pourront être adaptés dans la notification incident.

Les questions suivantes s’y rajoutent :

{"headings":[{"title":"Question","sTitle":"Question"},{"title":"Réponse","sTitle":"Réponse"}],"body":[["Indication de la catégorie de cause profonde","<ul>\n<li>Actes malveillants</li>\n<li>Panne ou dysfonctionnement du système</li>\n<li>Erreur humaine</li>\n<li>Compromission par un tiers</li>\n<li>Événement externe</li>\n<li>Inconnu</li>\n<li>Autre (à préciser)</li>\n</ul>"],["Indication de la sous-catégorie de cause profonde","<ul>\n<li>Actions malveillantes : actions internes délibérées</li>\n<li>Actions malveillantes : collecte d'informations</li>\n<li>Actions malveillantes : dommages matériels</li>\n<li>Actions malveillantes : code malveillant</li>\n<li>Actions malveillantes : ransomware</li>\n<li>Actions malveillantes : intrusions</li>\n<li>Actions malveillantes : tentatives d'intrusion</li>\n<li>Actions malveillantes : disponibilité (DoS, DDoS)</li>\n<li>Actions malveillantes : fraude</li>\n<li>Actions malveillantes : Vol/Sécurité de l'information</li>\n<li>Actions malveillantes : Inconnu</li>\n<li>Actions malveillantes : Autres</li>\n<li>Panne ou dysfonctionnement du système : Maintenance du matériel</li>\n<li>Panne ou dysfonctionnement du système : Capacité et performances du matériel</li>\n<li>Panne ou dysfonctionnement du système : Obsolescence/vieillissement du matériel</li>\n<li>Panne ou dysfonctionnement du système : Performances des logiciels</li>\n<li>Panne ou dysfonctionnement du système : Compatibilité/configuration des logiciels</li>\n<li>Panne ou dysfonctionnement du système : Configuration du réseau</li>\n<li>Panne ou dysfonctionnement du système : Perte d'autres infrastructures utilisées, par exemple le refroidissement ou la distribution électrique</li>\n<li>Panne ou dysfonctionnement du système : Dommages matériels</li>\n<li>Panne ou dysfonctionnement du système : Autre</li>\n<li>Erreur humaine : Erreur ou omission</li>\n<li>Erreur humaine : Ressources insuffisantes</li>\n<li>Erreur humaine : Compétences et connaissances</li>\n<li>Erreur humaine : Autre</li>\n<li>Événement externe : Force majeure</li>\n<li>Événement externe : Catastrophes naturelles</li>\n<li>Événement externe : Autre</li>\n</ul>"],["Mesures d'atténuation prises ou prévues pour empêcher que l'incident ne se reproduise","Champ de texte libre"],["Vulnérabilité exploitée, le cas échéant","Champ de texte libre"]]}

Notre cadre légal

Note cadre légal et réglementaire peut être consulter ici.

Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité et portant modification de :
1°la loi modifiée du 14 août 2000 relative au commerce électronique ;
2°la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale ;
3°la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques.

Cadre légal Législation nationale, Lois Cybersécurité - NISS 6 mai 2026

Règlement d’exécution (UE) 2024/2690 de la Commission du 17 octobre 2024 établissant des règles relatives à l’application de la directive (UE) 2022/2555 pour ce qui est des exigences techniques et méthodologiques liées aux mesures de gestion des risques en matière de cybersécurité et précisant plus en détail les cas dans lesquels un incident est considéré comme important, en ce qui concerne les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les fournisseurs de services d’informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux, et les prestataires de services de confiance

Cadre légal Textes européens, Règlements UE Cybersécurité - NISS 18 octobre 2024

DIRECTIVE (UE) 2022/2555 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2)

Cadre légal Textes européens, Directives Cybersécurité - NISS 27 décembre 2022

Tout le cadre légal du secteur

Sécuriser votre organisation

Le service NISS veille à la bonne exécution de la loi en matière de sécurité des réseaux et des systèmes d’information de plusieurs secteurs.

En savoir plus
Loi NIS 2

Recevoir plus d'informations sur la loi NIS 2.

En savoir plus
Notification d’incident

Pour la notification d'incidents, nous vous invitons à utiliser SERIMA.

En savoir plus

Notification incident (endéans 72h)

Les questions demandées dans la notification préliminaire seront toutes reprises et pourront être adaptés dans la notification incident.

Les questions suivantes s’y rajoutent :

Rechercher sur le site ILR :

Communications électroniques

Fréquences radioélectriques

Cybersécurité – NISS

Services postaux

Nos services & missions

Rechercher sur le site ILR :

Notification incident

La notification incident sous NIS 2

Définition d’un incident

Etapes de la notification d'incident

Notification préliminaire

Notification incident

Rapport final

Contenu des notifications

Notification préliminaire (endéans 24h)

Notification incident (endéans 72h)

Rapport final (endéans 1 mois après notification incident)

Notre cadre légal

Notification incident (endéans 72h)

Institut Luxembourgeois de Régulation

Infos utiles

Communications électroniques

Électricité

Gaz & Hydrogène

Fréquences radioélectriques

Cybersécurité – NISS

Services postaux

Aéroportuaire

Ferroviaire

Nos services & missions

Notification incident

La notification incident sous NIS 2

Définition d’un incident

Etapes de la notification d'incident

Notification préliminaire

Notification incident

Rapport final

Contenu des notifications

Notification préliminaire (endéans 24h)

Notification incident (endéans 72h)

Rapport final (endéans 1 mois après notification incident)

Notre cadre légal

Notification incident (endéans 72h)

Inscrivez-vous à notre newsletter