Cybersécurité - NISS

Notification incident

La notification incident sous NIS 2

Selon la Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (ci après "Loi NIS 2") les entités essentielles et importantes ont l’obligation de notifier les incidents importants à l’autorité compétente.
Vous êtes une entité essentielle ou importante sous NIS2 et dans un des secteurs dans la supervision de l'Institut? Vous devez notifier les incidents endéans les premiers 24 heures à l'Institut.

Vous avez besoin de l'aide pour la résolution d'un incident? Vous pouvez contacter votre CSIRT et accéder notre Guide opérationnel pour la gestion des incidents.

En cas de question, n'hésitez pas à nous contacter directement sur incident_notification(at)ilr(.)lu.

Définition d’un incident

Incident (Art.2. (5) loi NIS 2)

«« incident » : un événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou faisant l’objet d’un traitement, ou des services que les réseaux et systèmes d’information offrent ou rendent accessibles»

Incident important (Art.14. (3) loi NIS2)

« Un incident est considéré comme important si :

1° il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée ;

2° il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables. »

Etapes de la notification d'incident

01
Notification préliminaire
- La notification préliminaire doit être envoyé sans retard injustifié et au plus tard 24 heures après détection de l'incident.
- Cette alerte précoce peut aussi être faite quand l'impact ne peut pas encore être défini, et que l'incident n'est potentiellement pas de niveau important.
- L'autorité compétente ou le CSIRT donne un retour après 24h de l'alerte précoce.
02
Notification incident
- 72 heures après la détection, il faut notifier formellement l'incident, en mettant à jour les informations données par la notification préliminaire.
- L'autorité compétente ou le CSIRT peuvent demander des informations intermédiaires afin de rester au courant.
03
Rapport final
- Le rapport final est à faire au plus tard un mois après la notification incident.
- Dans le cas où l'incident n'est pas encore clôturé après un mois, une extension de 1 mois maximum peut être demandée pour la soumission du rapport final, et un rapport intermédiaire est à envoyer après un mois de la notification formelle au lieu du rapport final.

Contenu des notifications

Les questions suivantes seront à répondre dans les différentes notifications pour un incident important:

Informations générales

Notification préliminaire (endéans 24h)

{"headings":[{"title":"Question","sTitle":"Question"},{"title":"Réponse","sTitle":"Réponse"}],"body":[["Type d'entité","<ul>\n<li>Essentielle</li>\n<li>Importante</li>\n</ul>"],["Description de l'incident","Champ de texte libre"],["Critères qui rendent l'incident important","<ul>\n<li>Nombre d'utilisateurs concernés</li>\n<li>Pourcentage d'utilisateurs concernés</li>\n<li>Durée de l'interruption</li>\n<li>Répartition géographique</li>\n<li>Perte financière directe</li>\n<li>Préjudice corporel ou moral</li>\n<li>Préjudice matériel</li>\n<li>Atteinte à la réputation / L'incident a fait l'objet d'une couverture médiatique</li>\n<li>Exfiltration de secrets d'affaires ou d'autres informations sensibles</li>\n<li>L'incident est susceptible d'entraîner le décès d'une personne physique</li>\n<li>L'incident est susceptible de causer un préjudice grave à la santé d'une personne physique</li>\n<li>L'incident est susceptible de permettre un accès non autorisé effectif et présumé malveillant au réseau et aux systèmes d'information</li>\n<li>Aucun</li>\n<li>Autre (à préciser)</li>\n</ul>"],["Secteurs impactés","<ul>\n<li>Énergie</li>\n<li>Transport</li>\n<li>Secteur bancaire</li>\n<li>Infrastructures des marchés financiers</li>\n<li>Santé</li>\n<li>Eau potable</li>\n<li>Eaux usées</li>\n<li>Infrastructures numériques</li>\n<li>Administration publique</li>\n<li>Espace</li>\n<li>Gestion des services TIC (interentreprises)</li>\n<li>Services postaux et d'expédition</li>\n<li>Gestion des déchets</li>\n<li>Fabrication, production et distribution de produits chimiques</li>\n<li>Production, transformation et distribution des denrées alimentaires</li>\n<li>Fabrication</li>\n<li>Fournisseurs numériques</li>\n<li>Recherche</li>\n<li>Autre (préciser)</li>\n</ul>"],["Impact transfrontière","<ul>\n<li>Oui</li>\n<li>Non</li>\n<li>Incertain</li>\n</ul>"],["En cas d'impact transfrontière, merci d'indiquer les pays concernés","Liste déroulante des pays"],["Incident causé par des actes illégaux ou malveillants","<ul>\n<li>Oui</li>\n<li>Non</li>\n<li>Incertain</li>\n</ul>"],["Assistance requise de la part du CSIRT national","<ul>\n<li>Oui</li>\n<li>Non</li>\n</ul>"],["Si une assistance est nécessaire, merci de décrire l'aide requise pour répondre efficacement à l'incident","Champ de texte libre"],["",""]]}

Notification incident (endéans 72h)

Les questions demandées dans la notification préliminaire seront toutes reprises et pourront être adaptés dans la notification incident.

Les questions suivantes s’y rajoutent :

Rapport final (endéans 1 mois après notification incident)

Les questions demandées dans la notification préliminaire et notification incident seront toutes reprises et pourront être adaptés dans la notification incident.

Les questions suivantes s’y rajoutent :

{"headings":[{"title":"Question","sTitle":"Question"},{"title":"Réponse","sTitle":"Réponse"}],"body":[["Indication de la catégorie de cause profonde","<ul>\n<li>Actes malveillants</li>\n<li>Panne ou dysfonctionnement du système</li>\n<li>Erreur humaine</li>\n<li>Compromission par un tiers</li>\n<li>Événement externe</li>\n<li>Inconnu</li>\n<li>Autre (à préciser)</li>\n</ul>"],["Indication de la sous-catégorie de cause profonde","<ul>\n<li>Actions malveillantes : actions internes délibérées</li>\n<li>Actions malveillantes : collecte d'informations</li>\n<li>Actions malveillantes : dommages matériels</li>\n<li>Actions malveillantes : code malveillant</li>\n<li>Actions malveillantes : ransomware</li>\n<li>Actions malveillantes : intrusions</li>\n<li>Actions malveillantes : tentatives d'intrusion</li>\n<li>Actions malveillantes : disponibilité (DoS, DDoS)</li>\n<li>Actions malveillantes : fraude</li>\n<li>Actions malveillantes : Vol/Sécurité de l'information</li>\n<li>Actions malveillantes : Inconnu</li>\n<li>Actions malveillantes : Autres</li>\n<li>Panne ou dysfonctionnement du système : Maintenance du matériel</li>\n<li>Panne ou dysfonctionnement du système : Capacité et performances du matériel</li>\n<li>Panne ou dysfonctionnement du système : Obsolescence/vieillissement du matériel</li>\n<li>Panne ou dysfonctionnement du système : Performances des logiciels</li>\n<li>Panne ou dysfonctionnement du système : Compatibilité/configuration des logiciels</li>\n<li>Panne ou dysfonctionnement du système : Configuration du réseau</li>\n<li>Panne ou dysfonctionnement du système : Perte d'autres infrastructures utilisées, par exemple le refroidissement ou la distribution électrique</li>\n<li>Panne ou dysfonctionnement du système : Dommages matériels</li>\n<li>Panne ou dysfonctionnement du système : Autre</li>\n<li>Erreur humaine : Erreur ou omission</li>\n<li>Erreur humaine : Ressources insuffisantes</li>\n<li>Erreur humaine : Compétences et connaissances</li>\n<li>Erreur humaine : Autre</li>\n<li>Événement externe : Force majeure</li>\n<li>Événement externe : Catastrophes naturelles</li>\n<li>Événement externe : Autre</li>\n</ul>"],["Mesures d'atténuation prises ou prévues pour empêcher que l'incident ne se reproduise","Champ de texte libre"],["Vulnérabilité exploitée, le cas échéant","Champ de texte libre"]]}

Notre cadre légal

Règlement ILR/N26/10 du 26 octobre 2026 portant sur la notification des mesures de sécurité prises par les entités essentielles - NISS.

Cadre légal Règlements ILR Cybersécurité - NISS 26 octobre 2026

Décision ILR/N26/9 contre ELTRONA INTERDIFFUSION S.A. pour défaut de notification d'un incident requise en vertu du Règlement ILR/N23/3 du 20 juillet 2023.

Cadre légal Sanctions ILR 9 septembre 2026

Décision ILR/N26/8 contre LASOTEL S.A.S. pour défaut de fourniture des informations requises en vertu du Règlement ILR/N22/8 du 26 septembre 2022.

Cadre légal Sanctions ILR 9 septembre 2026

Tout le cadre légal du secteur

Mesures de sécurité

Le service NISS veille à la bonne exécution de la loi en matière de sécurité des réseaux et des systèmes d’information de plusieurs secteurs.

En savoir plus
Loi NIS 2

Recevoir plus d'informations sur la loi NIS 2.

En savoir plus
Notification d’incident

Pour la notification d'incidents, nous vous invitons à utiliser SERIMA.

En savoir plus

Communications électroniques

Fréquences radioélectriques

Cybersécurité – NISS

Services postaux

Nos services & missions

Notification incident

La notification incident sous NIS 2

Définition d’un incident

Etapes de la notification d'incident

Notification préliminaire

Notification incident

Rapport final

Contenu des notifications

Informations générales

Notification préliminaire (endéans 24h)

Notification incident (endéans 72h)

Rapport final (endéans 1 mois après notification incident)

Notre cadre légal

Institut Luxembourgeois de Régulation

Infos utiles

Communications électroniques

Électricité

Gaz & Hydrogène

Fréquences radioélectriques

Cybersécurité – NISS

Services postaux

Aéroportuaire

Ferroviaire

Nos services & missions

Notification incident

La notification incident sous NIS 2

Définition d’un incident

Etapes de la notification d'incident

Notification préliminaire

Notification incident

Rapport final

Contenu des notifications

Informations générales

Notification préliminaire (endéans 24h)

Notification incident (endéans 72h)

Rapport final (endéans 1 mois après notification incident)

Notre cadre légal

Inscrivez-vous à notre newsletter