Dans le contexte de la loi luxembourgeoise du 5 mai 2026 mettant en œuvre le cadre européen de cybersécurité NIS2 [1], de nouvelles recommandations opérationnelles ont été publiées le 28 septembre 2026 afin d’aider les organisations à faire face aux cyberincidents malveillants.

Le guide intitulé Operational Guidance for Incident Handling (le « Guide ») [2] a été publié conjointement par l’Agence nationale de la sécurité des systèmes d’information (« ANSSI »), l’autorité de surveillance du secteur financier (« CSSF »), le Computer Incident Response Center Luxembourg (« CIRCL »), l’équipe gouvernementale de réponse aux incidents informatiques (« GovCERT »), le Haut-Commissariat à la protection nationale (« HCPN ») et l’Institut luxembourgeois de régulation (« ILR ») (collectivement, les « Autorités »).

Champ d’application du Guide

Le Guide constitue un outil pratique destiné aux organisations confrontées à un cyberincident malveillant. Il comprend un cadre général d’évaluation initiale et d’orientation des incidents, suivi de huit protocoles spécifiques couvrant :

• les attaques par déni de service ;
• les logiciels malveillants (y compris les rançongiciels) ;
• les attaques utilisant les canaux de communication (telles que le phishing ou hameçonnage) ;
• le vol d’identifiants et la compromission de comptes ;
• l’exploitation de vulnérabilités ;
• les menaces internes ;
• l’exfiltration de données ; et
• les attaques affectant la chaîne d’approvisionnement informatique.

Les erreurs humaines et les défaillances des systèmes ne relèvent pas du champ d’application du Guide.

Le Guide ne remplace pas les politiques et procédures internes et, surtout, ne traite pas des obligations légales découlant d’un cyberincident (par exemple, le dépôt d’une plainte ou les notifications à la CSSF, à l’ILR ou à la CNPD). Ces obligations doivent donc faire l’objet d’une analyse distincte.

Cinq enseignements juridiques clés

• Prendre en compte les délais de notification dès l’évaluation initiale de l’incident. Le Guide prévoit que les délais de notification obligatoires (notamment ceux découlant de NIS2, du règlement sur la résilience opérationnelle numérique (« DORA ») et des réglementations sectorielles) doivent être pris en considération dès la phase initiale d’évaluation de l’incident. L’analyse juridique correspondante doit donc être menée parallèlement à la réponse technique, dès le premier jour.

• Un cyberincident peut également constituer une violation de données à caractère personnel. En cas d’exfiltration de données à caractère personnel, le Guide recommande une coordination avec le délégué à la protection des données (« DPO »), en faisant expressément référence au règlement général sur la protection des données (« RGPD »). La question de savoir si cette violation doit être notifiée à la Commission nationale pour la protection des données (« CNPD ») ou aux personnes concernées nécessite une analyse juridique de la part du DPO et des équipes chargées de la conformité et des questions juridiques.

• Ne pas payer de rançon. En cas d’attaque par rançongiciel, le Guide indique que les organisations ne devraient pas payer la rançon, dans la mesure où ce paiement ne garantit pas la récupération des données et pourrait contrevenir aux régimes de sanctions nationaux, européens ou internationaux.

• Les enquêtes internes doivent respecter les droits des salariés. En présence de menaces internes, les opérations de surveillance et de collecte de preuves doivent être réalisées à l’aide d’outils et de procédures approuvés, tout en respectant la législation applicable et les politiques internes. Les équipes des ressources humaines et les services juridiques devraient donc être associés dès le début des investigations.

• Anticiper le recours à des experts externes et les dispositions contractuelles. Le Guide recommande de mobiliser rapidement, si nécessaire, des experts internes ou externes en cybersécurité, des consultants et des conseils juridiques, ainsi que d’envisager une prise de contact précoce avec des équipes externes de réponse aux incidents ou avec l’assureur cyber lorsque des accords contractuels existent. En cas d’incident affectant la chaîne d’approvisionnement informatique, il recommande également de réexaminer les risques liés aux fournisseurs et d’envisager des clauses contractuelles de sécurité ainsi que des droits de désactivation d’urgence (« kill-switch »), permettant à une organisation de désactiver un produit, une mise à jour ou un flux de données.

Prochaines étapes pour les organisations

L’efficacité du Guide dépend avant tout du niveau de préparation des organisations.

Nous recommandons de vérifier que les procédures de réponse aux incidents prévoient une remontée rapide des informations, la préservation des preuves, l’implication en temps utile des équipes juridiques, de conformité et des ressources humaines, ainsi qu’une évaluation précoce des obligations de notification.

Il est également recommandé de réexaminer dès à présent les polices de cyberassurance et les contrats conclus avec les fournisseurs informatiques, plutôt que d’attendre la survenance d’une crise.

—

[1] Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité et portant modification de la loi modifiée du 14 août 2000 relative au commerce électronique, de la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la protection nationale et de la loi du 17 décembre 2021 sur les réseaux et les services de communications électroniques.

[2] Operational Guidance for Incident Handling, publié le 28 septembre 2026.

Pour en savoir plus : Media, Data & Technologies