Entités essentielles : mesures cyber à déclarer via SERIMA avant le 15 mars

Les entités essentielles supervisées par l'Institut Luxembourgeois de Régulation doivent notifier les mesures de gestion des risques de cybersécurité requises par l'article 12, paragraphes 1 et 2, de la loi du 5 mai 2026 relative à un niveau élevé de cybersécurité.Public La notification comprend une description des mesures en place, une analyse des principaux scénarios de cyberrisques liés à l'activité de l'entité ou à la fourniture de ses services, ainsi qu'un plan d'action pluriannuelPublic, toute information complémentaire demandée par l'Institut étant fournie dans le délai fixé dans cette demande.

La description couvre quatorze domaines : engagement et responsabilité de l'organe de direction ; politique de sécurité des réseaux et des systèmes d'information ; politiques de gestion des risques ; gestion des incidents ; continuité des activités et gestion des crises ; sécurité de la chaîne d'approvisionnement ; sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information ; politiques et procédures d'évaluation de l'efficacité des mesures de gestion des risques ; pratiques de base d'hygiène cyber et formation à la sécurité de l'information ; cryptographie ; sécurité des ressources humaines ; contrôle d'accès ; gestion des actifs ; et sécurité environnementale et physique. Le détail et la portée figurent dans le document de l'Institut intitulé Mesures, mis à jour sur le site de l'Institut et accessible via https://www.serima.lu/mesures.

L'analyse des risques indique, pour chaque scénario principal, le niveau d'impact évalué, la probabilité de survenance évaluée, le traitement du risque et le niveau de risque résiduel. La liste des scénarios génériques à analyser figure dans le document de l'Institut intitulé Analyse des principaux scénarios de risques cyber sur la même page, et l'Institut peut ajouter des scénarios propres à un secteur ou à un type d'entité.

Le plan pluriannuel recense les actions en cours ou prévues qui élèvent le niveau de cybersécurité et répondent aux constats de la description et de l'analyse des risques. Pour chaque action, il précise l'action concrète, le ou les scénarios de risque atténués, la ou les mesures concernées, la date cible de mise en œuvre, le rôle responsable de l'exécution et la priorité de mise en œuvre.

Les entités essentielles également recensées comme entités critiques au sens de l'article 2, point 1°, de la loi du 5 mai 2026 sur la résilience des entités critiques doivent en outre déposer une liste des dépendances envers des fournisseurs ou prestataires de services directs.Public Une dépendance existe lorsque l'activité de l'entité ou la fourniture de son ou de ses propres services requiert le recours à une ou plusieurs autres entités.

La notification est due chaque année au plus tard le 15 marsPublic, même en l'absence de changement depuis la notification précédentePublic, et à nouveau à chaque changement significatif du niveau de risque, à l'identification d'un nouveau risque majeur ou à la mise en œuvre de mesures de sécurité particulièrement importantesPublic. Elle est déposée via la plateforme SERIMA à l'adresse https://www.serima.lu ou tout autre moyen sécurisé jugé équivalent par l'InstitutPublic, dans un format exploitable par l'Institut.

Le fondement juridique est l'article 12, paragraphe 3, l'article 21, paragraphe 1er, et l'article 22, paragraphe 2, de la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, ainsi que l'article 2, point 1°, de la loi du 5 mai 2026 sur la résilience des entités critiques.Public Le Règlement ILR/N26/10 du 26 octobre 2026Public abroge le Règlement ILR/N22/7 du 15 septembre 2022 et le Règlement ILR/N22/8 du 26 septembre 2022.