Le texte à une date

Tel que publié ; peut avoir été modifié depuis ; aucun texte consolidé détenu.

Versions ultérieures : non détenues.

Les données de l’éditeur indiquent le 2026-05-10 comme date de fin de vigueur de cet acte.

Ce texte a été extrait et normalisé par Lex, à titre d’information ; il ne fait pas foi. Depuis le 1er janvier 2017, le Journal officiel du Grand-Duché de Luxembourg (Mémorial A) publié sous forme électronique fait seul foi (loi du 23 décembre 2016, art. 5). L’acte tel que publié : http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo.

Comment lire ceci

loi-2019-05-28-a372, fra, la version applicable à partir du 2019-07-01

/lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra

16 articles cités ; détenus sans texte : 0 ; non admis : 1 ; date propre différente de celle de la version : 0.

1. art_1er

   Art. 1er.(1)Les exigences en matière de sécurité et de notification prévues par la présente loi ne s’appliquent pas aux entreprises soumises aux exigences énoncées aux articles 45 et 46 de la loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques ni aux prestataires de services de confiance soumis aux exigences à l’article 19 du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE.(2)Lorsqu’une loi ou un acte juridique sectoriel de l’Union exige des opérateurs de services essentiels ou des fournisseurs de service numérique qu’ils assurent la sécurité de leurs réseaux et systèmes d’information ou qu’ils procèdent à la notification des incidents, à condition que les exigences en question aient un effet au moins équivalent à celui des obligations prévues par la présente loi, les dispositions de cette loi ou de cet acte juridique sectoriel de l’Union s’appliquent.

   Empreinte du texte 16050c4a7ad2d6835a0a27934f5ed18ab4741ad8d1591a2be0902450b76b05c0, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_1er

2. À cet endroit, le document de l’éditeur comporte un article que ce site ne détient pas dans cette version.

   art_3

   Art. 3.La Commission de surveillance du secteur financier, ci-après « la CSSF », est l’autorité compétente en matière de sécurité des réseaux et des systèmes d’information couvrant les secteurs des établissements de crédit et des infrastructures de marchés financiers tels que définis aux points 3 et 4 de l’annexe, ainsi que les services numériques fournis par une entité tombant sous la surveillance de la CSSF.L’Institut luxembourgeois de régulation, ci-après « l’ILR », est l’autorité compétente en matière de sécurité des réseaux et des systèmes d’information couvrant les autres secteurs visés en annexe, ainsi que les services numériques fournis par une entité pour laquelle la CSSF n’est pas l’autorité compétente.L’obligation au secret professionnel prévue par l’article 16 de la loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier et l’article 15 de la loi modifiée du 30 mai 2005 portant : 1) organisation de l’Institut Luxembourgeois de Régulation ; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État ne fait pas obstacle à l’échange d’informations entre autorités compétentes.

   Empreinte du texte 4556039854f4e579b2db65147a0dcdc6793044a22c9545d4b785a977471abeb6, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_3

3. art_4

   Art. 4.L’ILR constitue le point de contact national unique en matière de sécurité des réseaux et des systèmes d’information.

   Empreinte du texte e22356b4b2d35bb3c85fa9d2ac4b1742462d2cd5a2cde40d3c83d27d69f94879, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_4

4. art_5

   Art. 5.L’ILR bénéficie d’une contribution financière à charge du budget de l’État afin de couvrir l’intégralité des frais de fonctionnement qui résultent de l’exercice des missions prévues par la présente loi.

   Empreinte du texte 943f3d56479fd122c8faa6a680e6244f19c25bbc9c56573a261083ced214996b, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_5

5. art_6

   Art. 6.Dans la mesure nécessaire à l’accomplissement de leur mission en vertu de la présente loi, les autorités compétentes et le point de contact national unique consultent les services répressifs nationaux compétents et les autorités nationales chargées de la protection des données et coopèrent avec eux.L’obligation au secret professionnel prévue par l’article 16 de la loi modifiée du 23 décembre 1998 portant création d’une Commission de surveillance du secteur financier et l’article 15 de la loi modifiée du 30 mai 2005 portant : 1) organisation de l’Institut Luxembourgeois de Régulation ; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État ne fait pas obstacle à cette coopération.

   Empreinte du texte f16d652c66600dd67465baac4fb989c74379afeac0e1fa0ede05a029b50280d3, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_6

6. art_7

   Art. 7.(1)Tombent sous le champ d’application de la présente loi, les opérateurs de services essentiels ayant un établissement sur le territoire luxembourgeois.(2)L’identification des opérateurs de services essentiels par l’autorité compétente concernée se fait au moyen des critères d’identification suivants :une entité fournit un service qui est essentiel au maintien d’activités sociétales et/ou économiques critiques ;la fourniture de ce service est tributaire des réseaux et des systèmes d’information ; etun incident aurait un effet disruptif important sur la fourniture dudit service.L’autorité compétente concernée notifie la décision d’identification à l’opérateur de services essentiels.(3)L’importance de l’effet disruptif visé au paragraphe 2, point 3, est déterminée sur base de facteurs transsectoriels et sectoriels, dont au moins :le nombre d’utilisateurs tributaires du service fourni par l’entité concernée ;la dépendance des autres secteurs visés en annexe à l’égard du service fourni par cette entité ;les conséquences que des incidents pourraient avoir, en termes de degré et de durée, sur les fonctions économiques ou sociétales ou sur la sûreté publique ;la part de marché de cette entité ;la portée géographique eu égard à la zone susceptible d’être touchée par un incident ;l’importance que revêt l’entité pour garantir un niveau de service suffisant, compte tenu de la disponibilité de solutions de rechange pour la fourniture de ce service.(4)La liste des services essentiels est fixée par l’autorité compétente concernée par voie de règlement.(5)Lorsqu’une entité fournit un service visé au paragraphe 2, point 1, dans un autre État membre, l’autorité compétente concernée consulte l’autorité compétente de l’autre État membre. La consultation intervient avant que l’identification ne fasse l’objet d’une décision.

   Empreinte du texte 161f0f22c58f1a1250f948112b72a5398fb591322b9be7fbead924aebe8d8100, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_7

7. art_8

   Art. 8.(1)Les opérateurs de services essentiels prennent les mesures techniques et organisationnelles nécessaires et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information qu’ils utilisent dans le cadre de leurs activités. Ces mesures garantissent, pour les réseaux et les systèmes d’information, un niveau de sécurité adapté au risque existant, compte tenu de l’état des connaissances. Afin d’identifier les risques, les opérateurs de services essentiels utilisent un cadre d’analyse de risques approprié pouvant être précisé par l’autorité compétente concernée par voie de règlement.(2)Les opérateurs de services essentiels prennent des mesures appropriées en vue de prévenir les incidents qui compromettent la sécurité des réseaux et des systèmes d’information utilisés pour la fourniture de ces services essentiels ou d’en limiter l’impact, en vue d’assurer la continuité de ces services.(3)Les mesures prises sur base des paragraphes 1er et 2 sont notifiées à l’autorité compétente concernée. Les modalités de cette notification, le format et le délai, sont déterminées par l’autorité compétente concernée par voie de règlement.(4)Les opérateurs de services essentiels notifient à l’autorité compétente concernée, sans retard injustifié, les incidents qui ont un impact significatif sur la continuité des services essentiels qu’ils fournissent. Ces notifications sont transmises au CERT Gouvernemental et au CIRCL en fonction de leurs compétences respectives. Les notifications contiennent des informations permettant à l’autorité compétente concernée de déterminer si l’incident a un impact au niveau transfrontalier. Cette notification n’accroît pas la responsabilité de la partie qui en est à l’origine.(5)L’ampleur de l’impact d’un incident est déterminée en tenant compte, en particulier, des paramètres suivants :le nombre d’utilisateurs touchés par la perturbation du service essentiel ;la durée de l’incident ;la portée géographique eu égard à la zone touchée par l’incident.L’autorité compétente concernée peut préciser, par voie de règlement, les paramètres, les modalités et délais des notifications des incidents qui ont un impact significatif sur la continuité des services essentiels qu’ils fournissent.(6)Sur la base des informations fournies dans la notification de l’opérateur de services essentiels, l’autorité compétente concernée signale aux autres États membres touchés si l’incident est susceptible d’avoir un impact significatif sur la continuité des services essentiels dans ces États membres. Sur demande de l’autorité compétente concernée, ce signalement est effectué par le point de contact national unique qui transmettra la notification aux points de contact nationaux des autres États membres touchés. Ce faisant, l’autorité compétente concernée doit préserver la sécurité et les intérêts commerciaux de l’opérateur de services essentiels ainsi que la confidentialité des informations communiquées dans sa notification.Lorsque les circonstances le permettent, l’autorité compétente concernée fournit à l’opérateur de services essentiels qui est à l’origine de la notification des informations utiles au suivi de sa notification.(7)Une fois par an, l’autorité compétente concernée transmet au point de contact national unique un rapport de synthèse sur les notifications reçues, y compris le nombre de notifications et la nature des incidents notifiés, ainsi que sur les mesures prises conformément aux paragraphes 4 et 6.Tous les ans, le point de contact national unique transmet au groupe de coopération un rapport de synthèse sur les notifications reçues, y compris le nombre de notifications et la nature des incidents notifiés, ainsi que sur les mesures prises conformément aux paragraphes 4 et 6.(8)Après avoir consulté l’opérateur de services essentiels qui est à l’origine de la notification, l’autorité compétente concernée peut informer le public d’incidents particuliers ou imposer à l’opérateur de services essentiels de le faire, lorsque la sensibilisation du public est nécessaire pour prévenir un incident ou gérer un incident en cours, ou lorsque la divulgation de l’incident est dans l’intérêt public à d’autres égards.

   Empreinte du texte db03e8293afb7065c798fcb77674d010fad9cf912e16e5a48e459ec8a6036ead, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_8

8. art_9

   Art. 9.(1)À la demande de l’autorité compétente concernée, les opérateurs de services essentiels lui fournissent :les informations nécessaires pour évaluer la sécurité de leurs réseaux et systèmes d’information, y compris les documents relatifs à leurs politiques de sécurité ;des éléments prouvant la mise en œuvre effective des politiques de sécurité, tels que les résultats d’un audit de sécurité exécuté par l’autorité compétente concernée ou un auditeur qualifié et, dans ce dernier cas, qu’ils en mettent les résultats, y compris les éléments probants, à la disposition de l’autorité compétente concernée. L’autorité compétente concernée peut charger un auditeur externe de contrôler la mise en œuvre effective de la politique de sécurité à charge de l’opérateur de services essentiels ;toute information nécessaire à l’accomplissement de ses missions en vertu de la présente loi.Les opérateurs de services essentiels fournissent ces informations en respectant les délais et le niveau de détail exigés par l’autorité compétente concernée.Au moment de formuler une telle demande d’informations et de preuves, l’autorité compétente concernée mentionne la finalité de la demande et précise quelles sont les informations exigées.(2)Après évaluation des informations ou des résultats des audits de sécurité visés au paragraphe 1er, l’autorité compétente concernée peut donner des instructions contraignantes aux opérateurs de services essentiels pour remédier aux défaillances identifiées.(3)Pour traiter des incidents notifiés donnant lieu à des violations des données à caractère personnel, l’autorité compétente concernée coopère étroitement avec la Commission nationale pour la protection des données et lui transmet les informations en relation avec ces violations.

   Empreinte du texte e2ec0c6b7a0de6084d8b231e5b33fe11030a71dc5b0ce9e5d92cefc48d58ef4c, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_9

9. art_10

   Art. 10.(1)Tombent dans le champ d’application de la présente loi, les fournisseurs de service numérique ayant leur établissement principal au Grand-Duché de Luxembourg. Un fournisseur de service numérique est réputé avoir son établissement principal au Grand-Duché de Luxembourg lorsque son siège social se trouve au Grand-Duché de Luxembourg. Le fournisseur de service numérique qui n’est pas établi dans l’Union européenne mais qui fournit un service numérique sur le territoire du Grand-Duché de Luxembourg et qui désigne un représentant au Grand-Duché de Luxembourg, relève de la compétence des autorités luxembourgeoises.Le représentant peut être contacté par l’autorité compétente concernée à la place du fournisseur de service numérique concernant les obligations incombant audit fournisseur de service numérique en vertu de la présente loi.La désignation d’un représentant par le fournisseur de service numérique est sans préjudice d’actions en justice qui pourraient être intentées contre le fournisseur de service numérique lui-même.(2)Le chapitre 4 ne s’applique pas aux microentreprises et petites entreprises telles que définies dans la recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises.

   Empreinte du texte 680bdcc54cb1fd25b5e017ff76dc8cd07a7b60e2473f93c07a52eb5f3fa1f355, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_10

10. art_11

    Art. 11.(1)Les fournisseurs de service numérique identifient les risques qui menacent la sécurité des réseaux et des systèmes d’information qu’ils utilisent pour offrir, dans l’Union européenne, un service numérique et prennent les mesures techniques et organisationnelles nécessaires et proportionnées pour les gérer. Ces mesures garantissent, compte tenu de l’état des connaissances, un niveau de sécurité des réseaux et des systèmes d’information adapté au risque existant et prennent en considération les éléments suivants :la sécurité des systèmes et des installations ;la gestion des incidents ;la gestion de la continuité des activités ;le suivi, l’audit et le contrôle ;le respect des normes internationales.La gestion des risques qui menacent la sécurité des réseaux et des systèmes d’information des fournisseurs de service numérique se fait conformément au règlement d’exécution (UE) 2018/151 de la Commission du 30 janvier 2018 portant modalités d’application de la directive (UE) 2016/1148 du Parlement européen et du Conseil précisant les éléments à prendre en considération par les fournisseurs de service numérique pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information ainsi que les paramètres permettant de déterminer si un incident a un impact significatif.(2)Les fournisseurs de service numérique prennent des mesures pour éviter les incidents portant atteinte à la sécurité de leurs réseaux et systèmes d’information, et réduire au minimum l’impact de ces incidents sur les services numériques qui sont offerts dans l’Union européenne, de manière à garantir la continuité de ces services.(3)Les fournisseurs de service numérique notifient à l’autorité compétente concernée, sans retard injustifié, tout incident ayant un impact significatif sur la fourniture d’un service numérique qu’ils offrent dans l’Union européenne. Les modalités de cette notification, le format et le délai, sont déterminés par l’autorité compétente concernée par voie de règlement. Ces notifications sont transmises au CERT Gouvernemental et au CIRCL en fonction de leurs compétences respectives. Les notifications contiennent des informations permettant à l’autorité compétente concernée d’évaluer l’ampleur de l’éventuel impact au niveau transfrontalier. Cette notification n’accroît pas la responsabilité de la partie qui en est à l’origine.(4)L’importance de l’impact d’un incident est déterminée en tenant compte, en particulier, des paramètres suivants :le nombre d’utilisateurs touchés par l’incident, en particulier ceux qui recourent au service pour la fourniture de leurs propres services ;la durée de l’incident ;la portée géographique eu égard à la zone touchée par l’incident ;la gravité de la perturbation du fonctionnement du service ;l’ampleur de l’impact sur les fonctions économiques et sociétales.L’obligation de notifier un incident ne s’applique que lorsque le fournisseur de service numérique a accès aux informations nécessaires pour évaluer l’impact de l’incident eu égard aux paramètres visés au premier alinéa.Les paramètres permettant de déterminer si un incident a un impact significatif sont précisés par le règlement d’exécution (UE) 2018/151 de la Commission du 30 janvier 2018 portant modalités d’application de la directive (UE) 2016/1148 du Parlement européen et du Conseil précisant les éléments à prendre en considération par les fournisseurs de service numérique pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information ainsi que les paramètres permettant de déterminer si un incident a un impact significatif.(5)Lorsqu’un opérateur de services essentiels s’appuie sur un tiers fournisseur de service numérique pour la prestation d’un service essentiel au maintien de fonctions sociétales et économiques critiques, tout impact significatif sur la continuité des services essentiels en raison d’un incident touchant le fournisseur de service numérique est notifié par ledit opérateur.(6)Lorsque l’incident visé au paragraphe 3 concerne deux États membres ou plus, l’autorité compétente concernée peut informer les autres États membres touchés. Ce faisant, l’autorité compétente concernée doit préserver la sécurité et les intérêts commerciaux du fournisseur de service numérique ainsi que la confidentialité des informations communiquées.(7)Une fois par an, l’autorité compétente concernée transmet au point de contact national unique un rapport de synthèse sur les notifications reçues, y compris le nombre de notifications et la nature des incidents notifiés, ainsi que sur les mesures prises conformément aux paragraphes 3 et 6.Tous les ans, le point de contact national unique transmet au groupe de coopération un rapport de synthèse sur les notifications reçues, y compris le nombre de notifications et la nature des incidents notifiés, ainsi que sur les mesures prises conformément aux paragraphes 3 et 6.(8)Après avoir consulté le fournisseur de service numérique concerné, l’autorité compétente concernée, et les autorités ou les CSIRT des autres États membres concernés peuvent informer le public d’incidents particuliers ou imposer au fournisseur de service numérique de le faire, dans le cas où la sensibilisation du public est nécessaire pour prévenir un incident ou pour gérer un incident en cours, ou lorsque la divulgation de l’incident est dans l’intérêt public à d’autres égards.

    Empreinte du texte 551cb31dea956a9bda792dd615bc28d2f17d81442cbb8054877ac9f98b0787df, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_11

11. art_12

    Art. 12.(1)L’autorité compétente concernée peut imposer aux fournisseurs de service numérique :de lui communiquer les informations nécessaires pour évaluer la sécurité de leurs réseaux et systèmes d’information, y compris les documents relatifs à leurs politiques de sécurité ;de corriger tout manquement aux obligations fixées à l’article 11 ;de lui communiquer toute information nécessaire à l’accomplissement de ses missions en vertu de la présente loi.(2)Si un fournisseur de service numérique a son établissement principal ou un représentant au Grand-Duché de Luxembourg alors que ses réseaux et systèmes d’information sont situés dans un ou plusieurs autres États membres, les autorités compétentes concernées luxembourgeoises et les autorités compétentes de ces autres États membres coopèrent étroitement et se prêtent mutuellement assistance dans la mesure nécessaire à l’application de la présente loi.L’obligation au secret professionnel prévue par l’article 16 de la loi modifiée du 23 décembre 1998 portant création d’une Commission de surveillance du secteur financier et l’article 15 de la loi modifiée du 30 mai 2005 portant : 1) organisation de l’Institut Luxembourgeois de Régulation ; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État ne fait pas obstacle à cette coopération.

    Empreinte du texte 11ad76772bcd085f56fde2adebac9e7a90786688c47b05b974491c033676dba4, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_12

12. art_13

    Art. 13.(1)Les entités qui n’ont pas été identifiées en tant qu’opérateurs de services essentiels et qui ne sont pas des fournisseurs de service numérique peuvent notifier, à titre volontaire, les incidents ayant un impact significatif sur la continuité des services qu’elles fournissent.(2)Lorsqu’elle traite des notifications, l’autorité compétente concernée agit conformément à la procédure énoncée à l’article 8. L’autorité compétente concernée peut traiter les notifications obligatoires en leur donnant la priorité par rapport aux notifications volontaires. Les notifications volontaires ne sont traitées que lorsque leur traitement ne fait pas peser de charge disproportionnée ou inutile sur l’autorité compétente concernée.Une notification volontaire n’a pas pour effet d’imposer à l’entité qui est à l’origine de la notification des obligations auxquelles elle n’aurait pas été soumise en vertu de la présente loi si elle n’avait pas procédé à ladite notification.

    Empreinte du texte 5dad2f47f38d840d215bdde5c30d296465d26cee003ce03d2f2fd918c7dce253, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_13

13. art_14

    Art. 14.(1)Lorsque l’autorité compétente concernée constate une violation des obligations prévues par les articles 8, 9, 11 et 12 ou par des mesures prises en exécution de la présente loi, elle peut frapper l’opérateur de services essentiels ou le fournisseur de service numérique concerné d’une ou de plusieurs des sanctions suivantes :un avertissement ;un blâme ;une amende d’ordre, dont le montant est proportionné à la gravité du manquement, à la situation de l’intéressé, à l’ampleur du dommage et aux avantages qui en sont tirés sans pouvoir excéder 125 000 euros.L’amende ne peut être prononcée que pour autant que les manquements visés ne fassent pas l’objet d’une sanction pénale.(2)En cas de constatation d’un fait susceptible de constituer un manquement visé au paragraphe 1er, l’autorité compétente concernée engage une procédure contradictoire dans laquelle l’opérateur de services essentiels ou le fournisseur de service numérique concerné a la possibilité de consulter le dossier et de présenter ses observations écrites ou verbales. L’opérateur de services essentiels ou le fournisseur de service numérique concerné peut se faire assister ou représenter par une personne de son choix. À l’issue de la procédure contradictoire, l’autorité compétente concernée peut prononcer à l’encontre de l’opérateur de services essentiels ou du fournisseur de service numérique concerné une ou plusieurs des sanctions visées au paragraphe 1er.(3)Les décisions prises par l’autorité compétente concernée à l’issue de la procédure contradictoire sont motivées et notifiées à l’opérateur de services essentiels ou au fournisseur de service numérique concerné.(4)Contre les décisions visées au paragraphe 3 un recours en réformation est ouvert devant le tribunal administratif.(5)La perception des amendes d’ordre prononcées par l’ILR est confiée à l’Administration de l’enregistrement, des domaines et de la TVA.

    Empreinte du texte 044efabc1f4686a646c30c87c33874ab3f92798a3184dd058d42f6ae88d8d324, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_14

14. art_15

    Art. 15.À l’article 2, lettre y), de la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État, le point final est remplacé par un point-virgule et l’article 2 de la même loi est complété comme suit :l’exercice, dans le cadre de ces attributions, de la fonction d’Autorité d’agrément cryptographique, chargée de veiller à ce que les produits cryptographiques soient conformes aux politiques de sécurité respectives en matière cryptographique ; d’évaluer et d’agréer les produits cryptographiques pour la protection des informations classifiées jusqu’à un certain niveau de classification dans leur environnement opérationnel; de conserver et de gérer les données techniques relatives aux produits cryptographiques. »

    Empreinte du texte 5f2b37a799cd840d4861b4df91915d64bcbbeb6b9c43cbc01752153b31429363, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_15

15. art_16

    Art. 16.La loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale est modifiée comme suit :À l’article 2, point 4, le point final est remplacé par un point-virgule et il est inséré à la suite du point 4 un nouveau point 5, libellé comme suit : « stratégie nationale en matière de sécurité des réseaux et des systèmes d’information » : un cadre prévoyant des objectifs et priorités stratégiques en matière de sécurité des réseaux et des systèmes d’information au niveau national. » ;À l’article 3, paragraphe 1er, lettre b), il est ajouté un point 4, libellé comme suit :de coordonner et d’élaborer une stratégie nationale en matière de sécurité des réseaux et des systèmes d’information ; » ;À l’article 8, paragraphe 1er, les termes « l’article 5 » sont remplacés par les termes « l’article 4 » ;Après l’article 9, il est inséré un nouveau chapitre 4bis, libellé comme suit : « Chapitre 4bis La stratégie nationale en matière de sécurité des réseaux et des systèmes d’informationArt. 9bis.Le Haut-Commissariat à la Protection nationale élabore une stratégie nationale en matière de sécurité des réseaux et des systèmes d’information, qui porte, en particulier, sur les points suivants :les objectifs et les priorités de la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information ;un cadre de gouvernance permettant d’atteindre les objectifs et les priorités de la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information, prévoyant notamment les rôles et les responsabilités des organismes publics et des autres acteurs pertinents ;l’inventaire des mesures en matière de préparation, d’intervention et de récupération, y compris la coopération entre les secteurs public et privé ;un aperçu des programmes d’éducation, de sensibilisation et de formation en rapport avec la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information ;un aperçu des plans de recherche et de développement en rapport avec la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information ;un plan d’évaluation des risques permettant d’identifier les risques ;une liste des différents acteurs concernés par la mise en œuvre de la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information. »

    Empreinte du texte 1383825e9f7ab3fa04a3c018827edcb46e3eb057df3da9ff94fefbe0494035a8, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_16

16. art_17

    Art. 17.La présente loi entre en vigueur le premier jour du deuxième mois qui suit celui de sa publication au Journal officiel du Grand-Duché de Luxembourg.

    Empreinte du texte 2de7eef08f6dce6bc9375c7290bc88298691ffd52a0030f64025873928d3b4b3, empreinte du corps 9d05e75b0d5e32141ea90737b42f5ff2bbcb84177874b6b57bd11894d5cb4c1c, source officielle http://data.legilux.public.lu/eli/etat/leg/loi/2019/05/28/a372/jo, /lu-legilux/loi-2019-05-28-a372/2019-07-01--883a8e0e77bc10e1d7824f191a7137753edf660b7d3f0a2e44056f3c12499878/fra/art_17