Loi NIS2 au Luxembourg (loi du 5 mai 2026) : obligations pour les hébergeurs et leurs clients
La loi luxembourgeoise NIS2 est applicable depuis le 10 mai 2026. Voici ce qu’elle change pour un hébergeur, pour ses clients, et ce que reste de votre responsabilité.
Situation au 30.09.2026. Information générale, pas un avis juridique.
Réponse courte
- 1La loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, publiée le 6 mai 2026, transpose au Luxembourg la directive (UE) 2022/2555, dite NIS2.
- 2L’Institut luxembourgeois de régulation (ILR) est l’autorité compétente pour la grande majorité des secteurs, à l’exception du secteur financier supervisé par la CSSF ; il gère le portail d’auto-enregistrement des entités.
- 3Les fournisseurs d’informatique en nuage et de centres de données figurent à l’annexe I de la directive (infrastructure numérique) : ils peuvent être des entités essentielles, selon leur taille.
- 4Un incident important doit être signalé sans retard injustifié et au plus tard 24 heures après sa découverte ; la directive prévoit ensuite une notification sous 72 heures et un rapport final sous un mois.
- 5Votre hébergeur ne remplace pas votre propre analyse : savoir si votre entreprise entre dans le champ de la loi relève de vous, avec l’ILR ou un conseil juridique.
Ce que dit le cadre légal luxembourgeois
La loi du 5 mai 2026 est publiée sur Legilux et présentée sur la page « loi NIS2 » de l’ILR. Elle modifie aussi trois textes existants : la loi du 14 août 2000 sur le commerce électronique, la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale et la loi du 17 décembre 2021 sur les réseaux et services de communications électroniques.
Le projet de loi à l’origine du texte portait le numéro 8364. Les entités concernées s’enregistrent elles-mêmes auprès de l’ILR ; l’ILR précise que toute modification des informations communiquées doit lui être notifiée dans un délai de deux semaines. Le délai exact d’enregistrement est à confirmer sur le portail de l’ILR.
Hébergeur ou client : qui est concerné ?
NIS2 s’applique par entité, pas par serveur. Un hébergeur, un exploitant de centre de données ou un fournisseur cloud relève de l’infrastructure numérique. Une entreprise cliente peut relever d’un autre secteur de l’annexe I ou II, ou d’aucun : c’est sa propre qualification qui compte, pas celle de son prestataire.
La directive demande aussi aux organes de direction d’approuver les mesures de gestion des risques et d’en superviser la mise en œuvre (article 20). Cette responsabilité ne se délègue pas à l’hébergeur.
Incidents : la chaîne de notification
Selon l’ILR, un incident important est signalé sans retard injustifié et au plus tard dans les 24 heures. Ce délai court pour l’entité soumise à la loi, pas pour son prestataire d’infrastructure. D’où l’intérêt d’un contact d’incident clair avec votre hébergeur et d’un runbook préparé à l’avance.
Trois cas luxembourgeois
Un éditeur de logiciels à Luxembourg-Ville
Il héberge son application sur un VPS. Première étape : vérifier sur le portail de l’ILR s’il entre dans le champ de la loi. Si oui, il s’enregistre et documente ses fournisseurs, dont l’hébergeur.
Une fiduciaire à Esch-sur-Alzette
Elle stocke des dossiers clients sur un serveur dédié. Même si elle conclut qu’elle n’est pas concernée par NIS2, les sauvegardes, les mises à jour et l’accès par clé restent de bonnes pratiques, et le RGPD s’applique de toute façon.
Une agence web à Differdange
Elle gère les sites de ses clients. Elle se demande si elle est elle-même un prestataire de services gérés au sens de l’annexe I : la réponse dépend de son activité réelle et doit être tranchée avec l’ILR ou un juriste.
Erreurs fréquentes
- Penser que « hébergé en Europe » ou « hébergeur conforme » dispense d’analyser sa propre situation.
- Attendre un incident pour chercher qui notifie quoi : les 24 heures courent dès la connaissance de l’incident.
- Ne pas lister ses fournisseurs critiques (hébergement, DNS, messagerie, sauvegarde) dans sa documentation de sécurité.
- Confondre NIS2 (cybersécurité) et RGPD (données personnelles) : les deux peuvent s’appliquer, avec des autorités et des notifications distinctes.
Comment 4hosting vous aide
Nos centres de données sont dans l’Union européenne, à Francfort, et non au Luxembourg. Nous signons un contrat de sous-traitance (DPA, article 28 du RGPD) et travaillons en alignement avec ISO 27001, sans être certifiés. Nous ne détenons aucune certification NIS2, ISO ou SOC 2.
Chaque VPS, serveur dédié ou serveur GPU, ainsi que les offres cPanel à partir d’Advanced, inclut des heures mensuelles de DevOps et de cybersécurité : durcissement des serveurs, sauvegardes, protection WAF et DDoS, plan de réponse aux incidents. Ces heures se demandent depuis l’espace client. La migration est gratuite.
4hosting n’est pas un organisme de certification et ne garantit pas votre conformité légale : cette analyse vous revient, avec l’ILR ou votre conseil.
Parlez-nous de votre cas →Questions fréquentes
4hosting est-il certifié NIS2 ?
Non. 4hosting ne détient aucune certification NIS2, ISO ou SOC 2 ; nous parlons d’alignement avec ISO 27001, pas de certification. Nous ne nous prononçons pas sur la qualification de 4hosting au regard de la loi.
Mes serveurs sont-ils au Luxembourg ?
Non. Les centres de données de 4hosting sont en Union européenne, à Francfort, pas au Luxembourg.
Qui décide si mon entreprise est dans le champ de la loi ?
C’est à vous de l’évaluer, avec les critères de la loi et les informations de l’ILR. Un conseil juridique peut confirmer votre analyse.