LegalizeLoi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale
Nous Henri, Grand-Duc de Luxembourg, Duc de Nassau,
Notre Conseil d’État entendu ;
De l’assentiment de la Chambre des Députés ;
Vu la décision de la Chambre des députés du 15 mai 2019 et celle du Conseil d’État du 21 mai 2019 portant qu’il n’y a pas lieu à second vote ;
Avons ordonné et ordonnons :
Chapitre 1er Définitions et champ d’application
Art. 1er.
(1)
Les exigences en matière de sécurité et de notification prévues par la présente loi ne s’appliquent pas aux entreprises soumises aux exigences énoncées aux articles 45 et 46 de la loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques ni aux prestataires de services de confiance soumis aux exigences à l’article 19 du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE.
(2)
Lorsqu’une loi ou un acte juridique sectoriel de l’Union exige des opérateurs de services essentiels ou des fournisseurs de service numérique qu’ils assurent la sécurité de leurs réseaux et systèmes d’information ou qu’ils procèdent à la notification des incidents, à condition que les exigences en question aient un effet au moins équivalent à celui des obligations prévues par la présente loi, les dispositions de cette loi ou de cet acte juridique sectoriel de l’Union s’appliquent.
Art. 2.
Pour l’application de la présente loi, on entend par :
« Réseau et système d’information » :un réseau de communications électroniques au sens de l’article 2, paragraphe 24, de la loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques ;tout dispositif ou tout ensemble de dispositifs interconnectés ou apparentés, dont un ou plusieurs éléments assurent, en exécution d’un programme, un traitement automatisé de données numériques ; oules données numériques stockées, traitées, récupérées ou transmises par les éléments visés aux lettres a) et b) en vue de leur fonctionnement, utilisation, protection et maintenance ;
« Sécurité des réseaux et des systèmes d’information » : la capacité des réseaux et des systèmes d’information de résister, à un niveau de confiance donné, à des actions qui compromettent la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données stockées, transmises ou faisant l’objet d’un traitement, et des services connexes que ces réseaux et systèmes d’information offrent ou rendent accessibles ;
« Opérateur de services essentiels » : une entité publique ou privée dont le type figure en annexe et qui répond aux critères énoncés à l’article 7, paragraphe 2 ;
« Service numérique » : un service au sens de l’article 1er, paragraphe 1er, lettre b), de la loi du 8 novembre 2016 prévoyant une procédure d’information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l’information du type « place de marché en ligne », « moteur de recherche en ligne » ou « service d’informatique en nuage » ;
« Fournisseur de service numérique » : une personne morale qui fournit un service numérique ;
« Incident » : tout événement ayant un impact négatif réel sur la sécurité des réseaux et des systèmes d’information ;
« Gestion d’incident » : toutes les procédures utiles à la détection, à l’analyse et au confinement d’un incident et toutes les procédures utiles à l’intervention en cas d’incident ;
« Risque » : toute circonstance ou tout événement raisonnablement identifiable ayant un impact négatif potentiel sur la sécurité des réseaux et des systèmes d’information ;
« Représentant » : une personne physique ou morale établie dans l’Union européenne qui est expressément désignée pour agir pour le compte d’un fournisseur de service numérique non établi dans l’Union européenne ;
« Norme » : une norme au sens de l’article 2, point 1, du règlement (UE) n° 1025/2012 du Parlement européen et du Conseil du 25 octobre 2012 relatif à la normalisation européenne, modifiant les directives 89/686/CEE et 93/15/CEE du Conseil ainsi que les directives 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE et 2009/105/CE du Parlement européen et du Conseil et abrogeant la décision 87/95/CEE du Conseil et la décision n° 1673/2006/CE du Parlement européen et du Conseil ;
« Spécification » : une spécification technique au sens de l’article 2, point 4, du règlement (UE) n° 1025/2012 du Parlement européen et du Conseil du 25 octobre 2012 relatif à la normalisation européenne, modifiant les directives 89/686/CEE et 93/15/CEE du Conseil ainsi que les directives 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE et 2009/105/CE du Parlement européen et du Conseil et abrogeant la décision 87/95/CEE du Conseil et la décision n° 1673/2006/CE du Parlement européen et du Conseil ;
« Point d’échange internet », ci-après « IXP » : une structure de réseau qui permet l’interconnexion de plus de deux systèmes autonomes indépendants, essentiellement aux fins de faciliter l’échange de trafic internet ; un IXP n’assure l’interconnexion que pour des systèmes autonomes ; un IXP n’exige pas que le trafic internet passant entre une paire quelconque de systèmes autonomes participants transite par un système autonome tiers, pas plus qu’il ne modifie ou n’altère par ailleurs un tel trafic ;
« Système de noms de domaine », ci-après « DNS » : un système hiérarchique et distribué d’affectation de noms dans un réseau qui résout les questions liées aux noms de domaines ;
« Fournisseur de services DNS » : une entité qui fournit des services DNS sur l’internet ;
« Registre de noms de domaine de haut niveau » : une entité qui administre et gère l’enregistrement de noms de domaine internet dans un domaine de haut niveau donné ;
« Place de marché en ligne » : un service numérique qui permet à des consommateurs ou à des professionnels au sens de l’article L. 010-1, point 1 ou point 2 respectivement, du Code de la consommation de conclure des contrats de vente ou de service en ligne avec des professionnels soit sur le site internet de la place de marché en ligne, soit sur le site internet d’un professionnel qui utilise les services informatiques fournis par la place de marché en ligne ;
« Moteur de recherche en ligne » : un service numérique qui permet aux utilisateurs d’effectuer des recherches sur, en principe, tous les sites internet ou sur les sites internet dans une langue donnée, sur la base d’une requête lancée sur n’importe quel sujet sous la forme d’un mot clé, d’une phrase ou d’une autre entrée, et qui renvoie des liens à partir desquels il est possible de trouver des informations en rapport avec le contenu demandé ;
« Service informatique en nuage » : un service numérique qui permet l’accès à un ensemble modulable et variable de ressources informatiques pouvant être partagées ;
« CERT Gouvernemental » : Centre de traitement des urgences informatiques, tel que défini à l’arrêté grand-ducal du 9 mai 2018 déterminant l’organisation et les attributions du Centre de traitement des urgences informatiques, dénommé « CERT Gouvernemental » ;
« CIRCL » : Computer Incident Response Center Luxembourg, opéré par le groupement d’intérêt économique Security Made in Lëtzebuerg ;
« CSIRT » : centre de réponse aux incidents de sécurité informatiques ;
« Groupe de coopération » : groupe institué aux fins de soutenir et de faciliter la coopération stratégique et l’échange d’informations entre les États membres et de renforcer la confiance, et de parvenir à un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne ;
« Réseau des CSIRT » : groupe institué aux fins de contribuer au renforcement de la confiance entre les États membres et de promouvoir une coopération opérationnelle rapide et effective ;
« Point de contact national unique » : autorité qui exerce une fonction de liaison pour assurer une coopération transfrontalière entre les autorités des États membres, ainsi qu’avec les autorités concernées des autres États membres, le groupe de coopération et le réseau des CSIRT.
Chapitre 2 Autorités compétentes concernées et point de contact national unique
Art. 3.
La Commission de surveillance du secteur financier, ci-après « la CSSF », est l’autorité compétente en matière de sécurité des réseaux et des systèmes d’information couvrant les secteurs des établissements de crédit et des infrastructures de marchés financiers tels que définis aux points 3 et 4 de l’annexe, ainsi que les services numériques fournis par une entité tombant sous la surveillance de la CSSF.
L’Institut luxembourgeois de régulation, ci-après « l’ILR », est l’autorité compétente en matière de sécurité des réseaux et des systèmes d’information couvrant les autres secteurs visés en annexe, ainsi que les services numériques fournis par une entité pour laquelle la CSSF n’est pas l’autorité compétente.
L’obligation au secret professionnel prévue par l’article 16 de la loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier et l’article 15 de la loi modifiée du 30 mai 2005 portant : 1) organisation de l’Institut Luxembourgeois de Régulation ; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État ne fait pas obstacle à l’échange d’informations entre autorités compétentes.
Art. 4.
L’ILR constitue le point de contact national unique en matière de sécurité des réseaux et des systèmes d’information.
Art. 5.
L’ILR bénéficie d’une contribution financière à charge du budget de l’État afin de couvrir l’intégralité des frais de fonctionnement qui résultent de l’exercice des missions prévues par la présente loi.
Art. 6.
Dans la mesure nécessaire à l’accomplissement de leur mission en vertu de la présente loi, les autorités compétentes et le point de contact national unique consultent les services répressifs nationaux compétents et les autorités nationales chargées de la protection des données et coopèrent avec eux.
L’obligation au secret professionnel prévue par l’article 16 de la loi modifiée du 23 décembre 1998 portant création d’une Commission de surveillance du secteur financier et l’article 15 de la loi modifiée du 30 mai 2005 portant : 1) organisation de l’Institut Luxembourgeois de Régulation ; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État ne fait pas obstacle à cette coopération.
Chapitre 3 Opérateurs de services essentiels
Art. 7.
(1)
Tombent sous le champ d’application de la présente loi, les opérateurs de services essentiels ayant un établissement sur le territoire luxembourgeois.
(2)
L’identification des opérateurs de services essentiels par l’autorité compétente concernée se fait au moyen des critères d’identification suivants :
une entité fournit un service qui est essentiel au maintien d’activités sociétales et/ou économiques critiques ;
la fourniture de ce service est tributaire des réseaux et des systèmes d’information ; et
un incident aurait un effet disruptif important sur la fourniture dudit service.
L’autorité compétente concernée notifie la décision d’identification à l’opérateur de services essentiels.
(3)
L’importance de l’effet disruptif visé au paragraphe 2, point 3, est déterminée sur base de facteurs transsectoriels et sectoriels, dont au moins :
le nombre d’utilisateurs tributaires du service fourni par l’entité concernée ;
la dépendance des autres secteurs visés en annexe à l’égard du service fourni par cette entité ;
les conséquences que des incidents pourraient avoir, en termes de degré et de durée, sur les fonctions économiques ou sociétales ou sur la sûreté publique ;
la part de marché de cette entité ;
la portée géographique eu égard à la zone susceptible d’être touchée par un incident ;
l’importance que revêt l’entité pour garantir un niveau de service suffisant, compte tenu de la disponibilité de solutions de rechange pour la fourniture de ce service.
(4)
La liste des services essentiels est fixée par l’autorité compétente concernée par voie de règlement.
(5)
Lorsqu’une entité fournit un service visé au paragraphe 2, point 1, dans un autre État membre, l’autorité compétente concernée consulte l’autorité compétente de l’autre État membre. La consultation intervient avant que l’identification ne fasse l’objet d’une décision.
Art. 8.
(1)
La consultation de ce document ne remplace pas la lecture du texte officiel publié au Mémorial du Grand-Duché de Luxembourg. Nous déclinons toute responsabilité pour d'éventuelles inexactitudes résultant de la conversion de l'original dans ce format.