JOURNAL OFFICIEL du Grand-Duché de Luxembourg
MÉMORIAL A - 372 du 31 mai 2019
20° « CIRCL » : Computer Incident Response Center Luxembourg, opéré par le groupement d’intérêt
économique Security Made in Lëtzebuerg ;
21° « CSIRT » : centre de réponse aux incidents de sécurité informatiques ;
22° « Groupe de coopération » : groupe institué aux fins de soutenir et de faciliter la coopération stratégique
et l’échange d’informations entre les États membres et de renforcer la confiance, et de parvenir à un
niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne ;
23° « Réseau des CSIRT » : groupe institué aux fins de contribuer au renforcement de la confiance entre les
États membres et de promouvoir une coopération opérationnelle rapide et effective ;
24° « Point de contact national unique » : autorité qui exerce une fonction de liaison pour assurer une
coopération transfrontalière entre les autorités des États membres, ainsi qu’avec les autorités concernées
des autres États membres, le groupe de coopération et le réseau des CSIRT.
Chapitre 2 - Autorités compétentes concernées et point de contact national unique
Art. 3.
La Commission de surveillance du secteur financier, ci-après « la CSSF », est l’autorité compétente en
matière de sécurité des réseaux et des systèmes d’information couvrant les secteurs des établissements de
crédit et des infrastructures de marchés financiers tels que définis aux points 3 et 4 de l’annexe, ainsi que
les services numériques fournis par une entité tombant sous la surveillance de la CSSF.
L’Institut luxembourgeois de régulation, ci-après « l’ILR », est l’autorité compétente en matière de sécurité des
réseaux et des systèmes d’information couvrant les autres secteurs visés en annexe, ainsi que les services
numériques fournis par une entité pour laquelle la CSSF n’est pas l’autorité compétente.
L’obligation au secret professionnel prévue par l’article 16 de la loi modifiée du 23 décembre 1998 portant
création d’une commission de surveillance du secteur financier et l’article 15 de la loi modifiée du 30 mai
2005 portant : 1) organisation de l’Institut Luxembourgeois de Régulation ; 2) modification de la loi modifiée
du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État ne fait pas obstacle à l’échange
d’informations entre autorités compétentes.
Art. 4.
L’ILR constitue le point de contact national unique en matière de sécurité des réseaux et des systèmes
d’information.
Art. 5.
L’ILR bénéficie d’une contribution financière à charge du budget de l’État afin de couvrir l’intégralité des frais
de fonctionnement qui résultent de l’exercice des missions prévues par la présente loi.
Art. 6.
Dans la mesure nécessaire à l’accomplissement de leur mission en vertu de la présente loi, les autorités
compétentes et le point de contact national unique consultent les services répressifs nationaux compétents
et les autorités nationales chargées de la protection des données et coopèrent avec eux.
L’obligation au secret professionnel prévue par l’article 16 de la loi modifiée du 23 décembre 1998 portant
création d’une Commission de surveillance du secteur financier et l’article 15 de la loi modifiée du 30 mai 2005
portant : 1) organisation de l’Institut Luxembourgeois de Régulation ; 2) modification de la loi modifiée du 22
juin 1963 fixant le régime des traitements des fonctionnaires de l’État ne fait pas obstacle à cette coopération.
Chapitre 3 - Opérateurs de services essentiels
Art. 7.
(1) Tombent sous le champ d’application de la présente loi, les opérateurs de services essentiels ayant un
établissement sur le territoire luxembourgeois.
(2) L’identification des opérateurs de services essentiels par l’autorité compétente concernée se fait au
moyen des critères d’identification suivants :
A 372 - 3