Cybersécurité à Esch-sur-Alzette : audit, NIS2 et RGPD pour PME et ETI

L'Université du Luxembourg (Uni.lu), établissement public luxembourgeois, est soumise à NIS2 en tant qu'entité du secteur de l'enseignement supérieur et de la recherche. Les obligations NIS2 pour Uni.lu incluent : la gouvernance cyber formalisée (politique SSI approuvée au niveau Recteur), la gestion des risques documentée pour les systèmes d'information (dossiers d'étudiants, données de recherche, systèmes pédagogiques), la notification des incidents graves au HCPN (Haut-Commissariat à la Protection Nationale, régulateur NIS2 luxembourgeois), et des tests de sécurité réguliers. Les startups incubées à Belval hébergées sur les serveurs de l'université bénéficient de la sécurité universitaire mais gardent leurs propres responsabilités de traitement de données.

ArcelorMittal Luxembourg est soumis à NIS2 en tant qu'entité du secteur fabrication (acier spécial, industrie critique). Les obligations NIS2 incluent la sécurisation des systèmes OT (hauts fourneaux, laminoirs, systèmes de contrôle de procédé), la gestion des incidents et la protection de la chaîne d'approvisionnement (sous-traitants IT, fournisseurs d'équipements industriels). DORA ne s'applique pas à ArcelorMittal en tant qu'industriel non financier. En revanche, ArcelorMittal Finance Luxembourg (entité financière du groupe) serait soumise à DORA. CyberConform accompagne les grands industriels du sud-Luxembourg pour leur conformité NIS2 OT/IT, avec des consultants spécialisés en sécurité des systèmes industriels (ICS/SCADA).

Pour une startup ou scale-up du technopark de Belval (5 à 30 collaborateurs), CyberConform propose un audit cybersécurité et conformité RGPD entre 4 500 et 10 000 € HT. Les startups SaaS ou développant des solutions pour des clients du secteur financier luxembourgeois peuvent être soumises à NIS2 (si elles deviennent fournisseur de services managés) ou avoir des obligations contractuelles de sécurité de leurs clients CSSF. Un pack startup cyber spécial est disponible à 2 500 € HT incluant : audit RGPD rapide (registre des traitements, notice de confidentialité), recommandations de sécurité cloud (AWS, Azure, GCP) et préparation à la due diligence investisseurs. Les startups incubées à l'Uni.lu peuvent bénéficier d'une heure de conseil initial gratuit.

Les PME situées à la frontière franco-luxembourgeoise (Esch-sur-Alzette côté luxembourgeois, Longwy ou Villerupt côté français) font face à un double cadre réglementaire potentiel. Si la PME est établie au Luxembourg, elle relève de la loi luxembourgeoise NIS2 (Loi du 20 mai 2021 sur la cybersécurité, mise à jour par la transposition NIS2) et du RGPD sous contrôle de la CNPD. Si elle a des activités en France, l'ANSSI et la CNIL peuvent également être concernées. CyberConform a développé une expertise spécifique pour les entreprises transfrontalières franco-luxembourgeoises, avec une maîtrise des deux cadres réglementaires et des deux langues.

En cas de cyberattaque dans le Sud-Luxembourg, les étapes immédiates sont : (1) Isoler les systèmes compromis du réseau, (2) Contacter CyberConform pour intervention d'urgence au Luxembourg, (3) Notifier le HCPN (Haut-Commissariat à la Protection Nationale, autorité NIS2 Luxembourg) dans les 24 h si entité NIS2, (4) Si données personnelles compromises : notifier la CNPD (RGPD) sous 72 h, (5) Contacter le CERT.lu (Computer Emergency Response Team du Luxembourg) pour assistance technique (cert@cert.lu). Pour les entreprises industrielles (ArcelorMittal, PME métallurgiques), une procédure spécifique d'isolation OT/IT doit être déclenchée pour éviter la contamination des systèmes de contrôle de procédé. CyberConform peut intervenir sur site à Esch-sur-Alzette et dans le sud du Grand-Duché.