Cybersécurité à Luxembourg : audit, NIS2 et RGPD pour PME et ETI

Pour un établissement financier luxembourgeois soumis à DORA (banques, gestionnaires de fonds, assureurs, PSP), un audit de conformité DORA complet comprend : l'évaluation de la politique de gestion des risques ICT, le mapping des contrats avec les prestataires ICT tiers, les plans de réponse aux incidents TIC, et les tests de résilience (TLPT — Threat-Led Penetration Testing). Les tarifs au Luxembourg reflètent le niveau local : audit DORA pour un fonds de taille moyenne (50-200 M€ d'AuM) entre 15 000 et 35 000 € HT, audit DORA pour une banque de dépôt entre 30 000 et 80 000 € HT selon la complexité. Les tests TLPT obligatoires (pour les entités financières importantes) sont tarifés à partir de 25 000 € HT. CyberConform facture en euros HT, conforme aux pratiques luxembourgeoises.

Oui, si votre fonds est géré par un gestionnaire autorisé CSSF (AIFM, société de gestion OPCVM). DORA (Règlement EU 2022/2554, applicable depuis le 17 janvier 2025) s'applique aux entités financières au sens large : banques, sociétés d'assurance, gestionnaires d'actifs AIFM, gestionnaires OPCVM, PSP, plateformes de crypto (MiCA). Les obligations DORA incluent : une politique de gestion des risques ICT documentée et approuvée par le Conseil d'Administration, un registre complet des prestataires ICT tiers, un plan de communication et de gestion des incidents TIC (notification à la CSSF), et des tests de résilience annuels. La CSSF peut infliger des sanctions jusqu'à 10 % du CA annuel en cas de non-conformité DORA.

Le marché du RSSI externalisé (vCISO) au Luxembourg est très actif en raison du coût prohibitif d'un RSSI salarié (entre 150 000 et 220 000 € brut/an pour un profil Senior à Luxembourg-Ville). CyberConform propose un service de RSSI à temps partagé adapté au marché luxembourgeois, avec des tarifs tenant compte du niveau de vie local : RSSI externalisé pour un fonds ou une fiduciaire entre 3 500 et 6 000 € HT/mois (1 à 2 jours de présence mensuelle + support illimité). Pour les PSF (Professionnels du Secteur Financier) soumis à la CSSF, le RSSI externalisé doit être enregistré et peut être présenté à la CSSF lors des contrôles. Tous nos consultants RSSI Luxembourg maîtrisent les circulaires CSSF et les exigences DORA.

Les PSF luxembourgeois (PSF de support, PSF spécialisés) sont soumis à la surveillance de la CSSF et à un cadre réglementaire strict incluant : la circulaire CSSF 22/806 sur l'externalisation et les sous-traitants IT, la circulaire 23/827 sur NIS2, les exigences DORA selon leur activité, et les recommandations de l'ABBL (Association des Banques et Banquiers Luxembourg) en matière de cybersécurité. CyberConform accompagne les PSF pour : la mise en conformité NIS2/DORA, la gestion des contrats de sous-traitance IT conformes CSSF, la formation des Responsables de la Conformité et des dirigeants aux obligations cyber, et la préparation aux inspections CSSF. Un dossier de conformité complet peut être constitué en 3 à 6 mois.

En cas de cyberattaque au Luxembourg sur un établissement financier, la procédure réglementaire est stricte : (1) Isoler immédiatement les systèmes compromis, (2) Activer le plan de réponse aux incidents TIC (obligatoire DORA), (3) Notifier la CSSF selon les délais DORA : notification initiale en 4 heures, notification intermédiaire sous 24 h, rapport final sous 1 mois, (4) Notifier la CNPD (RGPD) si des données personnelles sont compromises (72 h), (5) Contacter le CTIE (Centre des technologies de l'information de l'État) et le CERT.lu pour assistance technique. CyberConform dispose de consultants basés au Luxembourg pour les interventions d'urgence. Le non-respect des délais de notification DORA peut entraîner des sanctions CSSF pouvant atteindre 5 millions d'euros pour une entité financière.