NIS2 compliance in Luxembourg — clarity in three minutes

Straight from the law

Art. 3. L’Institut luxembourgeois de régulation est l’autorité compétente chargée de la cybersécurité dans le cadre de la présente loi et des tâches de supervision et d’exécution visées au chapitre 6 pour les secteurs visés aux annexes I et II et les entités critiques telles que visées par la loi du 5 mai 2026 sur la résilience des entités critiques. Par dérogation à l’alinéa 1er, la Commission de surveillance du secteur financier est l’autorité compétente chargée de la cybersécurité dans le cadre de la présente loi et des tâches de supervision et d’exécution visées au chapitre 6 pour le secteur bancaire et le secteur des infrastructures des marchés financiers, figurant aux points 3° et 4° du tableau de l’annexe I. Elle est par ailleurs l’autorité compétente pour le secteur des infrastructures numériques et le secteur de la gestion des services TIC, figurant aux points 8° et 9° du tableau de l’annexe I, en ce qui concerne les activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier. L’obligation au secret professionnel prévue par l’article 16 de la loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier et l’article 15 de la loi modifiée du 30 mai 2005 portant : 1) organisation de l’Institut Luxembourgeois de Régulation ; 2) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État ne fait pas obstacle à l’échange d’informations confidentielles entre les autorités compétentes, les CSIRT et le point de contact unique tels que visés aux articles 5 et 7, dans le cadre et aux seules fins de la présente loi et des mesures prises pour son exécution.

loi du 5 mai 2026 art. 3

The text is from the country's official, enacted law — verbatim, not paraphrased.