Plan gouvernemental de gestion de crise cybernétique et numérique

Le plan gouvernemental de gestion de crise cybernétique et numérique définit l’action du gouvernement en cas de crises cybernétiques ou numériques susceptibles de porter atteinte aux intérêts vitaux ou aux besoins essentiels de tout ou partie du pays ou de sa population, notamment en cas de défaillance technique majeure ou d’attaque d’envergure contre les systèmes d’information du secteur public et/ou du secteur privé, ses objectifs et acteurs ainsi que les organes de gestion.

Les mesures concrètes à respecter seront décidées par les autorités compétentes en matière de protection nationale au moment opportun, communiquées au public, et mises en œuvre par les administrations et services compétents.

Objectifs

Arrêté par le Conseil de gouvernement le 12 septembre 2025, le plan gouvernemental a pour objectifs :

• de renforcer la préparation, la prévention et la protection face aux risques cybernétiques et numériques ;
• de définir les principes de gouvernance et les organes de gestion de crise nécessaires à une coordination nationale efficace ;
• de fixer les modalités générales de réponse et de gestion des situations de crise, ainsi que les rôles respectifs des acteurs impliqués ;
• de déterminer le cadre de diffusion de l’alerte par les autorités et de l’information à destination du public.

Il s’applique aux situations dans lesquelles la gravité réelle ou potentielle d’un événement exige des décisions urgentes et une coordination au niveau national et, le cas échéant, une articulation avec les mécanismes européens et internationaux de gestion de crise.

Une situation d’urgence cybernétique ou numérique désigne un événement, résultant d’un incident ou d’une cybermenace, susceptible d’entraîner un dysfonctionnement majeur ou l’indisponibilité des systèmes de communication et de traitement de l’information, et qui porte ou est susceptible de porter atteinte aux intérêts vitaux ou aux besoins essentiels de tout ou partie du pays ou de la population du Grand-Duché de Luxembourg.

L’élaboration et la coordination du présent plan relèvent du Haut-Commissariat à la protection nationale (HCPN). Son exécution s’inscrit dans le cadre de la responsabilité gouvernementale et mobilise, en fonction de la nature et de la gravité de la situation, l’ensemble des ministères, administrations et services de l’État concernés, qui coopèrent à la réalisation des objectifs fixés, dans le respect du mandat de chaque partie prenante.

Cadre national et européen

Le plan s’inscrit dans le dispositif national de gestion de crise coordonné par le Haut-Commissariat à la protection nationale (HCPN) et s’aligne sur les cadres européens en matière de cybersécurité et de gestion de crise, notamment :

• la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union (directive NIS 2) ;
• la recommandation du Conseil de l’Union européenne du 6 juin 2025 relative au Cyber Blueprint pour la gestion des crises de cybersécurité ;
• les mécanismes européens de coopération et de coordination en matière de gestion de crise, en particulier le dispositif intégré de l’Union européenne pour une réaction au niveau politique dans les situations de crise (IPCR) et le réseau européen pour la préparation et la gestion des crises cyber (EU-CyCLONe).

Ce positionnement assure l’alignement entre la réponse luxembourgeoise et les approches européennes, en particulier lorsqu’une crise cybernétique présente des implications transfrontalières.

Concepts clés

Classification nationale des incidents de cybersécurité

Afin de permettre une réponse rapide, proportionnée et coordonnée, le cadre national distingue notamment :

• Incident de cybersécurité transfrontière majeur : incident provoquant des perturbations excédant les capacités de réaction du Luxembourg ou qui a un impact important sur au moins un autre État membre ou pays tiers ;
• Incident de cybersécurité national majeur : incident provoquant des perturbations portant préjudice aux intérêts vitaux ou aux besoins essentiels de tout ou partie du pays ou de la population, requérant des décisions urgentes et une coordination au niveau national ;
• Incident important : incident qui a
  • causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée ;
  • affecté ou est susceptible d’affecter d’autres personnes physiques ou morales causant des dommages matériels, corporels ou moraux considérables.
• Incident : Événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou faisant l’objet d’un traitement, ou des services que les réseaux et systèmes d’information offrent ou rendent accessibles.

Cette classification permet d’évaluer l’envergure de l’incident et d’adapter le mode de coopération et le niveau de mobilisation des acteurs concernés.