Cyber

Le plan gouvernemental de gestion de crise cybernétique et numérique définit l’action du gouvernement en cas de crises cybernétiques ou numériques portant atteinte aux intérêts vitaux ou aux besoins essentiels de tout ou partie du pays ou de sa population, notamment en cas d’incident de cybersécurité national majeur ou de cybermenace nationale majeure, ses objectifs et acteurs ainsi que les organes de gestion.

• de renforcer la préparation, la prévention et la protection face aux risques cybernétiques et numériques ;
• de définir les principes de gouvernance et les organes de gestion de crise nécessaires à une coordination nationale efficace ;
• de fixer les modalités générales de réponse et de gestion des situations de crise, ainsi que les rôles respectifs des acteurs impliqués ;
• de déterminer le cadre de diffusion de l’alerte par les autorités et de l’information à destination du public.

Une situation d'urgence en cas d’incident de cybersécurité national majeur ou de cybermenace nationale majeure désigne un événement, résultant d’un incident ou d’une cybermenace, susceptible d’entraîner un dysfonctionnement majeur ou l’indisponibilité des systèmes de communication et de traitement de l’information, et qui porte ou est susceptible de porter atteinte aux intérêts vitaux ou aux besoins essentiels de tout ou partie du pays ou de la population du Grand-Duché de Luxembourg.

On entend par cybersécurité les actions nécessaires pour protéger les réseaux et les systèmes d’information, les utilisateurs de ces systèmes et les autres personnes exposées aux cybermenaces. 

Les objectifs généraux en matière de sécurité sont les suivants :

• disponibilité ;
• intégrité, qui peut englober l’authenticité et la non-répudiation ;
• confidentialité.

L’exécution du plan, élaboré sous la direction du Haut-Commissariat à la protection nationale (HCPN), relève du Premier ministre, du ministre des Communications et des Médias et du ministre l’Économie.

Tous les ministères, administrations et services de l’État sont tenus à coopérer par tous les moyens disponibles à la réalisation des objectifs fixés dans le "PIU Cyber".

Le plan de gestion de crise cybernétique et numérique détermine les organes de gestion suivants en situation d’urgence cyber:

• la Cellule de crise (CC);
• la Cellule opérationnelle Cyber (PCO-C);
• la Cellule d’évaluation du risque cyber (CERC);
• la Cellule communication et information (CCI).

La Cellule de crise (CC) est activée par le Premier ministre  en cas d’imminence ou de survenance d’une crise. Elle initie, coordonne et veille à l’exécution de toutes les mesures destinées à faire face à la crise et à ses effets, respectivement à favoriser le retour à l’état normal. Elle prépare les décisions qui s’imposent et les soumet au gouvernement aux fins d’approbation. En cas d’intervention opérationnelle sur le terrain, sa mission s’étend à la coordination et au contrôle de l’exécution.

Dans le contexte d’une situation d’urgence, la composition de la Cellule de crise comporte au moins les personnes suivantes :

• le Haut-Commissaire à la protection nationale ;
• le Secrétaire général du Gouvernement ;
• le Directeur général de la Police grand-ducale ;
• le Directeur du Service de renseignement de l’État ;
• le Chef d’État-major de l’Armée ;
• le Directeur du Centre des technologies de l’information de l’État ;
• le Directeur du Service des médias, de la connectivité et de la politique numérique ;
• le Directeur de l’Institut luxembourgeois de régulation ;
• un représentant du ministère de l’Économie ;
• un représentant du ministère de la Digitalisation.

La Cellule de crise (CC) fonctionne pendant toute la durée de la crise jusqu’au retour à l’état normal : elle initie, coordonne et veille à l’exécution de toutes les mesures destinées à faire face à la crise et à ses effets, respectivement à favoriser le retour à l’état normal.

La Cellule Opérationnelle Cyber assure le rôle de la Cellule d’Évaluation du Risque Cyber (CERC) pendant toute la durée de la crise, tout en assurant la coordination et la mise en œuvre opérationnelle des mesures arrêtées et le lien entre les niveaux stratégique et technique.

La Cellule de crise (CC) peut déléguer à une  cellule opérationnelle notamment l’exécution, la mise en œuvre et le contrôle des mesures et activités ordonnées.

La Cellule d’Évaluation du Risque Cyber (CERC) est investie de l’analyse, de l’évaluation et du suivi des incidents de cybersécurité et des cybermenaces. Elle assure une veille renforcée, évalue la gravité et l’impact potentiel des événements et formule, le cas échéant, des recommandations, notamment en vue d’un passage vers le mode « Crise ».

La Cellule Communication et Information (CCI) est chargée de la communication et de l’information à destination des médias et des citoyens. Elle est responsable de la communication publique et institutionnelle et assure une information claire, cohérente et coordonnée à l’attention des citoyens, des médias et des parties prenantes.

La coordination horizontale de la communication externe relève du Service de la  communication de crise du HCPN, notamment afin de prévenir la mésinformation et de garantir la cohérence des messages diffusés.

En principe, la Cellule Communication et Information (CCI) est convoquée en parallèle de la Cellule de Crise.

Les informations officielles sont diffusées par les canaux institutionnels du Gouvernement, notamment le portail www.infocrise.lu. Selon la nature, la gravité et l’urgence de la situation, le Gouvernement peut recourir au système national d’alerte à la population LU Alert, permettant une diffusion rapide et ciblée d’informations essentielles. Les alertes en cours sont communiquées via le site www.lu-alert.lu, l’application mobile « LU-Alert », et, si nécessaire, par SMS géolocalisés ou messages par diffusion cellulaire (Cell Broadcast).

Le plan met à disposition des responsables en charge de son exécution les outils essentiels afin de pouvoir réagir de façon appropriée et flexible aux événements et de protéger au mieux les citoyens, voire les secteurs concernés, leurs intérêts vitaux et les intérêts économiques nationaux.

Les mesures suivantes sont prévues par le plan:

• évaluation ;
• veille renforcée ;
• mise à niveau et protection des systèmes ;
• rétablissement des services.

L’évaluation constitue la première étape du cycle de gestion de crise. Elle vise à apprécier le degré d’urgence de l’événement, son ampleur ainsi que son impact réel ou  potentiel sur les intérêts vitaux ou les besoins essentiels de tout ou partie du pays ou de  sa population.

La veille renforcée regroupe les actions mises en œuvre lorsqu’une situation présente un risque accru, notamment l’analyse des informations disponibles ainsi que l’évaluation continue de l’évolution de la situation.

Cette mesure vise à limiter les risques d’exploitation de vulnérabilités techniques et peut conduire à la mise en œuvre de mesures de protection ou de limitation appropriées, sur recommandation du PCO-C et sur décision de la CC.

Le Haut-Commissariat à la protection nationale, dans sa fonction d'ANSSI, contribue à la politique de sécurité de l'information de l'État, assiste les administrations dans sa mise en œuvre et émet des recommandations en matière de sécurité de l'information. Il définit avec les administrations une démarche de gestion des risques, conseille sur les programmes de formation à la sécurité de l'information, promeut la sécurité de l'information par des mesures de sensibilisation, conseille les établissements publics et les infrastructures critiques et veille à la conformité des réseaux et systèmes d'information classifiés en tant qu'autorité TEMPEST.

Fonctionnant sous l'autorité du ministre des Communications et des Médias et composé de représentants des ministères concernés, le CSB a eu pour mission la définition et l'élaboration d'une stratégie en matière de sécurité des systèmes d'information.

Le premier plan stratégique de 2011 a été adapté et l’actualisation de la stratégie nationale en matière de cybersécurité IV a été publiée en 2021.

GGOVCERT.LU  est le centre de réponse aux incidents de sécurité informatique pour les administrations et services de l’État, les établissements publics et les entités critiques en vertu de la loi du 5 mai 2026 sur la résilience des entités critiques.

Lancée le 8 juin 2015, la plateforme de promotion nationale pour la cybersécurité SECURITYMADEIN.LU est une initiative du groupement d’intérêt économique (g.i.e) "Security made in Lëtzebuerg" (SMILE) qui a été mandaté en 2010 par le ministère de l’Économie pour promouvoir et renforcer la sécurité de l’information au Luxembourg.

Les quatre objectifs de SECURITYMADEIN.lu sont:

• coordonner les initiatives gouvernementales comme BEE SECURE (sensibilisation du grand public) et CIRCL (services de coordination et d’action post-incidents);
• soutenir et rendre plus visibles les actions de sensibilisation et de support de ces différentes initiatives auprès de leur public cible;
• promouvoir l’ensemble de la communauté de la sécurité de l’information;
• développer un écosystème de la cybersécurité qui renforcera la visibilité des acteurs et des services en sécurité de l’information luxembourgeois.

Lancée le 8 novembre 2010, BEE SECURE est une initiative commune du ministère de l’Économie, du ministère de la Famille, de l’Intégration et à la Grande Région et du ministère de l’Éducation nationale, de l'Enfance et de la Jeunesse. Elle englobe les actions au niveau de la sensibilisation à une utilisation plus sécurisée des nouvelles technologies de l’information de communication.

L'objectif du programme Safer Internet Plus de la Commission européenne est d'encourager les citoyens européens à bénéficier des nouvelles technologies de l'information de manière sûre et confiante.  En accord avec cette politique, les principaux piliers stratégiques du programme Safer Internet Plus, ainsi que du projet BEE SECURE en tant que partie de ce programme, sont :

• la promotion d'un usage plus sûr d'Internet et des technologies de communication actuelles, notamment auprès des jeunes utilisateurs,
• l'éducation des utilisateurs dans ce domaine, et tout particulièrement auprès des enfants, adolescents, parents, professeurs et éducateurs,
• la lutte contre les contenus illégaux et les comportements dangereux en ligne.

Le Computer Incident Response Center Luxembourg (CIRCL) est une initiative gouvernementale pour le secteur privé, les communes et les entités non-gouvernementales  qui  vise à fournir un centre de réponse systématique aux menaces et aux incidents impactant la sécurité informatique. 

L’objectif du CIRCL est de fournir une protection optimale pour les systèmes d’information et de communication tout en garantissant un système d’alerte et d’avertissement pour les utilisateurs au Luxembourg.

Toute crise cyber étant susceptible d’avoir une dimension internationale, une collaboration internationale est garantie et une assistance internationale est possible tant au niveau des CERTs que dans le cadre des organisations internationales dont le Grand-Duché de Luxembourg fait partie (Union européenne, Benelux, OTAN, ONU, OSCE).