Cybersécurité pour PME au Luxembourg : les mesures essentielles pour protéger son entreprise
Phishing, ransomware, sauvegardes, MFA, droits d’accès, fournisseurs, cloud, POS, e-commerce, RGPD, NIS2, plan de réponse aux incidents et SME Packages – Cybersecurity : le guide complet pour les entreprises
La cybersécurité n’est plus un sujet réservé aux banques, aux entreprises technologiques ou aux grands groupes disposant d’un département informatique. Une petite société de services, un restaurant utilisant un système POS, une agence, une imprimerie, un commerce en ligne, un cabinet de conseil ou une entreprise artisanale peuvent aujourd’hui dépendre presque entièrement de quelques éléments numériques : messagerie professionnelle, comptes cloud, logiciel de facturation, fichiers clients, site internet, caisse, accès bancaire et sauvegardes.
La conséquence est simple : quelques heures d’indisponibilité peuvent déjà perturber l’activité. Quelques jours peuvent créer un problème de trésorerie, interrompre la production, empêcher la facturation et détériorer la relation avec les clients.
La Chambre de Commerce et sa House of Entrepreneurship rappellent que les cyberattaques peuvent concerner toute entreprise et que la prévention des fraudes numériques constitue désormais un enjeu directement lié à la transformation digitale des PME.
Le Luxembourg a d’ailleurs considérablement renforcé son dispositif en 2026. La directive européenne NIS2 a été transposée par la loi luxembourgeoise du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité. Cette loi est entrée en vigueur le 10 mai 2026 et introduit notamment de nouvelles obligations de gestion des risques, de sécurité de la chaîne d’approvisionnement, de notification des incidents et de responsabilité des organes de direction pour les entités qui entrent dans son champ d’application.
Toutes les PME ne relèvent évidemment pas de NIS2. Mais les mesures que cette réglementation impose aux entreprises concernées constituent également une excellente architecture de sécurité pour les autres entreprises : connaître ses actifs, analyser ses risques, protéger ses accès, sauvegarder correctement ses données, contrôler ses fournisseurs, préparer une réponse aux incidents et responsabiliser la direction.
Depuis 2025, une PME luxembourgeoise peut en outre bénéficier du programme SME Packages – Cybersecurity. Un projet éligible compris entre 3 000 € et 25 000 € HTVA peut être soutenu à hauteur de 70 % des coûts éligibles, soit jusqu’à 17 500 € d’aide théorique pour un projet atteignant le plafond.
La cybersécurité doit donc être considérée en 2026 non comme une dépense informatique mais comme une composante de la continuité de l’entreprise.
Ce guide SIMOURQ explique comment construire cette protection, depuis les mesures les plus simples jusqu’à la préparation d’un véritable plan de réponse à une cyberattaque.
Informations réglementaires et dispositifs publics vérifiés au 16 août 2026.
1. La première erreur : penser que votre entreprise est trop petite pour intéresser un attaquant
Beaucoup de dirigeants raisonnent encore ainsi :
« Nous sommes cinq personnes. Qui voudrait nous attaquer ? »
Mais une grande partie de la cybercriminalité ne commence pas par un pirate choisissant manuellement une entreprise précise.
Les attaquants automatisent leurs recherches.
Des systèmes explorent Internet en permanence à la recherche de comptes compromis, de mots de passe réutilisés, de services mal configurés, de logiciels vulnérables, de sites WordPress obsolètes, de ports ouverts ou d’accès distants insuffisamment protégés.
Un attaquant n’a donc pas nécessairement besoin de savoir qui vous êtes.
Il lui suffit de découvrir une faiblesse exploitable.
Le fait d’être petit réduit parfois même les défenses disponibles : absence de responsable informatique, manque de procédures, comptes partagés, sauvegardes non testées et dépendance à un seul prestataire.
C’est précisément pourquoi les PME constituent un environnement qui mérite une protection structurée.
2. Que cherche réellement un cybercriminel ?
La réponse n’est pas toujours « vos secrets industriels ».
Un attaquant peut chercher de l’argent.
Il peut détourner une facture en modifiant un IBAN.
Il peut voler les identifiants de votre banque.
Il peut chiffrer vos fichiers et demander une rançon.
Il peut utiliser votre messagerie professionnelle pour frauder vos clients.
Il peut voler votre base de données.
Il peut exploiter votre infrastructure pour attaquer d’autres personnes.
Il peut revendre les accès à un autre groupe criminel.
Il peut aussi simplement interrompre vos systèmes.
La Police luxembourgeoise attire notamment l’attention sur le phishing, les faux sites bancaires, les fraudes utilisant de fausses identités, les ransomwares et différentes formes d’escroquerie numérique.
La sécurité doit donc protéger simultanément trois choses fondamentales :
la confidentialité des données ;
leur intégrité ;
et leur disponibilité.
3. Commencez par savoir ce que vous devez protéger
Une entreprise ne peut pas sécuriser correctement ce dont elle ignore l’existence.
Avant d’acheter un firewall ou une nouvelle solution antivirus, établissez donc un inventaire.
Quels ordinateurs possédez-vous ?
Quels smartphones professionnels ?
Quels serveurs ?
Quels logiciels cloud ?
Quels comptes administrateurs ?
Quels sites internet ?
Quels noms de domaine ?
Quels systèmes POS ?
Quelles imprimantes réseau ?
Quels équipements de vidéosurveillance ?
Quels comptes bancaires en ligne ?
Quels fournisseurs informatiques ?
Où sont stockées les données clients ?
Où sont les contrats ?
Où sont les sauvegardes ?
Cette cartographie constitue la base du projet.
Une grande partie des failles viennent d’ailleurs de systèmes oubliés : ancien compte utilisateur, ordinateur non mis à jour, application abandonnée mais toujours accessible ou ancien prestataire conservant encore ses droits administrateur.
4. Identifiez ensuite les actifs critiques
Tous vos systèmes n’ont pas la même importance.
Si le site vitrine est indisponible pendant deux heures, l’impact peut être limité.
Si la caisse du restaurant ne fonctionne plus un samedi soir, la conséquence est différente.
Si la comptabilité ne peut plus accéder aux factures pendant une semaine, le problème devient sérieux.
Si le fichier de production d’une imprimerie disparaît, certaines commandes peuvent être impossibles à terminer.
L’entreprise doit donc identifier ses actifs critiques.
Posez une question simple :
« Si ce système disparaît maintenant, combien de temps pouvons-nous travailler sans lui ? »
La réponse permet de hiérarchiser les investissements.
5. Le mot de passe reste une faiblesse majeure
Les mots de passe doivent être uniques.
Un salarié qui utilise le même mot de passe pour sa messagerie professionnelle et un service personnel crée un risque important.
Si ce service externe est piraté, les attaquants peuvent essayer le même identifiant et le même mot de passe sur Microsoft 365, Google Workspace ou d’autres plateformes professionnelles.
C’est ce que l’on appelle notamment du credential stuffing.
La première politique à mettre en place est donc simple :
un mot de passe différent pour chaque service important.
Les mots de passe doivent également être suffisamment longs et difficiles à deviner.
La meilleure manière de gérer plusieurs dizaines d’identifiants reste généralement l’utilisation d’un gestionnaire de mots de passe professionnel.
6. Le MFA devrait être obligatoire sur les comptes critiques
L’authentification multifacteur, MFA, ajoute une seconde preuve d’identité.
Ainsi, même si un attaquant connaît le mot de passe, il ne peut pas nécessairement accéder au compte.
Une PME devrait au minimum activer le MFA sur :
la messagerie ;
les comptes administrateurs ;
les services cloud ;
les accès distants ;
les logiciels comptables ;
le CRM ;
l’ERP ;
les panneaux d’administration du site ;
les comptes publicitaires ;
et les services financiers lorsque cela est disponible.
Lorsqu’une entreprise ne peut réaliser qu’une amélioration immédiate de sa sécurité, activer le MFA sur l’ensemble des comptes critiques figure généralement parmi les premières mesures à mettre en œuvre.
7. Attention : toutes les formes de MFA ne se valent pas
Un SMS constitue généralement une protection supplémentaire par rapport au simple mot de passe, mais des solutions basées sur une application d’authentification, une clé de sécurité ou des technologies résistantes au phishing peuvent fournir une protection plus forte selon le contexte.
L’important est surtout d’éviter une architecture où la totalité de l’entreprise dépend encore exclusivement d’un mot de passe.
Pour les comptes administrateurs les plus sensibles, une méthode d’authentification plus robuste mérite un investissement supplémentaire.
8. Ne partagez plus les comptes entre salariés
mot de passe connu par six personnes.
C’est pratique.
Mais c’est un problème de sécurité et de traçabilité.
Chaque personne devrait, lorsque le système le permet, disposer de son propre compte.
Ainsi, lorsqu’un salarié quitte l’entreprise, son accès peut être supprimé sans changer le mot de passe de tout le monde.
Les journaux permettent aussi de savoir qui a effectué une action.
Cette logique vaut autant pour un CRM que pour un POS, un ERP, une messagerie ou une plateforme de stockage.
9. Appliquez le principe du moindre privilège
Chaque utilisateur doit disposer uniquement des droits nécessaires à son travail.
Un serveur de restaurant n’a pas besoin de modifier les paramètres fiscaux du POS.
Un graphiste n’a pas nécessairement besoin d’accéder à la paie.
Un stagiaire n’a pas besoin d’être administrateur du serveur.
Un commercial n’a pas nécessairement besoin de voir les informations bancaires internes.
Cette règle est appelée principe du moindre privilège.
Elle réduit considérablement les conséquences d’une erreur ou d’un compte compromis.
10. Séparez surtout les comptes administrateurs
Le compte utilisé quotidiennement pour lire des e-mails ne devrait idéalement pas être le même compte disposant des droits les plus élevés sur toute l’infrastructure.
Pourquoi ?
Parce que la messagerie et la navigation constituent des activités exposées.
Une mauvaise pièce jointe ou un faux site peut compromettre un compte.
Si ce compte possède également des privilèges administrateur étendus, les conséquences sont beaucoup plus graves.
Dans une architecture plus professionnelle, les fonctions administratives sont réservées à des comptes spécifiques.
11. La messagerie est souvent la porte principale
Beaucoup d’attaques commencent par un e-mail.
Un faux fournisseur.
Une fausse facture.
Une fausse notification Microsoft.
Une prétendue demande urgente du dirigeant.
Un faux changement d’IBAN.
Une pièce jointe malveillante.
Un lien vers une page imitant une connexion officielle.
La technologie peut filtrer une partie de ces messages, mais la formation des utilisateurs reste essentielle.
La CNPD relevait d’ailleurs que l’erreur humaine demeurait une cause importante des violations de données signalées.
12. La fraude au changement d’IBAN mérite une procédure spéciale
Le scénario est très simple.
Un attaquant compromet la messagerie d’un fournisseur ou imite son adresse.
Il envoie :
« Nous avons changé de compte bancaire. Merci d’utiliser désormais cet IBAN. »
La comptabilité modifie les coordonnées.
Le prochain paiement part vers le criminel.
Une entreprise devrait donc instaurer une règle :
tout changement important de coordonnées bancaires doit être confirmé par un second canal indépendant.
Par exemple, appeler le fournisseur sur un numéro déjà enregistré, et non celui indiqué dans l’e-mail suspect.
Cette petite procédure peut éviter une perte considérable.
13. Même principe pour les paiements exceptionnels
Une demande inhabituelle de paiement doit déclencher un contrôle.
Montant inhabituel.
Nouveau bénéficiaire.
Urgence anormale.
Demande du dirigeant depuis l’étranger.
Changement de procédure.
L’arnaque au président repose précisément sur la pression psychologique et l’autorité hiérarchique.
La cybersécurité est donc également une question de procédures financières internes.
14. Les mises à jour ne sont pas une formalité
Un logiciel obsolète peut contenir une vulnérabilité connue publiquement.
Une fois la faille publiée, les attaquants disposent souvent d’informations suffisantes pour rechercher les systèmes qui n’ont pas encore été corrigés.
La PME doit donc mettre en place une politique de patch management.
Système d’exploitation.
Navigateur.
ERP.
POS.
CMS.
Plugins.
VPN.
Firewall.
Applications mobiles.
Équipements réseau.
Un système qui fonctionne depuis cinq ans sans mise à jour n’est pas nécessairement un système fiable.
Il peut simplement être vulnérable sans que personne ne l’ait encore exploité.
15. Le site internet constitue aussi une infrastructure
Un site n’est pas seulement un outil marketing.
Il peut contenir :
formulaires ;
données de clients ;
accès administrateur ;
moyens de paiement ;
bases de données ;
plugins ;
API.
Les sites utilisant des CMS doivent être mis à jour.
Les extensions inutilisées doivent être supprimées.
Les comptes administrateurs doivent être limités.
Le MFA doit être activé lorsque la plateforme le permet.
Les sauvegardes doivent être séparées de l’hébergement principal.
Et l’entreprise doit connaître exactement qui contrôle le nom de domaine.
16. Le nom de domaine est un actif critique trop souvent oublié
Si un attaquant prend le contrôle du domaine de l’entreprise, il peut potentiellement perturber le site, les e-mails ou certaines vérifications d’identité.
Le compte du registrar mérite donc une protection renforcée.
MFA.
Adresse de récupération contrôlée.
Coordonnées à jour.
Renouvellement automatique.
Accès limité.
La direction doit également savoir qui juridiquement et techniquement possède le domaine.
Un domaine enregistré uniquement au nom d’un ancien développeur constitue un risque organisationnel majeur.
17. Sauvegarder ne suffit pas
Une PME peut parfaitement déclarer :
« Nous avons des sauvegardes. »
Puis découvrir pendant un ransomware qu’elles sont inutilisables.
Une sauvegarde professionnelle doit répondre à plusieurs questions.
Que sauvegardons-nous ?
À quelle fréquence ?
Où ?
Combien de versions conservons-nous ?
La sauvegarde est-elle accessible depuis le réseau principal ?
Est-elle chiffrée ?
Qui peut la supprimer ?
Quand avons-nous testé la restauration pour la dernière fois ?
Le véritable indicateur n’est donc pas :
« Backup : oui/non ».
C’est :
« Sommes-nous capables de restaurer l’entreprise ? »
18. La règle 3-2-1 reste un excellent principe
Une stratégie couramment utilisée consiste à conserver au moins trois copies des données, sur deux types ou emplacements distincts, avec au moins une copie séparée ou hors site.
Dans les environnements exposés aux ransomwares, une copie immuable ou difficilement accessible depuis l’infrastructure principale peut fournir une protection supplémentaire.
L’objectif est d’éviter qu’un attaquant ayant obtenu les droits administrateur puisse chiffrer simultanément :
les données originales
et
toutes les sauvegardes.
19. Testez réellement la restauration
Prenez un fichier.
Supprimez-en une copie de test.
Restaurez-le.
Puis testez un dossier complet.
Puis, périodiquement, simulez une récupération plus importante.
Une sauvegarde n’a de valeur économique que si la restauration fonctionne.
L’historique luxembourgeois montre d’ailleurs que des entreprises victimes de ransomwares ont parfois découvert trop tard que leurs sauvegardes étaient incomplètes ou non fonctionnelles. CIRCL avait déjà mis en évidence ce problème dans ses retours d’expérience.
20. Définissez votre RPO
Le Recovery Point Objective indique la quantité maximale de données que l’entreprise accepte de perdre.
Si vous sauvegardez une fois par jour, une attaque à 17h peut potentiellement faire perdre une journée de données.
Pour une petite société de conseil, cela peut être acceptable.
Pour une boutique traitant plusieurs centaines de commandes par heure, probablement pas.
La fréquence des sauvegardes doit donc dépendre du risque opérationnel.
21. Définissez aussi votre RTO
Le Recovery Time Objective indique le délai maximal acceptable avant la remise en service.
Une PME peut accepter que son archive documentaire soit indisponible pendant 24 heures.
Mais peut-être pas son POS pendant 24 heures.
Cette distinction permet de construire des priorités de reprise.
Tous les systèmes ne doivent pas nécessairement être restaurés simultanément.
22. Segmentez le réseau
Prenons un restaurant.
Le Wi-Fi des clients ne devrait pas nécessairement se trouver dans le même environnement logique que :
la caisse ;
l’imprimante cuisine ;
les ordinateurs de gestion ;
les caméras ;
le système administratif.
La segmentation réseau réduit la capacité d’un attaquant ou d’un appareil compromis à circuler librement dans toute l’infrastructure.
Même une petite entreprise peut bénéficier d’une séparation entre réseau invité, équipements opérationnels et administration.
23. Les objets connectés sont des ordinateurs, même lorsqu’ils n’en ont pas l’air
Caméras.
Imprimantes.
Routeurs.
Bornes.
Télévisions.
Terminaux.
Systèmes d’accès.
Ils disposent souvent d’un logiciel, d’un compte d’administration et d’une connexion réseau.
Ils doivent donc être inventoriés et mis à jour.
Les mots de passe par défaut doivent être changés.
Les fonctions inutiles doivent être désactivées.
Un équipement « intelligent » oublié dans un coin du réseau peut devenir une faiblesse.
24. Sécuriser un POS
Pour un commerce ou restaurant, le système POS peut être directement lié au chiffre d’affaires.
Il faut notamment protéger :
les comptes utilisateurs ;
les droits ;
les accès distants ;
le réseau ;
les sauvegardes ;
les logiciels ;
les mises à jour ;
les périphériques.
Les employés doivent disposer de comptes ou profils appropriés.
Les actions sensibles, comme certaines annulations, modifications de prix ou changements de paramètres, doivent être réservées à des utilisateurs autorisés.
Le POS est un outil opérationnel mais aussi un système informatique.
25. Le terminal de paiement doit rester un environnement maîtrisé
Le paiement par carte implique des exigences de sécurité spécifiques liées aux prestataires de paiement et aux standards applicables.
Une PME ne doit pas bricoler ses intégrations sans comprendre qui traite les données de carte et selon quelles responsabilités.
Lorsque le terminal fonctionne indépendamment du POS, les processus de rapprochement doivent être définis.
Lorsqu’il est intégré, la sécurité de l’intégration devient également importante.
La règle générale reste de minimiser l’exposition des données financières et de recourir à des prestataires reconnus.
26. Le cloud n’externalise pas votre responsabilité
« Nos données sont dans Microsoft/Google/Amazon, donc elles sont sécurisées. »
Ce raisonnement est incomplet.
Le fournisseur protège une partie de l’infrastructure.
Mais l’entreprise reste responsable de nombreux éléments :
comptes utilisateurs ;
droits ;
MFA ;
configuration ;
partage de fichiers ;
applications connectées ;
suppression des anciens utilisateurs ;
données téléchargées ;
procédures internes.
Un environnement cloud extrêmement sécurisé peut être compromis simplement parce qu’un utilisateur donne son mot de passe sur une fausse page de connexion.
27. Vérifiez les liens de partage
Les services cloud permettent facilement de générer :
« toute personne possédant le lien peut accéder ».
Pratique.
Mais parfois dangereux.
Les dossiers contenant des données sensibles doivent utiliser des règles d’accès adaptées.
Il faut également contrôler périodiquement les anciens partages externes.
Un dossier partagé avec un prestataire il y a trois ans peut toujours être accessible aujourd’hui si personne n’a révoqué le lien.
28. Le départ d’un salarié doit déclencher une procédure immédiate
Le jour du départ, ou au moment prévu par la politique interne :
désactiver le compte ;
révoquer les sessions ;
supprimer les accès VPN ;
retirer l’accès au CRM ;
retirer l’accès au POS ;
récupérer l’ordinateur ;
récupérer les clés physiques ;
transférer les documents professionnels ;
vérifier les redirections e-mail ;
révoquer les tokens/API concernés.
C’est l’offboarding.
Une entreprise qui possède une excellente cybersécurité technique mais conserve cinquante anciens comptes actifs reste vulnérable.
29. Même logique pour les prestataires
Le développeur du site.
Le technicien POS.
Le consultant marketing.
L’ancien comptable.
Le prestataire réseau.
Chacun peut avoir reçu un accès.
À la fin de la mission, l’entreprise doit décider explicitement si cet accès reste nécessaire.
Les comptes techniques permanents doivent être documentés.
Les comptes temporaires doivent expirer ou être révoqués.
30. La sécurité de la chaîne d’approvisionnement devient majeure
Une PME peut être correctement protégée et malgré tout être compromise par son fournisseur.
Logiciel.
Prestataire IT.
Cloud.
Comptable.
Agence web.
Solution POS.
Sous-traitant.
C’est précisément l’un des thèmes mis en avant par NIS2 : la gestion des risques inclut la sécurité de la chaîne d’approvisionnement pour les entités concernées.
Même lorsqu’une PME n’est pas elle-même soumise à NIS2, elle peut être fournisseur d’une organisation qui l’est.
Ses clients peuvent donc lui demander davantage de garanties de sécurité.
31. Posez des questions de sécurité avant de signer avec un fournisseur
Où sont hébergées les données ?
Existe-t-il un MFA ?
Comment sont gérées les sauvegardes ?
Existe-t-il un plan de continuité ?
Que se passe-t-il en cas d’incident ?
Quel est le délai de notification ?
Quels sous-traitants sont utilisés ?
Comment récupérer les données à la fin du contrat ?
Les données sont-elles chiffrées ?
Le fournisseur réalise-t-il des tests de sécurité ?
Pour un service critique, ces questions devraient faire partie de la sélection.
32. Inventoriez vos dépendances
Le 3 août 2026, l’ILR a publié plusieurs modèles NIS2 portant notamment sur les dépendances, les scénarios de risques cyber, les mesures en place et le plan d’action pluriannuel pour les entités concernées.
Même une PME hors champ NIS2 peut utiliser cette logique.
Que se passe-t-il si Internet tombe ?
Si votre cloud est indisponible ?
Si le POS ne fonctionne plus ?
Si le prestataire de paiement est hors service ?
Si votre fournisseur informatique n’est plus joignable ?
Une dépendance identifiée peut recevoir une solution de secours.
Une dépendance invisible devient une surprise.
33. Préparez un plan de continuité d’activité
Un Business Continuity Plan, BCP, répond à la question :
« Comment continuons-nous à fonctionner lorsqu’une partie du système disparaît ? »
Pour un restaurant :
Peut-on prendre temporairement les commandes manuellement ?
Existe-t-il un système permettant de continuer certaines opérations si Internet est coupé ?
Pour une entreprise de services :
Les coordonnées des clients critiques sont-elles disponibles ailleurs ?
Pour une imprimerie :
Les fichiers de production sont-ils récupérables ?
Pour une société de transport :
Les chauffeurs peuvent-ils recevoir leurs missions si le TMS est indisponible ?
La continuité doit être conçue avant la panne.
34. Préparez également un plan de réponse aux incidents
Le plan de continuité permet de continuer.
Le plan de réponse aux incidents explique quoi faire pendant l’attaque.
Il doit répondre à des questions simples.
Qui décide ?
Qui appelle le prestataire IT ?
Qui contacte la direction ?
Qui coupe certains accès ?
Qui communique avec les clients ?
Qui contacte l’assureur ?
Qui préserve les preuves ?
Qui contacte éventuellement la CNPD ?
Qui contacte les autorités compétentes ?
Un document de deux pages réellement utilisable vaut souvent mieux qu’un plan de 80 pages que personne ne connaît.
35. Imprimez une copie
Cela peut sembler paradoxal dans un article sur la cybersécurité.
Mais si l’ensemble de vos documents se trouvent dans le système qui vient d’être chiffré, vous ne pourrez peut-être pas ouvrir votre procédure de crise.
Conservez donc une copie du plan d’incident hors du système principal, avec les coordonnées essentielles.
La crise n’est pas le moment où l’on doit chercher le numéro du prestataire informatique dans Outlook alors qu’Outlook est indisponible.
36. Que faire dans les premières minutes d’un incident ?
L’action exacte dépend du type d’attaque et doit idéalement être guidée par un spécialiste.
Mais plusieurs principes sont essentiels.
Ne paniquez pas.
Limitez la propagation lorsque cela peut être fait en sécurité.
Préservez les preuves.
Ne détruisez pas immédiatement les systèmes compromis.
Documentez l’heure et les événements.
Contactez rapidement les experts concernés.
Évitez les communications improvisées.
Un incident peut avoir des implications techniques, juridiques, assurantielles et pénales.
37. Ne réinstallez pas tout immédiatement
Un réflexe fréquent consiste à formater immédiatement l’ordinateur infecté.
Mais cela peut détruire des éléments utiles pour comprendre ce qui s’est passé.
Comment l’attaquant est-il entré ?
Quelles données ont été consultées ?
Depuis quand ?
Quels comptes ont été compromis ?
La réponse à ces questions peut être importante pour la récupération et pour certaines obligations légales.
Lorsque l’incident est important, il faut préserver les traces avant la reconstruction.
38. Déclarer un incident de cybersécurité au Luxembourg
GOVCERT.LU met à disposition un assistant permettant de signaler un incident de cybersécurité. Le service recommande de signaler rapidement les incidents ou vulnérabilités présentant un enjeu de sécurité ; le formulaire peut également être utilisé anonymement dans certaines conditions.
Adresse officielle :
GOVCERT.LU constitue le point de contact national officiel avec les équipes nationales et internationales de réponse aux incidents.
Pour le secteur privé luxembourgeois, CIRCL joue également un rôle important en tant que CERT/CSIRT pour le secteur privé, les communes et les entités non gouvernementales.
Site CIRCL :
39. Et la Police ?
Lorsqu’une entreprise a subi une escroquerie ou une infraction, un dépôt de plainte peut naturellement être pertinent.
La Police grand-ducale recommande notamment aux victimes ayant subi un dommage à la suite d’une fraude de déposer plainte.
Site :
https://police.public.lu/fr/prevention/arnaques.html
Il faut distinguer les différents interlocuteurs.
Le spécialiste cyber traite l’incident technique.
La Police traite l’infraction.
La CNPD traite, lorsque les conditions sont réunies, la violation de données personnelles.
Les autorités NIS2 interviennent pour les entités entrant dans ce régime.
Ces obligations peuvent se superposer.
40. Violation de données personnelles : les 72 heures du RGPD
Une cyberattaque n’est pas automatiquement une violation de données personnelles.
Mais elle peut l’être.
Si des données personnelles sont perdues, modifiées, divulguées ou accessibles sans autorisation, il faut déterminer si une violation de données au sens du RGPD est survenue.
La CNPD rappelle que lorsqu’une violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, le responsable du traitement doit la notifier à la CNPD dans les 72 heures après en avoir pris connaissance.
Site CNPD :
41. Les 72 heures ne signifient pas que l’enquête doit être terminée
Une entreprise victime d’un incident peut ne pas connaître immédiatement toutes les réponses.
Combien de données ?
Quelles personnes ?
Quelle durée ?
Quelle origine ?
Il ne faut donc pas attendre nécessairement que l’analyse forensic soit entièrement achevée avant de commencer l’évaluation RGPD.
La fonction juridique ou le DPO, lorsqu’il existe, doit être impliqué rapidement.
L’un des objectifs du plan de réponse est justement de déclencher cette analyse sans perdre du temps.
42. Tenez un registre des incidents
Même les événements relativement mineurs peuvent fournir des enseignements.
Date.
Système.
Description.
Cause.
Conséquence.
Action corrective.
Temps d’interruption.
Coût.
Cela permet de détecter les répétitions.
Si cinq salariés cliquent chaque mois sur le même type de phishing, le problème n’est plus individuel.
C’est un problème de contrôle ou de formation.
43. NIS2 au Luxembourg : changement majeur en 2026
La loi luxembourgeoise NIS2 est entrée en vigueur le 10 mai 2026. Elle remplace notamment l’ancien cadre NIS1 et élargit considérablement la logique de gestion de la cybersécurité.
L’ILR souligne notamment plusieurs changements :
des critères harmonisés pour déterminer les entités concernées ;
l’ajout de nouveaux secteurs ;
la distinction entre entités essentielles et importantes ;
l’extension de la gestion du risque à l’ensemble des réseaux et systèmes soutenant l’activité ;
la responsabilité des organes de direction ;
la sécurité de la chaîne d’approvisionnement ;
et des règles renforcées de notification des incidents.
Texte légal :
https://legilux.public.lu/eli/etat/leg/loi/2026/05/05/a225/jo
Page explicative ILR :
https://www.ilr.lu/secteurs-activites/niss/nis-2/
44. Toutes les PME sont-elles soumises à NIS2 ?
Non.
Le champ d’application dépend notamment du secteur, du type d’activité, de la taille et de certaines situations particulières.
Il serait donc incorrect de dire à toutes les PME luxembourgeoises qu’elles sont désormais soumises à NIS2.
L’ILR dispose d’une rubrique spécifique consacrée au champ d’application et aux critères de qualification.
Page officielle :
https://www.ilr.lu/secteurs-activites/niss/nis-2/champ-application/
Une entreprise qui travaille dans un secteur potentiellement concerné devrait réaliser cette vérification rapidement.
45. Mais NIS2 peut vous concerner indirectement
Même une petite entreprise située hors du champ direct peut devenir fournisseur d’une entreprise concernée.
Or la sécurité de la chaîne d’approvisionnement fait partie des exigences mises en avant par le nouveau cadre.
Un grand client peut donc demander à sa PME fournisseuse :
politique de sécurité ;
MFA ;
plan de continuité ;
notification contractuelle des incidents ;
contrôle des sous-traitants ;
preuve de sauvegardes ;
gestion des accès.
La cybersécurité peut alors devenir un critère commercial.
46. La responsabilité de la direction n’est plus un sujet seulement informatique
NIS2 renforce explicitement la responsabilisation des organes de direction des entités concernées.
Mais même hors NIS2, la logique est pertinente.
Si l’entreprise dépend complètement de son informatique, la cybersécurité appartient à la gestion du risque d’entreprise.
La direction doit connaître :
les principaux risques ;
le niveau de sauvegarde ;
les systèmes critiques ;
les fournisseurs ;
le budget ;
et le plan de réponse.
Dire :
« Je ne comprendsends rien à l’informatique, mon prestataire gère tout »
n’est plus une gouvernance suffisante.
47. La sécurité doit être budgétée
Une PME peut consacrer 20 000 € à un nouveau site, 30 000 € à un POS et 50 000 € à un ERP, puis considérer que 1 000 € de cybersécurité sont « trop chers ».
Cette logique est incohérente.
Plus la digitalisation augmente, plus la valeur des actifs à protéger augmente.
La sécurité devrait donc être intégrée directement dans le budget du projet numérique.
Pas ajoutée éventuellement un an plus tard.
48. SME Packages – Cybersecurity : l’aide à connaître en 2026
Le Luxembourg propose précisément un programme destiné à accompagner les PME dans cette démarche.
SME Packages – Cybersecurity aide les entreprises à évaluer leur niveau actuel, à renforcer leur protection contre les cyberattaques, à faciliter la mise en œuvre de technologies et procédures de cybersécurité et, lorsque cela est pertinent, à progresser vers les exigences liées à NIS2.
Le programme s’adresse aux entreprises qui :
disposent d’une autorisation d’établissement délivrée par le ministère de l’Économie ;
remplissent les critères de PME ;
et possèdent leur siège social au Luxembourg.
49. Combien peut-on obtenir ?
Le projet doit être compris entre :
3 000 € HTVA
et
25 000 € HTVA.
Le ministère de l’Économie peut prendre en charge :
70 % des coûts éligibles.
Concrètement :
projet de 3 000 € → aide théorique de 2 100 € ;
projet de 5 000 € → 3 500 € ;
projet de 10 000 € → 7 000 € ;
projet de 15 000 € → 10 500 € ;
projet de 20 000 € → 14 000 € ;
projet de 25 000 € → jusqu’à 17 500 €.
Pour un projet de 25 000 € entièrement reconnu éligible, la part restant économiquement à charge sur cette base correspondrait donc à 7 500 € HTVA.
50. L’aide est versée après la mise en œuvre
Comme pour d’autres SME Packages, l’entreprise doit prévoir sa trésorerie.
Le programme prévoit que l’aide est remboursée après la mise en place du package.
Cela signifie qu’une société envisageant un projet de 20 000 € ne doit pas raisonner comme si elle devait disposer uniquement de 6 000 €.
Elle doit pouvoir financer le projet selon la procédure avant de percevoir les 14 000 € d’aide potentielle.
51. La préanalyse est obligatoire
La procédure commence par un rendez-vous avec la House of Entrepreneurship ou, pour les entreprises artisanales, avec le service Cybersecurity eHandwierk.
Une préanalyse du niveau de cybersécurité est réalisée avec l’intervention de la Luxembourg House of Cybersecurity afin d’identifier les actions prioritaires.
Ensuite vient la définition du projet et la sélection du prestataire.
La demande est préparée avec l’accompagnement prévu.
Le ministère analyse et décide.
La solution est mise en œuvre.
Enfin, l’entreprise paie la facture et perçoit l’aide correspondante selon les coûts reconnus.
Page officielle :
52. Fit 4 Digital constitue une autre porte d’entrée
Une entreprise qui ne sait pas encore précisément où se trouvent ses faiblesses peut également examiner Fit 4 Digital.
Le programme permet à une PME de faire analyser sa maturité numérique, notamment concernant :
l’infrastructure IT ;
la cybersécurité ;
et les logiciels.
Le diagnostic coûte forfaitairement 5 000 € HTVA et ce coût est couvert intégralement par une subvention de 5 000 € dans le cadre actuel du programme.
L’étude aboutit à un plan d’action chiffré.
Fit 4 Digital peut donc être particulièrement pertinent lorsque l’entreprise a besoin d’un diagnostic général avant de choisir ses investissements.
Page officielle :
https://guichet.public.lu/fr/entreprises/financement-aides/regime-fit-4/aide-digitalisation.html
53. SME Packages Cybersecurity ou Fit 4 Digital ?
La distinction ressemble à celle entre diagnostic et implémentation.
Si l’entreprise sait déjà qu’elle doit renforcer un domaine précis et qu’elle souhaite réaliser un projet concret compris entre 3 000 € et 25 000 €, SME Packages – Cybersecurity peut être pertinent.
Si elle souhaite une analyse plus générale de sa maturité IT, logiciels et cybersécurité, Fit 4 Digital constitue une voie intéressante.
Les deux dispositifs ne doivent pas être considérés automatiquement comme cumulables pour les mêmes coûts.
Le montage doit être vérifié avec les organismes compétents.
54. Une checklist de sécurité minimale pour une PME
Avant de consacrer des dizaines de milliers d’euros à des solutions complexes, une PME devrait au minimum pouvoir répondre oui à ces questions :
Tous les comptes critiques utilisent-ils le MFA ?
Les salariés disposent-ils de comptes individuels ?
Les anciens comptes sont-ils désactivés rapidement ?
Les mots de passe sont-ils uniques ?
Les ordinateurs et logiciels sont-ils régulièrement mis à jour ?
Existe-t-il une solution de protection des postes ?
Les sauvegardes sont-elles automatiques ?
Existe-t-il au moins une sauvegarde séparée de l’environnement principal ?
La restauration a-t-elle été testée récemment ?
Le réseau invité est-il séparé des systèmes sensibles ?
Les accès administrateur sont-ils limités ?
Les changements d’IBAN sont-ils vérifiés par un second canal ?
Les salariés savent-ils reconnaître un phishing ?
L’entreprise connaît-elle tous ses prestataires ayant encore un accès ?
Existe-t-il un plan écrit pour gérer une attaque ?
Si plusieurs réponses sont négatives, l’entreprise possède déjà une feuille de route.
55. Créer une politique de cybersécurité simple
Une PME n’a pas nécessairement besoin d’un manuel de 200 pages.
Une politique de dix pages réellement appliquée peut être beaucoup plus efficace.
Elle peut définir :
les outils autorisés ;
les règles de mots de passe ;
le MFA ;
les comptes administrateurs ;
l’utilisation des appareils personnels ;
le stockage des données ;
le partage de documents ;
la procédure en cas d’e-mail suspect ;
le signalement des incidents ;
les règles de départ d’un salarié.
La sécurité doit devenir compréhensible pour les utilisateurs.
56. Formez les salariés avec des exemples réels
Une présentation annuelle de 30 diapositives n’est pas toujours suffisante.
Montrez de vrais exemples.
Une fausse page Microsoft.
Un faux changement d’IBAN.
Une pièce jointe suspecte.
Un QR code frauduleux.
Une demande urgente du directeur.
Expliquez exactement quoi faire.
Ne cliquez pas.
Ne répondez pas.
Transférez au responsable.
Appelez par un autre canal.
Les utilisateurs doivent connaître la procédure, pas seulement le danger.
57. L’objectif n’est pas de punir celui qui clique
Lorsqu’un salarié signale immédiatement :
« J’ai cliqué sur ce lien et j’ai entré mon mot de passe »,
cela permet à l’entreprise d’agir rapidement.
Si la culture interne consiste à humilier ou sanctionner automatiquement les personnes qui signalent leurs erreurs, elles cacheront les incidents.
Et un incident caché est souvent beaucoup plus dangereux qu’une erreur signalée immédiatement.
La culture de sécurité doit favoriser la remontée rapide de l’information.
58. Les simulations de phishing peuvent être utiles
Pour les entreprises suffisamment structurées, des campagnes de simulation permettent d’identifier les difficultés réelles.
Mais l’objectif doit être éducatif.
Mesurer les résultats.
Expliquer les erreurs.
Améliorer les procédures.
Un programme de sensibilisation doit produire une baisse du risque, pas simplement un classement des « mauvais salariés ».
59. Assurance cyber : utile mais pas suffisante
Certaines entreprises peuvent souscrire une assurance couvrant certains coûts liés à des incidents cyber.
Mais une assurance ne remplace pas la sécurité.
Les contrats comportent souvent des conditions, exclusions, franchises et obligations de déclaration.
L’entreprise doit connaître à l’avance :
qui appeler ;
quels prestataires sont imposés ;
quels coûts sont couverts ;
quelles preuves sont nécessaires.
Le numéro d’assistance de l’assureur doit figurer dans le plan de réponse.
60. Documentez votre architecture
Une petite entreprise peut parfaitement fonctionner pendant dix ans grâce à un seul technicien qui « sait comment tout marche ».
Puis ce technicien quitte l’entreprise.
Personne ne connaît :
les mots de passe ;
la configuration réseau ;
les sauvegardes ;
les fournisseurs ;
les licences ;
les accès.
C’est un risque opérationnel majeur.
La documentation doit inclure au minimum les systèmes, fournisseurs, responsabilités, licences, sauvegardes et principaux accès administratifs.
Les secrets eux-mêmes doivent naturellement être stockés de manière sécurisée, pas dans un document Word intitulé Passwords.docx.
61. Mesurez votre cybersécurité
Un dirigeant devrait disposer de quelques indicateurs simples.
Pourcentage de comptes critiques avec MFA.
Nombre de comptes administrateurs.
Nombre d’anciens comptes encore actifs.
Taux d’équipements à jour.
Date du dernier test de restauration.
Nombre d’incidents.
Nombre de simulations de phishing.
Temps moyen de désactivation d’un ancien utilisateur.
Nombre de fournisseurs possédant un accès.
La cybersécurité devient beaucoup plus gérable lorsqu’elle est mesurée.
62. Construire un plan de progrès sur douze mois
Une PME peut avancer progressivement.
Premier trimestre : inventaire, MFA, gestion des comptes, sauvegardes.
Deuxième trimestre : segmentation réseau, mises à jour, politique de sécurité, procédures de départ.
Troisième trimestre : formation, tests de restauration, analyse des fournisseurs, simulation d’incident.
Quatrième trimestre : tests supplémentaires, optimisation, assurance éventuelle et réévaluation des risques.
L’objectif n’est pas d’atteindre une sécurité absolue.
Elle n’existe pas.
L’objectif est de réduire la probabilité d’un incident et surtout d’en limiter les conséquences.
63. Préparez un exercice de crise
Un matin, le responsable arrive.
Les fichiers sont chiffrés.
Le POS fonctionne encore mais la comptabilité est inaccessible.
Une demande de rançon apparaît.
Que faites-vous ?
Qui prend la décision ?
Avez-vous le numéro du prestataire ?
Les sauvegardes fonctionnent-elles ?
Doit-on prévenir la CNPD ?
Peut-on facturer ?
Que dit-on aux clients ?
Un exercice d’une heure en réunion peut révéler des faiblesses que des milliers d’euros de technologie n’auraient pas identifiées.
64. Ne payez pas une rançon comme si c’était une facture ordinaire
Un ransomware crée une situation extrêmement complexe.
Payer ne garantit pas nécessairement la récupération complète.
Cela peut également soulever différentes questions juridiques, assurantielles et de sanctions internationales selon le destinataire et les circonstances.
Aucune décision ne devrait donc être improvisée par une seule personne devant l’écran.
En cas d’attaque grave, il faut mobiliser rapidement spécialistes techniques, direction, conseil juridique et assureur lorsque pertinent.
65. Conservez les preuves
Logs.
E-mails.
Horodatages.
Copies de messages.
Adresses IP.
Fichiers suspects.
Captures d’écran.
Informations sur les comptes compromis.
Ces éléments peuvent être utiles pour l’analyse forensic, les assurances, les obligations réglementaires ou une enquête pénale.
Une bonne réponse aux incidents protège donc non seulement l’entreprise mais également la qualité de l’enquête.
66. Une cyberattaque est aussi une crise de communication
Un fournisseur vous demande :
« Vos systèmes sont-ils compromis ? »
Un client demande :
« Mes données ont-elles été volées ? »
Les médias peuvent appeler dans un incident important.
Les salariés ne savent pas quoi dire.
Une seule personne ou une petite cellule doit être chargée de la communication.
Il faut éviter les spéculations.
Dire ce qui est connu.
Ce qui ne l’est pas encore.
Ce qui est fait.
Et quand une nouvelle information sera donnée.
Une mauvaise communication peut parfois aggraver un incident technique.
67. Cybersécurité et RGPD doivent être gérés ensemble
La CNPD insiste sur la nécessité de protéger la confidentialité, l’intégrité et la disponibilité des données et de mettre en place des mesures techniques et organisationnelles appropriées.
La cybersécurité ne doit donc pas être traitée séparément de la protection des données personnelles.
Un ransomware peut être simultanément :
une interruption informatique ;
une violation de données ;
une fraude ;
et éventuellement un incident relevant d’autres obligations réglementaires.
Les responsables concernés doivent donc communiquer entre eux.
68. Comment SIMOURQ peut accompagner une PME
Pour une petite entreprise, la difficulté consiste souvent moins à comprendre qu’elle « doit être sécurisée » qu’à déterminer par où commencer.
SIMOURQ peut accompagner l’entreprise dans la cartographie de son environnement numérique : postes de travail, réseau, POS, site, comptes cloud, périphériques, outils de gestion, procédures et dépendances.
Cette première analyse permet d’identifier les points faibles visibles et d’établir des priorités.
Selon le projet et les compétences nécessaires, SIMOURQ peut ensuite intervenir sur différentes dimensions opérationnelles telles que la configuration des équipements et réseaux, la sécurisation de certains environnements POS, l’organisation des accès, la digitalisation des procédures, les sauvegardes et la documentation technique.
Pour les domaines nécessitant un audit de sécurité spécialisé, tests d’intrusion, forensic ou expertise réglementaire approfondie, le projet doit naturellement être confié ou coordonné avec les professionnels spécialisés correspondants.
69. SIMOURQ peut aussi accompagner la préparation administrative du SME Package
Lorsqu’une entreprise souhaite examiner SME Packages – Cybersecurity, SIMOURQ peut l’aider à préparer les informations nécessaires à son projet : description de l’infrastructure, inventaire des équipements, identification des difficultés, rédaction du besoin, organisation documentaire, budget et cahier des charges.
La préanalyse officielle et la demande restent cependant soumises au parcours prévu par la House of Entrepreneurship, eHandwierk, la Luxembourg House of Cybersecurity et le ministère de l’Économie.
L’attribution de l’aide, le montant final et la reconnaissance des coûts éligibles relèvent exclusivement des autorités et organismes compétents.
70. Les liens officiels à conserver
Pour le programme SME Packages – Cybersecurity :
Pour Fit 4 Digital :
https://guichet.public.lu/fr/entreprises/financement-aides/regime-fit-4/aide-digitalisation.html
Pour la loi NIS2 au Luxembourg :
https://www.ilr.lu/secteurs-activites/niss/nis-2/
Texte légal :
https://legilux.public.lu/eli/etat/leg/loi/2026/05/05/a225/jo
Pour les mesures de sécurité NIS2 :
https://www.ilr.lu/secteurs-activites/niss/security-measures/
Pour signaler un incident :
Pour CIRCL :
Pour la prévention des fraudes et cyberarnaques :
https://police.public.lu/fr/prevention/arnaques.html
Pour les obligations relatives aux violations de données :
Conclusion : la cybersécurité d’une PME commence beaucoup plus par l’organisation que par l’achat de technologie
Une entreprise n’est pas sécurisée parce qu’elle possède un antivirus.
Elle est sécurisée lorsqu’elle sait ce qu’elle possède, qui peut y accéder, comment ses données sont sauvegardées, comment ses systèmes sont mis à jour, ce qui se passe lorsqu’un salarié part, comment elle vérifie une demande de paiement inhabituelle et comment elle réagit lorsqu’un incident survient.
L’architecture de protection commence donc par des fondamentaux relativement accessibles :
comptes individuels ;
MFA ;
mots de passe uniques ;
droits limités ;
mises à jour ;
segmentation ;
sauvegardes séparées ;
tests de restauration ;
formation ;
contrôle des fournisseurs ;
plan de continuité ;
plan d’incident.
Puis viennent les outils plus spécialisés.
Le contexte luxembourgeois a encore renforcé cette importance en 2026. La loi NIS2 est entrée en vigueur le 10 mai et impose aux entités concernées une véritable gouvernance des risques cyber, comprenant notamment la sécurité de la chaîne d’approvisionnement, les politiques de sécurité, la gestion des incidents et la responsabilisation des organes de direction.
Même les PME qui ne relèvent pas directement de ce régime ont intérêt à reprendre cette logique, d’autant qu’elles peuvent travailler avec des entreprises qui leur imposeront progressivement des exigences similaires.
Enfin, l’investissement nécessaire peut être partiellement soutenu par l’État. SME Packages – Cybersecurity permet actuellement aux PME éligibles de présenter des projets compris entre 3 000 € et 25 000 € HTVA, avec une aide correspondant à 70 % des coûts éligibles, soit potentiellement jusqu’à 17 500 €.
La question pertinente n’est donc plus :
« Sommes-nous assez importants pour être attaqués ? »
Elle est :
« Si nous sommes attaqués demain matin, pouvons-nous empêcher l’attaque de devenir une crise majeure et remettre notre entreprise en fonctionnement suffisamment rapidement ? »
C’est cette question qui distingue une entreprise simplement informatisée d’une entreprise réellement résiliente.
SIMOURQ | Cybersecurity, Digital & Business Solutions
SIMOURQ accompagne les entreprises dans l’analyse de leurs environnements numériques, la structuration de leurs projets de cybersécurité, la sécurisation organisationnelle de leurs systèmes, la préparation documentaire de leurs projets, la configuration de solutions numériques et POS ainsi que l’intégration de la cybersécurité dans leurs projets de transformation digitale.
Nous pouvons également accompagner les PME dans la préparation de leur projet avant un parcours SME Packages – Cybersecurity : identification des besoins, inventaire des systèmes, rédaction du cahier des charges, organisation du budget et préparation documentaire.
La cybersécurité spécialisée, les audits de vulnérabilités avancés, les tests d’intrusion, les analyses forensic et les avis réglementaires doivent être réalisés par les professionnels disposant des compétences et habilitations appropriées lorsqu’ils sont nécessaires.
SIMOURQ