LuxOps exploite et protège des infrastructures informatiques au Luxembourg. Notre cybersécurité est pensée pour les organisations qui relèvent de NIS2, de DORA ou des circulaires de la CSSF, et qui doivent rendre compte de leurs prestataires.
Le secteur régulé a besoin d'un prestataire capable de prouver sa sécurité, devant un contrôleur qui exige des preuves.
Nous exploitons vos systèmes en produisant, en continu, la preuve de leur conformité.
Ce que cela signifie en pratique
Chaque action est tracée.
Toute intervention d’un ingénieur LuxOps sur votre infrastructure est journalisée, horodatée, attribuée nominativement et conservée dans un journal que vous consultez en temps réel. Les journaux sont conservés en écriture seule.
Chaque configuration est versionnée.
Votre infrastructure est décrite dans du code. L'état de vos systèmes à n'importe quelle date passée est reconstituable. Un auditeur DORA demande la configuration du pare-feu au 3 mars ; vous la produisez en une minute.
Chaque contrôle est daté.
Sauvegardes testées par restauration réelle, à fréquence contractuelle. Vulnérabilités mesurées en continu. Plan de continuité exécuté, pas rédigé.
Nos services de cybersécurité
- Détection et réponse · SOC
- Surveillance continue, corrélation d’événements, réponse à incident. Le centre opérationnel est celui de LuxGap, société du groupe.Continuous monitoring, event correlation, incident response. The security operations centre is LuxGap’s, a company in the group.
- Tests d'intrusion continus
- Une surveillance offensive permanente de votre surface d'exposition, avec re-test systématique des remédiations.
- Durcissement
- Postes, serveurs, réseau, identités. Conformité aux référentiels CIS et ANSSI, écarts documentés et justifiés.
- Gestion des vulnérabilités
- Inventaire, priorisation par exposition réelle, correctifs déployés sous délai contractuel.
- Continuité et reprise
- Conception, mise en œuvre et exercice périodique. Les objectifs de temps et de point de reprise sont mesurés, pas déclarés.
NIS2 au Luxembourg : ce que le contrat de votre prestataire doit couvrir
La loi luxembourgeoise du 5 mai 2026 transpose la directive NIS2. Elle désigne notamment l'Institut luxembourgeois de régulation (ILR) comme autorité compétente et organise l'enregistrement des entités concernées.
Parmi les mesures de gestion des risques, la directive vise expressément la sécurité de la chaîne d'approvisionnement. Votre prestataire informatique en fait partie : son contrat doit vous permettre de répondre, pièces à l'appui, à quatre questions.
Qui intervient sur vos systèmes ?
Chaque intervention d’un ingénieur LuxOps est journalisée, horodatée et attribuée nominativement, dans un journal que vous consultez en temps réel.
Qui sous-traite quoi ?
La chaîne de détention complète et la liste de nos sous-traitants, sociétés du groupe comprises, vous sont communiquées avant toute signature.
Qui vous alerte en cas d’incident ?
La directive impose des notifications à délais courts. Le contrat doit fixer comment votre prestataire vous prévient, pour que vous puissiez les tenir. Chez LuxOps, la détection et la première prise en charge sont automatisées et fonctionnent en continu, y compris la nuit.
Qui contrôle le prestataire ?
Tests d'intrusion continus avec re-test des remédiations, écarts de durcissement documentés et justifiés, droit d'audit à tout moment. Le contrôle et l'exploitation relèvent de deux sociétés distinctes du groupe, liées par des règles écrites.
Le détail juridique, entités concernées, enregistrement et premières actions, est traité par LuxGap : NIS2 au Luxembourg, la loi du 5 mai 2026 et les actions à mener. Ce que couvre concrètement notre contrat est décrit sur la page Infogérance au Luxembourg.
DORA et prestataires TIC : registre, concentration, sortie
Le règlement DORA est applicable depuis le 17 janvier 2025. Il fait entrer vos prestataires TIC dans votre propre gestion du risque, et trois articles pèsent directement sur le contrat.
- Art. 28
- Registre d'information de tous vos accords avec des prestataires TIC, et stratégies de sortie pour les services qui soutiennent des fonctions critiques ou importantes.
- Art. 29
- Évaluation du risque de concentration TIC avant de contracter : prestataire difficilement substituable, accumulation d'accords auprès d'un même prestataire, sous-traitance en cascade.
- Art. 30
- Clauses contractuelles clés : lieux de traitement et de stockage des données, droits de résiliation, période de transition en cas de sortie.
19 prestataires TIC critiques désignés
Le 18 novembre 2025, les autorités européennes de surveillance ont désigné 19 prestataires TIC critiques, dont AWS, Google Cloud et Microsoft. Ils relèvent désormais d'un cadre de surveillance européen. La responsabilité de l'entité financière reste entière : le risque de concentration se gère chez vous, contrat par contrat.
Ce que LuxOps apporte à votre registre et à votre stratégie de sortie : une société de droit luxembourgeois, des sites nommés, avec un site principal à Kahler et une reprise en Allemagne, un matériel qui vous appartient et une infrastructure décrite dans du code. Les sites sont présentés sur la page Infrastructure ; l'exposition des fournisseurs à une loi étrangère, comme le CLOUD Act, sur la page Souveraineté numérique.
Conformité réglementaire
Nos infrastructures et nos processus d'exploitation sont conçus pour absorber les exigences applicables à nos clients.
- DORA
- Exigences sur les prestataires tiers de services TIC critiques, registre d'information, tests de résilience, gestion des incidents.
- NIS2
- Mesures de gestion des risques, notification, chaîne d'approvisionnement.
- RGPD
- Accord de sous-traitance conforme à l'article 28, registre des activités de traitement, données hébergées par LuxOps conservées dans l'Union européenne.
- Circ. CSSF
- Circulaire 22/806 sur l'externalisation ; pour les entités soumises à DORA, sa partie TIC est reprise par la circulaire 25/882. Gouvernance informatique, sous-traitance en cascade.
L'articulation entre ces textes dépend de votre statut et de votre secteur. Cette page présente un cadre général : son application à votre organisation relève de votre conseil juridique ou de votre DPO.
Le conseil réglementaire, les mandats de DPO et de RSSI externes, et l'accompagnement d'audit relèvent de LuxGap. Les deux sociétés travaillent, évidemment, ensemble sur vos périmètres : l'indépendance du contrôle repose sur des règles écrites, information préalable, cloisonnement, escalade directe au client, droit d'audit à tout moment. Comment fonctionne le groupe →