Institut Luxembourgeois de Régulation - Règlement ILR/N22/1 du 22 février 2022 portant définition des modalités de notification et des critères des incidents ayant un impact significatif sur la continuité des services essentiels du secteur transport - sous-secteur transport ferroviaire - Niss.

N° 79 du 2 mars 2022

Institut Luxembourgeois de Régulation - Règlement ILR/N22/1 du 22 février 2022 portant définition

des modalités de notification et des critères des incidents ayant un impact significatif sur la continuité

des services essentiels du secteur transport - sous-secteur transport ferroviaire - Niss.

La Direction de l’Institut Luxembourgeois de Régulation,

Vu la loi modifiée du 30 avril 2008 portant a) création de l’Administration des Enquêtes Techniques,

b) modification de la loi modifiée du 22 juin 1963 fixant le régime des traitements des fonctionnaires de l’État

et c) abrogation de la loi du 8 mars 2002 sur les entités d’enquêtes techniques relatives aux accidents et

incidents graves survenus dans les domaines de l’aviation civile, des transports maritimes et des chemins

de fer, notamment son article 2, paragraphe 1

er, b), tiret 2 ;

Vu la loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148 du Parlement européen et

du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de

sécurité des réseaux et des systèmes d’information dans l’Union européenne et modifiant 1° la loi modifiée du

20 avril 2009 portant création du Centre des technologies de l’information de l’État et 2° la loi du 23 juillet 2016

portant création d’un Haut-Commissariat à la Protection nationale, notamment son article 8, paragraphe 4

et paragraphe 5 ;

Vu le règlement ILR/N19/1 du 5 novembre 2019 portant sur la fixation des services essentiels et notamment

son article 1

er, paragraphe 4 ;

Vu les groupes de travail instaurés par l’Institut entre mars 2021 et juillet 2021 ;

Vu la consultation publique nationale (CP/N21/4) concernant le projet de règlement portant définition des

modalités de notification et des critères des incidents ayant un impact significatif sur la continuité des

services essentiels du secteur transport – sous-secteur transport ferroviaire du 1

er novembre 2021 au

30 novembre 2021 ;

Vu le résultat de la consultation publique nationale mentionnée ci-dessus ;

Arrête

Art. 1

er.

(1) Les opérateurs de services essentiels du secteur transport – sous-secteur transport ferroviaire notifient

à l’Institut tous les incidents ayant un impact significatif sur la continuité des services essentiels.

(2) Un incident est considéré comme ayant un impact significatif sur la continuité des services essentiels si

au moins l’une des situations suivantes s’est présentée

a) le service fourni par un opérateur de services essentiels est, ou a été, indisponible selon les critères

suivants

• au moins 5 pourcent des trains sont supprimés au cours d’une journée ;

• au moins 100 sillons ont été impactés au cours d’une journée ;

• la gestion d’infrastructures a été indisponible pendant au moins 4 heures consécutives ;

• au moins 20 pourcent des trains de fret d’une entreprise ferroviaire ont été supprimés ou ont été en

retard d’au moins une heure au cours d’une journée ; ou

• la gestion des capacités a été indisponible pendant au moins 12 heures consécutives ;

JOURNAL OFFICIEL du Grand-Duché de Luxembourg

MÉMORIAL A - 79 du 2 mars 2022

b) l’incident a entraîné une perte de disponibilité, d’authenticité, d’intégrité ou de confidentialité des données

stockées, traitées, transmises ou transformées ou bien des services connexes offerts ou accessibles par

l’intermédiaire d’un réseau et d’un système informatique de l’opérateur de services essentiels qui a touché

plus de 50 voyageurs au Luxembourg ;

c) l’incident a engendré un risque pour la sécurité ou la sûreté publique ou a entraîné un décès ou un accident

ayant causé des blessures graves à une ou plusieurs personnes à bord des moyens de transport sur le

réseau ferré national ou ses embranchements, en train d’y monter ou d’en descendre ou chargées des

opérations de chargement ou de déchargement d’un tel moyen de transport, qui

• soit nécessitent une hospitalisation de plus de quarante-huit heures de l’une ou de plusieurs des

victimes, cette hospitalisation commençant dans les sept jours qui suivent la date à laquelle les

blessures ont été subies,

• soit se traduisent par la fracture d’un os (exception faite des fractures simples des doigts, des orteils

ou du nez),

• soit se traduisent par des déchirures qui sont la cause de graves hémorragies ou de lésions d’un nerf,

d’un muscle ou d’un tendon,

• soit se traduisent par la lésion d’un organe interne,

• soit se traduisent par des brûlures affectant plus de 5 pourcent de la surface du corps,

• soit résultent de l’exposition vérifiée à des matières infectieuses ou à un rayonnement pernicieux, sauf

s’il s’agit de lésions dues à des causes naturelles, de blessures infligées à la personne par elle-même

ou par d’autres ou de blessures subies par un passager clandestin caché hors des zones auxquelles

les passagers et l’équipage ont normalement accès ; ou

d) l’incident a causé un préjudice matériel d’au moins 50 000 EUR à un voyageur.

(3) La durée de l’incident est la période qui s’écoule entre la perturbation de la prestation du service en termes

de disponibilité, d’authenticité, d’intégrité ou de confidentialité jusqu’au moment de son rétablissement.

(4) Les incidents sont à notifier à l’Institut par l’intermédiaire de la plateforme https://serima.lu/notification ou

bien par le biais du lien https://niss-notification.ilr.lu. Pour toute action ultérieure liée au même incident, le

même moyen de communication est à utiliser.

(1) Tout incident détecté pouvant avoir un impact significatif sur la continuité des services essentiels dont

la cause pourrait être en relation avec les réseaux ou systèmes d’information doit faire l’objet d’une

pré-notification à l’Institut endéans les 24 heures de sa détection et ceci selon les modalités décrites à

l’article 1, paragraphe 4 du présent règlement. La pré-notification contient une estimation quant au nombre

de voyageurs potentiellement concernés, à la durée prévisionnelle de l’incident, aux services concernés ainsi

qu’une indication quant à un potentiel impact à caractère transfrontalier.

(2) Lorsqu’après une analyse interne de l’incident par le déclarant il s’avère que cet incident répond aux

critères énoncés à l’article 1, paragraphe 2 du présent règlement, le déclarant fait parvenir une notification

complète à l’Institut endéans un délai de 15 jours après la détection de l’incident et ceci suivant les modalités

décrites à l’article 1, paragraphe 4 du présent règlement.

Cette notification complète doit au moins comprendre les informations suivantes

• les informations de contact ;

• les services essentiels impactés ;

• les informations sur l’impact de l’incident ;

• une description de l’incident ;

• la date de la première observation de l’incident ;

• la date du début de l’incident (si connue) ;

• l’impact géographique de l’incident ;

• la cause de l’incident ; et

• l’information si l’incident a eu un impact sur la disponibilité, l’intégrité, la confidentialité ou l’authenticité du

réseau et des systèmes d’information de l’opérateur de services essentiels.

(3) Dans le cas où des informations additionnelles sur l’incident deviendraient disponibles ultérieurement,

l’opérateur de services essentiels procédera à une notification additionnelle après la notification complète.

JOURNAL OFFICIEL du Grand-Duché de Luxembourg

MÉMORIAL A - 79 du 2 mars 2022

Cette notification additionnelle est à réaliser selon les modalités décrites à l’article 1, paragraphe 4 du présent

règlement.

(4) Dans l’hypothèse où, après l’analyse interne de l’incident par le déclarant, il s’avère que l’incident, ayant

déjà fait l’objet d’une pré-notification, ne répond finalement pas aux critères fixés par l’article 1, paragraphe 2

du présent règlement, une notification complète n’est pas requise. Le déclarant en informe de suite l’Institut

selon les modalités décrites à l’article 1, paragraphe 4 du présent règlement.

(5) L’opérateur de services essentiels partage avec l’Institut toute information divulguée par lui aux médias

qui a trait à un incident ayant eu un impact significatif sur la continuité des services essentiels.

L’Institut peut à tout moment demander des informations additionnelles sur un incident. Les opérateurs de

services essentiels fournissent ces informations additionnelles en respectant les délais et le niveau de détail

exigés par l’Institut dans sa demande.

L’Institut signale aux autres États membres de l’Union européenne touchés si l’incident est susceptible d’avoir

un impact significatif sur la continuité des services essentiels dans ces États membres, tout en préservant

la sécurité et les intérêts commerciaux de l’opérateur de services essentiels ainsi que la confidentialité des

informations communiquées dans sa notification.

Le présent règlement sera publié au Journal officiel du Grand-Duché de Luxembourg et sera également

disponible sur le site Internet de l’Institut.

Pour l’Institut Luxembourgeois de Régulation,

La Direction,

Michèle Bram

Directrice adjointe

Camille Hierzig

Directeur adjoint

Luc Tapella

Directeur