Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
120 articles trouves · #luxembourg
RUAG paie une rançon à Akira: alerte rouge pour les directions
RUAG a confirmé le 6 juin 2026 avoir versé une rançon au gang Akira après l’attaque de sa filiale US. Un aveu rare qui chiffre l’impact économique d’un rançongiciel: payer, même «petit», pour récupérer des données.
CJUE (19 mars 2026): un accès peut être refusé s’il est abusif
La CJUE admet qu’une demande d’accès peut être rejetée comme « abusive » si elle vise uniquement une indemnisation RGPD. Signal fort pour des refus motivés, la charge de la preuve et le respect des délais.
AI Act: J-52 avant l’obligation de transparence (article 50)
Au 2 août 2026, l’obligation de transparence de l’AI Act (art. 50) devient applicable: mention claire “vous interagissez avec une IA”, marquage machine‑lisible des contenus générés/manipulés, et signalement des deepfakes.
Qilin exploite un 0‑day Check Point: VPN compromis, patch sous 72 h
Un 0‑day critique (CVE‑2026‑50751) dans les VPN Check Point est activement exploité par Qilin. CISA impose un correctif d’ici le 11 juin 2026. Les entités NIS 2 luxembourgeoises doivent vérifier IKEv1, patcher et notifier via SERIMA si incident.
DORA art. 28: la CSSF durcit le ton sur le registre des dépendances ICT
Au 16 mars 2026, seules 40% des entités avaient soumis leur registre DORA art. 28. La CSSF prévient: contrôles qualité par les AES, rejets possibles et corrections sous délais, avec un « best effort » au 30 juin pour certaines succursales.
CSSF: exigences du contrôle sur la valorisation d’actifs illiquides
Le 4 juin 2026, la CSSF publie un retour d’expérience sur la valorisation des actifs illiquides chez les IFM. Elle exige un benchmarking immédiat des pratiques et des mesures correctrices documentées.
CNPD 1FR/2025: comment la CNPD calcule une amende RGPD en 5 étapes
Le 6 janvier 2025, la CNPD a infligé une amende pour retards aux droits RGPD et appliqué, noir sur blanc, la méthode EDPB en cinq étapes. Enseignement clé: pilotez et documentez votre “time-to-rights”.
ICO récupère 118 852 £ auprès de deux ex-salariées du RAC
Le 4 juin 2026, l’ICO a obtenu des confiscations totalisant 118 852,32 £ contre deux ex-employées du RAC pour la revente illégale de près de 30 000 lignes de données d’automobilistes, illustrant l’usage accru des pouvoirs POCA après condamnation.
WFP Gaza: alerte pour vos portails d’inscription (600 000 foyers)
Le 2 juin 2026, le WFP a confirmé la compromission de son application d’auto‑inscription en Palestine: données de ~600 000 foyers à Gaza (noms, ID, mobiles, localisation) exfiltrées. Intrusion datée du 14 mai.
Vidéosurveillance au travail: l’affaire Hanako écarte le consentement
Le Garante italien (12/03/2026) a sanctionné Hanako s.r.l. pour vidéosurveillance en magasin sans information adéquate ni autorisation travail. Message européen: au travail, le consentement des salariés n’est pas une base légale de confort.
Dashlane : moins de 20 coffres copiés — leçons d’une attaque 2FA
Le 31 mai 2026, une campagne de force brute ciblant la 2FA a permis de copier des coffres-forts chiffrés de « moins de 20 » utilisateurs Dashlane. Voici l’impact pour vos contrôles IAM et vos obligations RGPD/NIS 2.
AEPD inflige 14,4 M€ à Amadeus pour profilage sans base légale
L’AEPD a sanctionné Amadeus IT Group à 14,4 M€ (18 M€ avant réduction) pour un projet pilote de profilage utilisant des données de réservation sans base légale et sans information des voyageurs. Décision rendue publique les 26–27 mai 2026.