NIS2 et la loi sur la cybersécurité : votre entreprise est-elle concernée ?
Depuis le 15 août 2026, la loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet) s'applique aux Pays-Bas. Vous avez peut-être déjà entendu le terme NIS2 de la part d'un client, d'un fournisseur ou d'un conseiller. Cet article vous explique brièvement ce qu'est cette loi, qui elle concerne et ce qu'elle signifie pour une petite entreprise qui n'y est pas elle-même soumise.
Cet article donne une explication générale et ne constitue pas un avis juridique. Les règles actuelles se trouvent auprès du NCSC et dans le texte de loi.
De quoi s'agit-il ?
NIS2 est une directive européenne de 2022 (Directive (UE) 2022/2555) destinée à renforcer la résilience numérique des organisations dans des secteurs importants. Chaque pays transpose la directive dans sa propre loi. Aux Pays-Bas, il s'agit de la loi sur la cybersécurité (Cyberbeveiligingswet, Cbw). Cette loi s'applique depuis le 15 août 2026, sans période transitoire, et remplace l'ancienne loi sur la sécurité des réseaux et des systèmes d'information (Wbni). Selon le NCSC, plus de 8 000 organisations y sont soumises. Le NCSC est le point de contact.
Mon entreprise est-elle concernée ?
Cela dépend de deux questions : votre secteur et votre taille.
1. Travaillez-vous dans un secteur mentionné dans la loi ?
| Annexe 1 | Annexe 2 |
|---|---|
| Énergie, transport, secteur bancaire, infrastructures des marchés financiers, soins de santé, eau potable, eaux usées, infrastructure numérique, gestion de services TIC, administration publique, secteur spatial | Services postaux et de messagerie, gestion des déchets, produits chimiques, denrées alimentaires, fabrication (industrie manufacturière), fournisseurs numériques, recherche |
Des conditions supplémentaires s'appliquent à certains secteurs. Toute entreprise active dans le domaine des denrées alimentaires n'est donc pas automatiquement concernée.
2. Êtes-vous suffisamment grand ? En résumé, les organisations de taille moyenne et grande sont concernées. Vous êtes compté si :
- vous avez 50 collaborateurs (ETP) ou plus, ou
- vous avez moins de 50 collaborateurs, mais votre chiffre d'affaires annuel et votre total de bilan dépassent tous deux 10 millions d'euros.
Les entreprises partenaires et les entreprises liées sont prises en compte. Une entreprise de 20 collaborateurs appartenant à un groupe de 200 personnes peut donc tout de même être concernée.
Exceptions, quelle que soit la taille. Quelques types d'organisations sont toujours concernés, aussi petits soient-ils. Par exemple les fournisseurs de services DNS, les registres de domaines de premier niveau, les fournisseurs de réseaux et services de communications électroniques publics, les prestataires de services de confiance et les organisations publiques. Si vous êtes désigné en vertu de la loi sur la résilience des entités critiques, vous êtes également soumis à la loi sur la cybersécurité.
Vérifiez vous-même avec l'auto-évaluation
L'Inspection d'État néerlandaise des infrastructures numériques (RDI) propose une auto-évaluation NIS2 gratuite. Vous répondez à des questions sur votre secteur, votre taille et vos services, et vous obtenez un résultat. Celui-ci indique également si vous êtes une entité essentielle ou une entité importante. La différence porte surtout sur la surveillance : pour les entités essentielles, l'autorité de contrôle peut aussi effectuer des contrôles de sa propre initiative, tandis que pour les entités importantes, le contrôle intervient surtout a posteriori. Votre entreprise appartient-elle à un groupe ou travaillez-vous dans plusieurs pays ? Le guide sur les modèles d'entreprise complexes du NCSC peut alors vous aider.
Que devez-vous faire si vous êtes concerné ?
- S'enregistrer. Vous inscrivez votre organisation via MijnNCSC.
- Devoir de diligence. Vous réalisez une analyse des risques et prenez des mesures appropriées et proportionnées. Le NCSC mentionne au moins dix thèmes, dont le traitement des incidents, les sauvegardes et la reprise d'activité, la sécurité de votre chaîne d'approvisionnement, la formation, les mises à jour, la gestion des accès, l'authentification multifacteur ou les clés d'accès (passkeys), le chiffrement et le test de l'efficacité de vos mesures. La direction approuve les mesures et en assure le suivi.
- Obligation de notification. Vous signalez un incident significatif via MijnNCSC : un premier avertissement dans les 24 heures, une notification dans les 72 heures avec une première évaluation de la gravité et de l'impact, et un rapport final dans un délai d'un mois.
Cette notification est distincte de l'obligation de signalement des violations de données prévue par le RGPD. Celle-ci s'applique à toute personne qui traite des données à caractère personnel, y compris un indépendant, et se fait auprès de l'Autoriteit Persoonsgegevens (l'autorité néerlandaise de protection des données). Une attaque au cours de laquelle des données clients ont également été dérobées peut donc devoir être signalée aux deux instances.
Vous n'êtes pas concerné ? La chaîne peut tout de même vous toucher
La plupart des petites entreprises ne sont pas soumises à la loi. Vous n'avez alors aucune obligation d'enregistrement, aucune obligation de notification auprès du NCSC et aucun contrôle. Mais les organisations qui, elles, sont concernées doivent également tenir compte des risques présents chez leurs fournisseurs et prestataires directs. Selon le NCSC, la loi n'impose pas d'obligations directes aux fournisseurs eux-mêmes, mais les clients peuvent imposer des exigences concernant leur sécurité numérique. Celles-ci figurent alors dans un contrat ou un questionnaire.
Fournissez-vous des services à une organisation plus grande, par exemple en tant que créateur de sites web, gestionnaire informatique ou cabinet comptable ? Vous pourriez alors recevoir des questions telles que : utilisez-vous l'authentification à deux facteurs, qui a accès à nos données, où se trouvent les sauvegardes et à quelle vitesse signalez-vous un incident ?
- Les exigences doivent être proportionnées au risque lié à votre service. Un fournisseur ayant accès aux systèmes se verra imposer des exigences plus strictes que le boulanger qui livre le déjeuner.
- Il s'agit des fournisseurs directs. Les fournisseurs de vos fournisseurs ne sont pas concernés.
- La loi n'impose pas de certification. Celle-ci peut faciliter la discussion, mais ne constitue pas une garantie.
- Commencez à temps : faites l'inventaire des mesures déjà en place et consignez les accords conclus avec votre client.