Par Tom Meevis, avocat chez Law & More
La cybersécurité n'est plus seulement une question technique. C'est aussi un enjeu juridique et de gouvernance qui touche quasiment toutes les organisations, quelle que soit leur taille.
Avec la directive européenne NIS2 et la loi néerlandaise sur la cybersécurité, la responsabilité de la résilience numérique incombe désormais pleinement à la direction. La loi néerlandaise sur la cybersécurité entrera en vigueur le 15 août 2026. Les chefs d'entreprise, les administrateurs et les responsables de la conformité doivent donc mettre en place rapidement les mesures suivantes :
- si leur organisation relève du champ d’application des nouvelles règles ;
- quelles obligations en découlent ;
- quelles mesures sont nécessaires ;
- et comment l'organisation peut remplir ces obligations.
Cet article expose les principaux éléments de NIS2 et de la loi néerlandaise sur la cybersécurité : le champ d’application, l’obligation de diligence, l’obligation de notification, la responsabilité du conseil d’administration, l’application et les mesures que les organisations peuvent prendre dès maintenant.
Qu'est-ce que NIS2 ?
NIS2 est la désignation officielle de la directive (UE) 2022/2555. Elle succède à la première directive européenne sur la sécurité des réseaux et de l'information, généralement appelée NIS1.
Les États membres étaient tenus de transposer la NIS2 en droit national avant le 17 octobre 2024. À compter du 18 octobre 2024, la NIS2 a officiellement remplacé la directive précédente.
Son objectif est de renforcer et d'harmoniser le niveau de cyber-résilience au sein de l'Union européenne. Cela repose sur deux axes principaux. Premièrement, un champ d'application élargi : un nombre bien plus important d'organisations sont concernées par la réglementation que par la première directive NIS. Deuxièmement, un contrôle renforcé et une application plus stricte, avec un éventail d'outils plus large et des responsabilités plus clairement définies pour les dirigeants.
Alors que la NIS1 établissait une distinction entre les opérateurs de services essentiels et les fournisseurs de services numériques, la NIS2 s'applique aux entités essentielles et aux entités importantes. Cette distinction n'est pas purement terminologique : elle détermine notamment l'intensité du contrôle et le montant des amendes encourues.
Quelles organisations relèvent de la NIS2 ?
NIS2 s'applique aux organisations actives dans dix-huit secteurs désignés, divisés en secteurs hautement critiques et autres secteurs critiques.
Les secteurs hautement critiques comprennent l'énergie, les transports, la banque, les infrastructures des marchés financiers, la santé, l'eau potable et les eaux usées, les infrastructures numériques, la gestion des services TIC pour les entreprises, l'administration publique et le secteur spatial.
Les autres secteurs critiques comprennent les services postaux et de messagerie, la gestion des déchets, les produits chimiques, l'alimentation, la fabrication, les fournisseurs de services numériques et les instituts de recherche.
Le seuil de taille
Dans ces secteurs, la règle principale est qu'une organisation relève du régime NIS2 si elle est considérée comme une moyenne ou une grande entreprise. Les critères sont un effectif d'au moins 50 employés, ou un chiffre d'affaires annuel ou un total de bilan supérieur à 10 millions d'euros.
Il existe des exceptions à cette règle générale. Certaines organisations sont concernées, quelle que soit leur taille, car leurs services sont considérés comme particulièrement essentiels :
- fournisseurs de réseaux et de services de communications électroniques publiques ;
- fournisseurs de services fiduciaires;
- fournisseurs de services d'enregistrement de noms de domaine ;
- registres de noms de domaine de premier niveau ;
- organismes du secteur public.
À compter du 15 août 2026, les nouvelles obligations s'appliqueront à plus de 8 000 organisations aux Pays-Bas. Cela représente une augmentation considérable par rapport au nombre d'organisations couvertes par la loi actuelle sur la sécurité des réseaux et des systèmes d'information.
Les organisations qui ne se considéraient pas auparavant comme faisant partie d'un secteur critique peuvent donc être concernées, notamment les PME manufacturières, les producteurs alimentaires, les instituts de recherche et les fournisseurs de services numériques. Il est important de noter que chaque organisation est responsable de déterminer si elle entre dans le champ d'application de cette mesure. Aucune lettre de sa hiérarchie ne lui en informera.
L’obligation de diligence : quelles mesures sont requises ?
Le principe fondamental de NIS2 et de la loi néerlandaise sur la cybersécurité repose sur l'obligation de vigilance. Les entités essentielles et importantes doivent prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques liés à leurs réseaux et systèmes d'information.
Les règles précisent les sujets que la politique doit en tout état de cause aborder :
- analyse des risques et politique de sécurité de l'information ;
- gestion des incidents ;
- continuité des activités, gestion des sauvegardes et reprise après sinistre ;
- sécurité de la chaîne d'approvisionnement ;
- cybersécurité et formation du personnel ;
- politique de gestion des vulnérabilités ;
- authentification multifactorielle ;
- communications sécurisées ;
- cryptographie ;
- évaluation périodique de l'efficacité des mesures.
Les mesures doivent être proportionnées à la taille de l'organisation et aux risques auxquels elle est réellement exposée. Une petite entité importante n'est donc pas tenue de prendre les mêmes mesures qu'une grande entité essentielle opérant dans un secteur à haut risque.
Cela ne rend pas l'obligation de diligence facultative. Les organisations doivent être en mesure de justifier les risques identifiés, les mesures prises et la pertinence de ces mesures. Non seulement les mesures elles-mêmes, mais aussi la manière dont elles sont évaluées, consignées et périodiquement réévaluées, sont soumises à un contrôle.
Obligation de notification après un incident
Outre l’obligation de diligence, la norme NIS2 impose une obligation de notification progressive des incidents importants. Lorsqu’un incident a ou pourrait avoir un impact significatif sur la continuité des services, les délais suivants s’appliquent de manière générale :
- dans les 24 heures, une alerte précoce à l'équipe nationale d'intervention en cas d'incident de sécurité informatique ou à l'autorité compétente ;
- dans les 72 heures, une notification officielle accompagnée d'une première évaluation de la gravité et de l'impact ;
- Dans un délai d'un mois maximum, un rapport final décrivant l'incident, sa cause probable, les mesures prises et ses éventuelles répercussions transfrontalières.
Ces délais imposent la mise en place préalable de procédures claires. L’organisation doit savoir quand un incident doit être déclaré, qui est habilité à le faire, quelles informations doivent être disponibles, qui coordonne les opérations et comment le conseil d’administration et l’autorité de surveillance sont informés.
Une organisation qui ne tente de mettre en place un processus de notification qu'au moment d'un incident court un risque considérable de ne pas pouvoir signaler l'incident à temps ou de manière exhaustive.
Responsabilité du conseil d'administration
Un élément important de la norme NIS2 est que la responsabilité de la gestion des cyber-risques est expressément confiée au conseil d'administration. Ce dernier doit approuver les mesures de sécurité, superviser leur mise en œuvre, être en mesure d'évaluer les cyber-risques de l'organisation et suivre lui-même une formation adéquate.
La cybersécurité ne peut donc plus être considérée comme la seule responsabilité du département informatique. Il s'agit d'un enjeu de gouvernance qui doit être intégré aux processus décisionnels et à la gestion des risques.
La directive aborde également expressément la responsabilité personnelle des dirigeants en cas de manquement de l'organisation. Il convient de consigner l'implication du conseil d'administration, notamment en documentant les formations suivies, les décisions prises, les politiques approuvées, les évaluations des risques, les rapports et le suivi de la mise en œuvre.
La mise en œuvre néerlandaise
La mise en œuvre de la norme NIS2 aux Pays-Bas a pris un retard considérable. La date limite de transposition, fixée au 17 octobre 2024, n'a pas été respectée.
Le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l'Union européenne contre les Pays-Bas, ainsi que contre l'Irlande, l'Espagne et la France, pour défaut de notification des mesures de transposition. Les Pays-Bas figuraient ainsi parmi les quatre États membres les plus en retard de l'Union européenne.
Le moment choisi est frappant. La veille, le 7 juillet 2026, le Sénat avait approuvé la loi sur la cybersécurité et la loi sur la résilience des entités critiques. Reste à savoir si l'adoption de ces lois avant la saisine du tribunal aura une incidence sur l'issue de la procédure ; il appartient à ce dernier d'en décider.
Ces deux lois entreront en vigueur le 15 août 2026. La loi sur la cybersécurité transpose la directive NIS2 ; la loi sur la résilience des infrastructures critiques transpose la directive européenne CER, visant à renforcer la résilience des infrastructures critiques. Les organisations concernées par cette dernière seront officiellement désignées comme entités critiques à compter du 15 août 2026.
Dès son entrée en vigueur, la loi actuelle sur la sécurité des réseaux et des systèmes d'information (Wbni) sera abrogée. Pour les organisations déjà soumises à cette loi, cela se traduira par des obligations renforcées ; pour celles qui y sont soumises pour la première fois, par un régime entièrement nouveau.
Inscription auprès du NCSC
Une nouvelle obligation importante est l'enregistrement auprès du Centre national de cybersécurité (MijnNCSC). Les entités essentielles et importantes doivent être inscrites au registre national des entités. Cet enregistrement est obligatoire à compter du 15 août 2026 et s'effectue via le portail MijnNCSC, par le biais d'eHerkenning pour les organisations et de SSOnRijk pour les organismes du secteur public. Toute modification des données enregistrées doit être signalée dans un délai de quatorze jours.
L’enregistrement n’est pas une simple formalité administrative. Une fois enregistrées, les organisations peuvent accéder aux services de leur CSIRT, qui propose des produits et services pour renforcer leur résilience et leur apporter un soutien en cas d’incident. Il est conseillé de préparer l’enregistrement suffisamment tôt afin que la mise en œuvre ne commence pas seulement après son entrée en vigueur.
Supervision et application de la loi
La loi sur la cybersécurité prévoit un régime de surveillance différencié. Les entités essentielles font l'objet d'une surveillance proactive : l'autorité de surveillance peut effectuer des contrôles continus et de sa propre initiative, sans incident ni signal particulier. Les entités importantes font l'objet d'une surveillance réactive, l'autorité de surveillance intervenant en principe suite à un incident, une plainte ou tout autre signal concret.
La supervision est assurée par plusieurs autorités. À compter du 15 août 2026, l'Autorité néerlandaise pour l'infrastructure numérique supervisera les organisations dans neuf secteurs ; d'autres superviseurs sont désignés pour les autres secteurs. Identifiez le superviseur compétent pour votre organisation.
La panoplie d'outils de répression est vaste et comprend :
- une analyse de sécurité ou un audit de sécurité ;
- une instruction contraignante ;
- une ordonnance d’exécution administrative ou une ordonnance assortie d’une pénalité ;
- publication d'une infraction ;
- une amende administrative ;
- Pour les entités essentielles : suspension d'une certification, d'une autorisation ou d'un membre du conseil d'administration.
Pour les entités essentielles, l'amende maximale est d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Pour les entités importantes, elle est d'au moins 7 millions d'euros ou 1.4 % du chiffre d'affaires annuel mondial, là encore le montant le plus élevé étant retenu. Le montant définitif dépend des circonstances de l'affaire, notamment de la nature, de la gravité et de la durée de l'infraction, du degré de responsabilité et des mesures prises.
Que peut faire votre organisation maintenant ?
- Procédez à une auto-évaluation. Déterminez si l'organisation est active dans un secteur désigné et si elle remplit les conditions de taille requises.
- Déterminez la catégorie appropriée. Établissez si l'organisation remplit les conditions requises pour être considérée comme une entité essentielle ou importante, et quel superviseur est compétent.
- Préparez votre inscription. Rassemblez les données nécessaires à votre inscription auprès du NCSC via MijnNCSC.
- Tester les mesures de diligence raisonnable. Évaluer les mesures existantes en matière d'analyse des risques, de réponse aux incidents, de continuité des activités, de sécurité de la chaîne d'approvisionnement, de cybersécurité, de vulnérabilités, d'authentification multifacteurs et de cryptographie.
- Mettez en place la procédure de notification. Consignez qui évalue si un incident doit être notifié, qui effectue la notification et comment les délais de 24 heures, 72 heures et un mois sont respectés.
- Impliquez clairement le conseil d'administration. Consignez les décisions prises par le conseil, les formations suivies et les modalités de contrôle de la mise en œuvre.
- Incluez la chaîne d'approvisionnement. Une grande partie des vulnérabilités ne proviennent pas de l'organisation elle-même, mais des fournisseurs et prestataires de services. Examinez vos contrats concernant les dispositifs de sécurité, les obligations de notification et les droits d'audit.
En terminant
La loi sur la cybersécurité et la loi sur la résilience des entités critiques renforcent considérablement les obligations en matière de cybersécurité. Un champ d'application élargi, des mesures concrètes de vigilance, des délais de notification stricts, la responsabilité personnelle des dirigeants et un arsenal d'outils de contrôle conséquent impliquent que les organisations ne peuvent ignorer ce sujet. Leur entrée en vigueur étant prévue le 15 août 2026, le temps de préparation est limité.
Law & More aide les entreprises, les dirigeants et les responsables de la conformité à déterminer leur position au regard de la norme NIS2 et de la loi néerlandaise sur la cybersécurité, à mettre en place et à tester les mesures de diligence raisonnable, à préparer l'enregistrement auprès du NCSC et à intégrer juridiquement la politique de cybersécurité.
Souhaiteriez-vous que la position de votre organisation au regard des nouvelles règles soit évaluée ? N’hésitez pas à nous contacter pour une discussion sans engagement.
Foire aux questions
Vous trouverez ci-dessous les réponses aux questions qui nous sont le plus souvent posées à ce sujet.
Quand la loi néerlandaise sur la cybersécurité entrera-t-elle en vigueur ?
Le 15 août 2026. Le Sénat a approuvé la loi sur la cybersécurité et la loi sur la résilience des entités critiques le 7 juillet 2026. À son entrée en vigueur, la loi actuelle sur la sécurité des réseaux et des systèmes d'information (Wbni) devient caduque.
Mon organisation relève-t-elle du régime NIS2 ?
Cela dépend de votre secteur d'activité et de la taille de votre entreprise. Le NIS2 couvre dix-huit secteurs désignés et, au sein de ces secteurs, concerne généralement les organisations comptant au moins 50 employés ou dont le chiffre d'affaires annuel ou le total du bilan dépasse 10 millions d'euros. Certaines entités sont couvertes quelle que soit leur taille.
Serais-je informé si mon organisation est concernée ?
Non. Il incombe aux organisations d'évaluer elles-mêmes si elles sont soumises à la loi sur la cybersécurité. Attendre risque de les exposer à des obligations avant même que cette évaluation n'ait été effectuée.
Quelle est la différence entre une entité essentielle et une entité importante ?
Elle détermine l'intensité du contrôle et le montant des amendes potentielles. Les entités essentielles font l'objet d'un contrôle proactif, l'autorité de contrôle pouvant effectuer des vérifications de sa propre initiative. Les entités importantes font l'objet d'un contrôle réactif, déclenché par un incident, une plainte ou tout autre signal.
En quoi consiste le devoir de diligence ?
Vous devez prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques liés à votre réseau et à vos systèmes d'information, notamment en matière d'analyse des risques, de gestion des incidents, de continuité d'activité, de sécurité de la chaîne d'approvisionnement, de cybersécurité, de vulnérabilités, d'authentification multifacteurs et de cryptographie. Vous devez être en mesure de justifier la pertinence des mesures choisies.
Quels sont les délais de notification applicables après un incident ?
Une alerte précoce sous 24 heures, une notification officielle sous 72 heures avec une première évaluation de la gravité et de l'impact, et un rapport final sous un mois maximum. Mettez en place la procédure de notification à l'avance.
Mon organisation doit-elle s'enregistrer ?
Oui. L'inscription au registre national des entités est obligatoire à compter du 15 août 2026 et s'effectue via MijnNCSC, par le biais d'eHerkenning ou, pour les organismes du secteur public, via SSOnRijk. Tout changement doit être signalé dans un délai de quatorze jours. Une fois inscrit, vous pourrez vous connecter aux services de votre CSIRT.
Quelle responsabilité incombe au conseil d'administration ?
Le conseil d'administration doit approuver les mesures de sécurité, superviser leur mise en œuvre, être en mesure d'évaluer les cyber-risques et suivre lui-même des formations. La directive prévoit la responsabilité personnelle des dirigeants en cas de non-respect des règles ; il est donc impératif de consigner de manière vérifiable les décisions, les formations et les activités de supervision.
Quel est le montant des amendes ?
Pour les entités essentielles, le seuil minimal est de 10 millions d'euros ou de 2 % du chiffre d'affaires annuel mondial ; pour les entités importantes, il est d'au moins 7 millions d'euros ou de 1.4 %, le montant le plus élevé étant retenu. Le seuil final dépend de plusieurs facteurs, notamment la nature, la gravité et la durée de l'infraction, ainsi que le degré de responsabilité.
Qui supervise la conformité ?
Cela varie selon le secteur. À compter du 15 août 2026, l'Autorité néerlandaise pour l'infrastructure numérique supervisera les organisations dans neuf secteurs ; d'autres organismes de supervision sont désignés pour les autres secteurs. Veuillez identifier l'organisme de supervision compétent pour votre organisation.
Pourquoi les Pays-Bas ont-ils été déférés devant la Cour de justice ?
Concernant la transposition tardive de la norme NIS2, la Commission européenne a décidé, le 8 juillet 2026, de saisir la Cour de justice de l'Union européenne contre les Pays-Bas, ainsi que l'Irlande, l'Espagne et la France, pour défaut de notification des mesures de transposition. L'adoption de la loi sur la cybersécurité la veille ne met pas fin à cette procédure.
Cela s'applique-t-il également à mes fournisseurs ?
La sécurité de la chaîne d'approvisionnement relève du devoir de vigilance. Une grande partie des vulnérabilités provient des fournisseurs et des prestataires de services. Examinez vos contrats concernant les dispositifs de sécurité, les obligations de notification et les droits d'audit.
