NIS2 aux Pays-Bas : Que prévoit la loi sur la cybersécurité ?

La transposition néerlandaise de la directive NIS2, la loi sur la cybersécurité ( Cyberbeveiligingswet , Cbw), est en vigueur depuis le 15 août 2026. Elle remplace la loi précédente sur la sécurité des réseaux et des systèmes d'information ( Wet beveiliging netwerk- en informatiesystemen , Wbni) et s'applique aux organisations désignées comme essentielles ou importantes dans dix-huit secteurs, dont l'énergie, l'eau potable, les infrastructures numériques, la santé, les transports, l'administration publique, l'industrie manufacturière, les déchets et les services postaux. Elle concerne environ huit mille organisations aux Pays-Bas.

Trois obligations la définissent. La première est l'obligation de vigilance : toute entité concernée doit prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques liés à son réseau et à ses systèmes d'information, et pour limiter les conséquences des incidents. La deuxième est l'obligation de déclaration : tout incident significatif doit être notifié à l'équipe compétente de réponse aux incidents de sécurité informatique et à l'autorité de surveillance du secteur dans les délais légaux, à savoir une alerte précoce dans les 24 heures, une notification plus complète dans les 72 heures et un rapport final dans un délai d'un mois. La troisième est l'enregistrement auprès du Centre national de cybersécurité (NCSC).

Ce qui distingue la norme NIS2 des réglementations antérieures en matière de cybersécurité, c'est la répartition des responsabilités. Les instances dirigeantes doivent approuver les mesures de gestion des risques et superviser leur mise en œuvre ; elles peuvent être tenues responsables en cas de défaillance et sont soumises à une formation. L'obligation de vigilance s'étend également à la chaîne d'approvisionnement, ce qui implique qu'elle doit se traduire par des contrats avec les fournisseurs et les prestataires de services.

Cet article explique comment déterminer si votre organisation entre dans le champ d'application, ce qu'implique concrètement l'obligation de diligence, comment s'effectuent les délais de déclaration et quelles sont les premières démarches à entreprendre.

Table des Matières

• La réglementation NIS2 s'applique-t-elle à votre organisation ?
  • Quels secteurs et organisations sont concernés ?
  • Qu’exige le devoir de diligence ?
  • Comment fonctionnent l'obligation de signalement et son application ?
• Quels changements pour la direction, le personnel et l'entreprise ?
  • Que signifie NIS2 pour les employés ?
  • Que doit faire l'organe de direction ?
  • Quelles sont les amendes et autres conséquences ?
• Comment devenir conforme à la norme NIS2, étape par étape ?
  • Étape 1 : définir le périmètre et s’inscrire
  • Étape 2 : mettre en place une gouvernance et évaluer les risques
  • Étape 3 : se préparer aux incidents et aux signalements
• Comment gérez-vous NIS2 en pratique ?
  • Comment gérez-vous vos relations avec les fournisseurs et les contrats ?
  • Comment assurez-vous la conformité à jour ?
  • Qu’en est-il du budget, du personnel et des données personnelles ?

NIS2 en bref

La réglementation NIS2 s'applique-t-elle à votre organisation ?

La réglementation NIS2 s'applique si votre organisation exerce ses activités dans l'un des dix-huit secteurs listés et atteint le seuil de taille requis, ou si elle appartient à une catégorie concernée quelle que soit sa taille. La loi sur la cybersécurité est applicable depuis le 15 août 2026 et il n'y a pas de période de transition générale : les obligations s'appliquent dès maintenant.

Les Pays-Bas ont transposé la directive après l'échéance européenne. De nombreux articles anciens font encore référence à une « échéance de 2025 ». Cette date n'est plus d'actualité. L'important est que la réglementation néerlandaise soit en vigueur et que les autorités de contrôle puissent la faire respecter. Seul un groupe restreint d'acteurs, comme les établissements d'enseignement supérieur, bénéficie d'un délai supplémentaire pour se conformer à la réglementation.

Quels secteurs et organisations sont concernés ?

La loi couvre dix-huit secteurs, énumérés dans deux annexes. La première annexe regroupe les secteurs hautement critiques, tels que l'énergie, les transports, la banque, les infrastructures des marchés financiers, la santé, l'eau potable, l'assainissement, les infrastructures numériques, l'administration publique et le spatial. La seconde annexe couvre d'autres secteurs critiques, comme les services postaux et de messagerie, la gestion des déchets, la chimie, l'agroalimentaire, l'industrie manufacturière, les fournisseurs de services numériques et la recherche.

Dans ces secteurs, la taille de l'organisation détermine son applicabilité. Selon le NCSC, votre organisation est concernée si elle remplit au moins un des critères suivants :

• Staff: elle emploie 50 personnes ou plus (en équivalent temps plein)
• Chiffre d'affaires et bilanElle emploie moins de 50 personnes, mais son chiffre d'affaires annuel et le total de son bilan dépassent tous deux 10 millions d'euros.
• le Groupe: les entreprises partenaires et liées sont prises en compte dans ces chiffres, de sorte qu'une petite filiale d'un grand groupe peut également être concernée.

Certaines organisations sont concernées quelle que soit leur taille. Il s'agit notamment des fournisseurs de services DNS, des fournisseurs de réseaux ou de services de communications électroniques publiques, des fournisseurs de services de confiance, des registres de noms de domaine de premier niveau et des organismes gouvernementaux.

Dans son champ d'application, la loi établit une distinction entre entités essentielles et entités importantes. En règle générale, les grandes organisations des secteurs à haute criticité sont considérées comme des entités essentielles ; les autres comme des entités importantes. Cette distinction est importante pour le contrôle et le montant maximal de l'amende. L'Autorité néerlandaise pour l'infrastructure numérique (RDI) met à votre disposition un outil d'auto-évaluation (NIS2-Zelfevaluatie) sur regelhulpenvoorbedrijven.nl pour vous aider à déterminer votre situation. Si le résultat est incertain, par exemple en raison d'une structure de groupe ou d'activités mixtes, faites-le évaluer et consignez les motifs.

Qu’exige le devoir de diligence ?

L’obligation de diligence requiert des mesures appropriées et proportionnées pour gérer les risques liés à votre réseau et à vos systèmes d’information. « Proportionnées » signifie que ces mesures doivent être adaptées à la taille de votre entreprise, à votre exposition au risque et à l’impact potentiel d’un incident sur la société et l’économie.

La directive fixe un seuil minimal à l'article 21, paragraphe 2, de la directive NIS2. En résumé, vos mesures doivent couvrir :

• Une analyse des risques: politiques d'analyse des risques et de sécurité de vos systèmes d'information
• Gestion des incidents: procédures de détection, de gestion et de résolution des incidents
• Continuitécontinuité des activités, sauvegardes, reprise d'activité et gestion de crise
• Supply chain: la sécurité dans vos relations avec les fournisseurs et les prestataires de services
• Développement et maintenance: la sécurité lors de l'acquisition, du développement et de la maintenance des systèmes, y compris la gestion des vulnérabilités
• Tests: procédures permettant d'évaluer l'efficacité de vos mesures
• Hygiène et formation: formation de base en cybersécurité et en hygiène informatique pour le personnel
• Cryptographie et accès: l'utilisation du chiffrement, la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs, y compris l'authentification sécurisée

La loi n'impose pas de norme spécifique. De nombreuses organisations s'appuient sur un cadre de sécurité de l'information existant pour structurer leurs mesures. Ce qui importe au superviseur, c'est de savoir si vous pouvez démontrer que vos mesures reposent sur une évaluation des risques et qu'elles sont effectivement efficaces.

Comment fonctionnent l'obligation de signalement et son application ?

Tout incident grave doit être signalé en trois étapes : une alerte précoce dans les 24 heures, une notification d’incident dans les 72 heures et un rapport final dans un délai d’un mois. Vous devez le signaler à l’équipe compétente de réponse aux incidents de sécurité informatique (CSIRT) et à votre responsable hiérarchique.

L'alerte de 24 heures est brève et n'a pas besoin d'être exhaustive. Elle signale principalement un événement en cours et indique s'il peut s'agir d'une intention malveillante ou d'effets transfrontaliers. La notification de 72 heures permet une première évaluation de la gravité et de l'impact. Le rapport final décrit la cause, les mesures prises et les éventuelles conséquences transfrontalières.

La supervision est sectorielle. Selon vos activités, votre autorité de supervision peut être, par exemple, l'Inspection de l'environnement humain et des transports (ILT), la Banque centrale des Pays-Bas (DNB), l'Autorité néerlandaise des marchés financiers (AFM), l'Inspection de la santé et de la protection de l'enfance (IGJ), l'Autorité néerlandaise de sécurité des aliments et des produits de consommation (NVWA) ou le RDI. Les autorités de supervision disposent de pouvoirs de contrôle, notamment celui d'imposer des amendes administratives.

Quels changements pour la direction, le personnel et l'entreprise ?

Le changement le plus important est que la cybersécurité n'est plus la seule responsabilité du service informatique. NIS2 en confie la responsabilité à la direction et attend de l'ensemble de l'organisation, y compris le personnel et les fournisseurs, qu'elle y contribue.

Cela ne signifie pas que chaque employé se voit attribuer de nouvelles obligations légales. Ces obligations incombent à l'organisation. Toutefois, celle-ci ne peut les remplir que si les employés savent ce que l'on attend d'eux ; c'est pourquoi la formation et des règles internes claires font partie intégrante du devoir de diligence.

Que signifie NIS2 pour les employés ?

La loi NIS2 ne crée pas de nouveaux droits ni d'obligations individuelles pour les employés ; ces obligations incombent à l'organisation. En pratique, l'employeur doit toutefois traduire son devoir de diligence en règles et en formations pour son personnel.

La formation de base en matière d'hygiène et de sécurité informatique fait partie des mesures minimales. Cela signifie que vos employés doivent, par exemple :

• Conscience et rigueur.Participez à une formation sur le phishing, les mots de passe et la sécurité au travail.
• Rapports internes: savoir comment et à qui signaler un incident ou une vulnérabilité suspectée, afin de respecter le délai de 24 heures
• L’accès: utiliser une authentification sécurisée et n'avoir accès qu'aux systèmes nécessaires à leur travail

Consignez ces règles dans un règlement intérieur ou un manuel du personnel. Si vous mettez en place un nouveau système de surveillance des systèmes ou du comportement des employés, vérifiez les règles relatives à la protection de la vie privée et, le cas échéant, le rôle du comité d'entreprise ( undernemingsraad ).

Que doit faire l'organe de direction ?

L’organe de direction doit approuver les mesures de gestion des risques de cybersécurité et superviser leur mise en œuvre. Ses membres doivent suivre une formation afin de posséder les connaissances nécessaires pour évaluer les risques et les mesures appropriées. En cas de manquement de l’organisation, l’organe de direction peut être tenu responsable.

Concrètement, cela signifie que le conseil d'administration ne peut plus se contenter de déléguer la cybersécurité. Les administrateurs doivent :

• Décide: approuver formellement l'évaluation des risques et les mesures, et consigner cette décision
• Superviser: recevoir des rapports réguliers sur l'état des mesures et sur les incidents
• ApprendreSuivez les formations et maintenez vos connaissances à jour.
• Attribuer: s'assurer que le budget, le personnel et les rôles sont suffisants et clairement définis

La responsabilité personnelle d'un administrateur en cas de dommages dépend des règles générales du droit des sociétés néerlandais et des circonstances de l'espèce. Une prise de décision claire et une documentation adéquate permettent de démontrer que le conseil d'administration a pris son rôle au sérieux.

Quelles sont les amendes et autres conséquences ?

Les autorités de contrôle peuvent infliger des amendes allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial aux entités essentielles, et jusqu'à 7 millions d'euros ou 1.4 % aux entités importantes, le montant le plus élevé étant retenu. Il s'agit de montants maximums ; l'amende effective dépend de la gravité de l'infraction et des circonstances.

Les amendes ne sont pas le seul risque. Un superviseur peut également recourir à d'autres mesures coercitives pour vous contraindre à respecter la réglementation. Un incident grave peut aussi entraîner des réclamations de clients ou de partenaires commerciaux, des conséquences contractuelles avec les fournisseurs et une atteinte à votre réputation. Une bonne préparation vous protège donc à plusieurs égards.

Comment devenir conforme à la norme NIS2, étape par étape ?

Commencez par déterminer si et comment la loi s'applique à votre situation, puis enregistrez-vous, mettez en place une gouvernance et prenez les mesures découlant de votre évaluation des risques. La loi étant déjà en vigueur, il est judicieux de s'attaquer d'abord aux obligations fondamentales, puis de progresser graduellement.

Les étapes ci-dessous donnent un ordre pratique. Elles ne constituent pas une obligation légale en soi, mais elles suivent la structure des obligations.

Étape 1 : définir le périmètre et s’inscrire

Commencez par déterminer si votre organisation est concernée et si elle est considérée comme essentielle ou importante. Utilisez l’outil d’auto-évaluation RDI et cochez votre secteur d’activité, votre taille et vos éventuelles affiliations à un groupe.

Points à noter à cette étape :

• Secteur: lesquelles de vos activités relèvent de l'un des dix-huit secteurs
• Taille: votre nombre d'employés, votre chiffre d'affaires et le total de votre bilan, y compris les entreprises associées et liées
• Classification: si vous êtes une entité essentielle ou importante, et quel superviseur est compétent
• Inscription: s'inscrire auprès du NCSC et maintenir cette inscription à jour

Étape 2 : mettre en place une gouvernance et évaluer les risques

Ensuite, il convient d'organiser les responsabilités et de réaliser une évaluation des risques. L'instance dirigeante approuve cette évaluation et les mesures mises en œuvre ; il est donc important de l'impliquer dès le début.

Les étapes pratiques comprennent :

• Rôles: désigner un responsable de la cybersécurité et définir qui relève du conseil d'administration
• InventaireCartographiez vos processus, systèmes, données et fournisseurs critiques.
• L'évaluation des risques: identifier les menaces et les vulnérabilités et évaluer leur impact probable
• Formation: planifier la formation de l'équipe de direction et du personnel

Étape 3 : se préparer aux incidents et aux signalements

Enfin, assurez-vous de pouvoir détecter un incident, le gérer et le signaler à temps. Le délai de 24 heures ne laisse aucune marge de manœuvre pour élaborer la procédure en situation de crise.

Assurez-vous que vous avez:

• Plan de réponse aux incidents: qui fait quoi en cas d'incident, y compris les experts externes
• procédure de signalement: qui décide de la gravité d'un incident et qui en fait rapport au CSIRT et au superviseur
• Gabarits: modèles préparés pour l'alerte précoce, la notification et le rapport final
• Tests: des exercices et des vérifications régulières pour s'assurer que vos sauvegardes et votre restauration fonctionnent correctement.

Consignez les incidents, les décisions et les rapports. Ce registre vous permet de respecter votre obligation de rapport et montre à votre supérieur comment vous avez géré la situation.

Comment gérez-vous NIS2 en pratique ?

La conformité à la norme NIS2 n'est pas un projet ponctuel. Les menaces, les systèmes et les fournisseurs évoluent ; il est donc essentiel de revoir régulièrement votre évaluation des risques et vos mesures. Les questions pratiques ci-dessous permettent souvent de déterminer si la conformité est efficace au quotidien.

Comment gérez-vous vos relations avec les fournisseurs et les contrats ?

Votre obligation de vigilance s'étend à votre chaîne d'approvisionnement ; vous devez donc également gérer les risques de cybersécurité de vos fournisseurs et prestataires de services. En pratique, cela se fait principalement par le biais de contrats.

Les points à aborder dans les contrats fournisseurs sont les suivants :

• Exigences de sécurité: les mesures que le fournisseur doit prendre, conformément à votre propre évaluation des risques
• Notification d'incident: un délai court imparti au fournisseur pour vous informer des incidents, afin que vous puissiez respecter vos propres délais de déclaration
• Audit et information: votre droit de demander des informations et de faire vérifier la conformité
• Sous-traitant: règles relatives au recours à la sous-traitance et au transfert des obligations
• Responsabilité et résiliationQue se passe-t-il si le fournisseur ne respecte pas ses obligations, et comment mettre fin à la relation ?

Commencez par examiner vos contrats actuels avec vos principaux fournisseurs de services et de services informatiques. Les nouveaux contrats peuvent inclure d'emblée des clauses NIS2 standard.

Comment assurez-vous la conformité à jour ?

Planifiez des revues régulières de votre évaluation des risques et de vos mesures de prévention, et mettez-les à jour après tout incident, modification importante de vos systèmes ou nouvelle directive de votre supérieur. Vérifiez l'efficacité de vos mesures, par exemple au moyen d'audits internes, d'exercices ou de tests techniques.

Les étapes pratiques comprennent :

• Cycle de révision: fixer un moment précis, par exemple une fois par an, pour que le conseil d'administration examine l'évaluation des risques
• Les leçons apprises: analyser chaque incident et adapter vos mesures en conséquence
• Documentation: tenez à jour vos politiques, décisions et résultats de tests afin de pouvoir montrer à un superviseur ce que vous avez fait.
• Le MonitoringSuivez les directives du NCSC et de votre superviseur de secteur.

Qu’en est-il du budget, du personnel et des données personnelles ?

La conformité exige des investissements dans les ressources humaines, les processus et les technologies. La loi ne fixe pas de montant : les mesures doivent être proportionnées à la taille de votre entreprise et à vos risques. Intégrez le budget à la décision du conseil d’administration concernant l’évaluation des risques, afin que le lien entre risques et mesures soit évident.

De nombreuses organisations ont également besoin de connaissances spécialisées qu'elles ne possèdent pas en interne. Un soutien externe peut s'avérer utile, mais la responsabilité incombe à votre organisation et à son organe de direction.

La norme NIS2 recoupe également le Règlement général sur la protection des données (RGPD). Si un incident concerne des données personnelles, une notification distincte à l'Autorité néerlandaise de protection des données ( Autoriteit Persoonsgegevens ) peut être requise. Harmonisez votre procédure NIS2 avec votre procédure de gestion des violations de données afin qu'un même incident n'entraîne pas deux procédures distinctes et non coordonnées.

Prenons un exemple concret : une entreprise de logistique de taille moyenne, comptant 80 employés, découvre un rançongiciel sur son système de planification un vendredi soir. Son plan de gestion des incidents désigne la personne chargée d’évaluer la gravité de l’incident. Cette personne envoie une alerte dans les 24 heures, suivie d’une notification dans les 72 heures et, compte tenu du risque d’impact sur les données clients, détermine également s’il convient de signaler une violation de données. Le rapport final est établi dans un délai d’un mois.

Foire aux questions

En résumé

• La loi sur la cybersécurité, transposition néerlandaise de la norme NIS2, s'applique depuis le 15 août 2026 à environ huit mille organisations dans dix-huit secteurs.
• Votre organisation est généralement couverte si elle compte au moins 50 employés, ou si son chiffre d'affaires et le total de son bilan dépassent tous deux 10 millions d'euros ; certains fournisseurs sont couverts quelle que soit la taille de l'entreprise.
• Les obligations essentielles sont le devoir de diligence, le signalement des incidents importants (24 heures, 72 heures, un mois) et l'inscription auprès du NCSC.
• L'organe de direction approuve et supervise les mesures, assure le suivi des formations et peut être tenu responsable ; la sécurité de la chaîne d'approvisionnement repose en grande partie sur les contrats.
• Les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions d'euros ou 1.4 % pour les entités importantes.

Vous ne savez pas où vous en êtes ? Décrivez-nous votre situation. Nous vous ferons part de vos options sous 24 heures ouvrables.

Comment Law & More Nous pouvons vous aider. Tout est expliqué sur notre site web. avocat en technologies de l'information .