Obligations en matière de cybersécurité : ce qu’exigent le RGPD et la Cbw

Toute entreprise néerlandaise traitant des données personnelles est tenue de les sécuriser conformément à l'article 32 du RGPD et de signaler toute violation de données à l'Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens, AP) dans un délai de 72 heures, conformément à l'article 33 du RGPD. Par ailleurs, depuis le 15 août 2026, plus de 8 000 organisations essentielles et importantes doivent également se conformer à la loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet, Cbw), transposition de la directive européenne NIS2 ; les banques et autres établissements financiers sont, quant à eux, soumis à la DORA (Digital Operations and Accountability Act) en la matière.

Que prévoit le RGPD en matière de sécurité des données ?

Des mesures techniques et organisationnelles appropriées, évaluées au regard des meilleures pratiques, du coût de leur mise en œuvre et des risques pour les personnes concernées (article 32 du RGPD), doivent être mises en place. Les exigences varient selon qu'il s'agit d'un cabinet de deux personnes ou d'une entreprise traitant des données de santé à grande échelle ; le niveau de risque est plus élevé.

L'autorité de contrôle s'attend à des mesures classiques : contrôle d'accès et authentification multifacteurs, chiffrement des appareils et des sauvegardes, application des correctifs, journalisation et procédure de restauration éprouvée. Ce qui vous permettra de passer l'examen avec succès, c'est que ces mesures aient été documentées et vérifiées avant tout incident.

Quand faut-il signaler une violation de données ?

Dans les 72 heures suivant la découverte de la violation, vous devez en informer l'autorité de protection des données (AP), sauf si cette violation est peu susceptible d'entraîner un risque pour les personnes concernées (article 33 du RGPD). Si le risque est élevé, vous devez également les en informer sans délai indu (article 34 du RGPD).

Le délai court à partir de la prise de conscience, et non de la fin de l'enquête. Par conséquent, une procédure de gestion des incidents (qui décide, qui est contacté, ce qui est consigné) est plus importante qu'un simple contrôle technique. Conformément à l'article 33, paragraphe 5, du RGPD, vous devez consigner en interne chaque violation de données, même celles que vous ne signalez pas, en précisant les motifs de cette décision.

Qu’apporte le système de cybersécurité ?

L’enregistrement, l’obligation de vigilance et le signalement des incidents sont obligatoires pour les organisations de 18 secteurs, tels que l’énergie, les transports, la santé, les infrastructures numériques et l’administration publique. La loi sur la résilience des entités critiques (Cbw) et la loi sur la résilience des entités critiques (Wet weerbaarheid kritieke entiteiten) sont entrées en vigueur le 15 août 2026. Les organisations concernées doivent s’enregistrer auprès du Centre national de cybersécurité (NCSC), mettre en œuvre des mesures de gestion des risques et signaler les incidents importants à l’équipe d’intervention en cas de crise (CSIRT) et à leur autorité de tutelle sectorielle dans les délais légaux.

Le conseil d'administration doit approuver et superviser ces mesures et posséder les connaissances et la formation nécessaires ; il ne peut se contenter de déléguer cette responsabilité au service informatique. Quelques jours après l'entrée en vigueur de la réglementation, seules 3 200 organisations sur plus de 8 000 étaient enregistrées. Vérifiez donc dès maintenant votre inscription afin de savoir si vous êtes concerné.

Comment cela atteint-il les organisations qui ne relèvent pas de la Cbw ?

Par le biais de contrats. Les grands clients imposent de plus en plus d'exigences en matière de sécurité, de droits d'audit et de délais de notification des violations de données. Un accord de traitement des données au sens de l'article 28 du RGPD est obligatoire dès lors que des données personnelles sont traitées pour le compte d'un tiers. De nombreuses entreprises néerlandaises se conforment à ces normes suite à une exigence d'un client visé par la Cbw.

Qui peut déposer une réclamation après un incident ?

L'autorité de contrôle compétente peut infliger une amende allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial en vertu de l'article 83 du RGPD ; les particuliers peuvent prétendre à une indemnisation en vertu de l'article 82 du RGPD ; les clients sont parties au contrat ; et les groupes peuvent intenter une action collective en vertu de la loi WAMCA. La prise en charge par votre assurance dépend des termes de votre contrat et de votre capacité à prouver que les mesures convenues ont été mises en œuvre.

Que devez-vous vérifier en tant qu'organisation relevant du champ d'application de la Cbw ?

• Vous êtes-vous inscrit auprès du NCSC ?
• Le conseil d'administration a-t-il approuvé les mesures de gestion des risques et la formation a-t-elle été achevée ?
• Connaissez-vous les seuils de votre secteur en matière d'incident grave et à qui devez-vous faire un rapport ?
• Vos contrats fournisseurs imposent-ils des obligations de sécurité et de notification ?
• Pouvez-vous également signaler une violation de données personnelles à l'AP dans un délai de 72 heures ?

Que devez-vous vérifier en tant que fournisseur de telles organisations ?

• Quelles sont les exigences de sécurité et les droits d'audit imposés par votre contrat client ?
• Dans quel délai devez-vous informer votre client d'un incident ?
• Existe-t-il un accord de traitement des données à caractère personnel au sens de l'article 28 du RGPD ?
• Votre responsabilité en cas d'incident est-elle plafonnée, et votre assurance la couvre-t-elle ?

Que pouvons-nous faire pour vous en matière d'obligations de cybersécurité ?

Nos avocats spécialisés en droit des technologies de l'information vous conseillent sur les aspects juridiques de la cybersécurité. Nous pouvons :

• Déterminez si votre organisation entre dans le champ d'application de la Cbw.
• Rédiger ou examiner les accords de traitement et les clauses de sécurité dans les contrats fournisseurs.
• Rédigez votre procédure de notification des incidents et des violations de données.
• Gérer la notification de violation et la correspondance avec le point de contact.
• Conseiller sur la responsabilité envers les clients et les particuliers après un incident.

Résumé

• L’article 32 du RGPD exige que chaque organisme traitant des données à caractère personnel mette en œuvre des mesures de sécurité adaptées à l’état des connaissances et au risque.
• Une violation de données doit normalement être signalée à l'AP dans les 72 heures suivant sa découverte.
• Depuis le 15 août 2026, la Cbw ajoute des obligations d'enregistrement, de gestion des risques et de signalement des incidents pour plus de 8 000 organisations, avec une responsabilité du conseil d'administration.
• Un incident peut donner lieu à des réclamations de la part du prestataire de services, de particuliers, de clients et à des actions collectives.