NIS2 et la Cyberbeveiligingswet : mon entreprise est-elle concernée ?

Depuis le 15 août 2026, la Cyberbeveiligingswet (loi sur la cybersécurité) s'applique aux Pays-Bas. Vous avez peut-être déjà entendu le terme NIS2 de la part d'un client, d'un fournisseur ou d'un conseiller. Cet article vous explique brièvement ce qu'est cette loi, qui est concerné et ce qu'elle implique pour une petite entreprise qui n'y est pas elle-même soumise.

Cet article fournit des explications générales et ne constitue pas un avis juridique. Les règles en vigueur sont disponibles auprès du NCSC et dans le texte de loi.

De quoi s'agit-il ?

NIS2 est une directive européenne de 2022 (Directive (UE) 2022/2555) qui vise à renforcer la résilience numérique des organisations dans les secteurs importants. Chaque pays transpose la directive dans sa propre loi. Aux Pays-Bas, il s'agit de la Cyberbeveiligingswet (Cbw). La loi s'applique depuis le 15 août 2026, sans période de transition, et remplace l'ancienne Wet beveiliging netwerk- en informatiesystemen (Wbni). Selon le NCSC, plus de 8 000 organisations y sont soumises. Le NCSC est l'interlocuteur de référence.

Mon entreprise est-elle concernée ?

Cela dépend de deux questions : votre secteur et votre taille.

1. Travaillez-vous dans un secteur visé par la loi ?

Des conditions supplémentaires s'appliquent à certains secteurs. Toute entreprise ayant une activité liée aux denrées alimentaires n'est donc pas automatiquement concernée.

2. Votre entreprise est-elle assez grande ? En résumé, les moyennes et grandes organisations sont concernées. Vous êtes pris en compte si vous :

• comptez 50 collaborateurs (ETP) ou plus, ou
• comptez moins de 50 collaborateurs, mais que votre chiffre d'affaires annuel et votre total de bilan dépassent tous deux 10 millions d'euros.

Les entreprises partenaires et les entreprises liées sont prises en compte. Une entreprise de 20 collaborateurs appartenant à un groupe de 200 personnes peut donc tout de même être concernée.

Exceptions, quelle que soit la taille. Certains types d'organisations sont toujours concernés, aussi petits soient-ils. Par exemple les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les fournisseurs de réseaux et de services de communications électroniques publics, les prestataires de services de confiance et les organismes publics. Si vous êtes désigné au titre de la Wet weerbaarheid kritieke entiteiten (loi sur la résilience des entités critiques), vous relevez également de la Cyberbeveiligingswet.

Vérifier vous-même avec l'auto-évaluation

La Rijksinspectie Digitale Infrastructuur (RDI) propose une auto-évaluation NIS2 gratuite. Vous répondez à des questions sur votre secteur, votre taille et vos services, puis vous obtenez un résultat. Celui-ci indique également si vous êtes une entité essentielle ou une entité importante. La différence porte surtout sur la supervision : pour les entités essentielles, l'autorité de contrôle peut aussi effectuer des contrôles de sa propre initiative, tandis que pour les entités importantes, le contrôle a surtout lieu a posteriori. Votre entreprise fait partie d'un groupe ou vous êtes actif dans plusieurs pays ? Le guide sur les modèles d'entreprise complexes du NCSC peut vous aider.

Que devez-vous faire si vous êtes concerné ?

• Vous enregistrer. Vous inscrivez votre organisation via MijnNCSC.
• Obligation de vigilance. Vous réalisez une analyse des risques et prenez des mesures appropriées et proportionnées. Le NCSC cite au moins dix thèmes, dont la gestion des incidents, les sauvegardes et la restauration, la sécurité de votre chaîne d'approvisionnement, la formation, les mises à jour, la gestion des accès, l'authentification multifacteur ou les passkeys, le chiffrement et le contrôle de l'efficacité de vos mesures. La direction approuve les mesures et en assure le suivi.
• Obligation de notification. Vous signalez un incident significatif via MijnNCSC : une alerte précoce dans les 24 heures, une notification avec une première évaluation de la gravité et de l'impact dans les 72 heures, puis un rapport final dans un délai d'un mois.

Cette notification est distincte de l'obligation de notification des violations de données prévue par le RGPD. Celle-ci s'applique à toute personne qui traite des données personnelles, y compris un travailleur indépendant, et la notification se fait auprès de l'Autoriteit Persoonsgegevens (autorité néerlandaise de protection des données). Pour savoir quand il s'agit d'une violation de données et si vous devez la signaler, consultez S'agit-il d'une violation de données et dois-je la signaler ? Une attaque au cours de laquelle des données clients ont également été volées peut donc devoir être signalée aux deux.

Vous n'êtes pas concerné ? La chaîne peut tout de même vous toucher

La plupart des petites entreprises ne relèvent pas de la loi. Vous n'avez alors aucune obligation d'enregistrement, aucune obligation de notification auprès du NCSC et vous n'êtes soumis à aucune supervision. Toutefois, les organisations qui y sont soumises doivent aussi tenir compte des risques liés à leurs fournisseurs et prestataires directs. Selon le NCSC, la loi n'impose aucune obligation aux fournisseurs eux-mêmes, mais les clients peuvent poser des exigences en matière de sécurité numérique. Celles-ci figurent alors dans un contrat ou un questionnaire.

Vous travaillez pour une organisation plus grande, par exemple en tant que créateur de sites web, gestionnaire informatique ou cabinet comptable ? Vous pourriez recevoir des questions telles que : utilisez-vous la vérification en deux étapes, qui a accès à nos données, où se trouvent les sauvegardes et dans quel délai signalez-vous un incident ?

• Les exigences doivent être proportionnées au risque de votre service. Un fournisseur ayant accès aux systèmes se voit imposer des exigences plus strictes que le boulanger qui livre le déjeuner.
• Il s'agit des fournisseurs directs. Les fournisseurs de vos fournisseurs ne sont pas concernés.
• La loi n'impose aucun certificat. Il peut faciliter les échanges, mais ne constitue pas une garantie.
• Commencez à temps : faites l'inventaire des mesures que vous avez déjà prises et consignez les accords conclus avec votre client.

Pour aller plus loin

• NCSC : Cyberbeveiligingswet (NIS2)
• NCSC : Mon organisation relève-t-elle de la Cyberbeveiligingswet ?
• NCSC : Obligation de vigilance
• NCSC : Obligation de notification
• NCSC : La Cyberbeveiligingswet et les fournisseurs
• RDI : Auto-évaluation NIS2
• Texte de loi de la Cyberbeveiligingswet

Envie d'en savoir plus ? Suivez le cours gratuit Sécurité en ligne pour les entrepreneurs, leçon 9.1 NIS2 et la Cyberbeveiligingswet.