La Cyberbeveiligingswet (Cbw) : guide de conformité étape par étape

La Cbw et le Cyberbeveiligingsbesluit s'appliquent depuis le 15 août 2026. Ce guide vous accompagne de la définition du périmètre et de l'enregistrement auprès du NCSC à la zorgplicht, la meldplicht et les obligations du conseil d'administration.

Ce guide s'adresse aux RSSI, responsables de la conformité, conseillers juridiques et directeurs d'organisations néerlandaises, ainsi qu'aux groupes ayant des entités néerlandaises. À la fin, vous disposerez d'une décision de définition du périmètre, d'un enregistrement confirmé, d'une analyse des écarts par rapport au Cbb, d'une procédure de notification d'incidents opérationnelle et d'un dossier de gouvernance du conseil qu'une autorité de contrôle peut consulter.

La Cbw remplace la Wet beveiliging netwerk- en informatiesystemen (Wbni) et transpose la NIS2. Selon le gouvernement, plus de 8 000 organisations dans 18 secteurs ont des obligations en vertu de celle-ci, tandis que la Wwke (la directive CER) couvre environ 500 entités critiques désignées.^[1].

Avant de commencer

Désignez un responsable du programme (souvent le CISO ou le responsable de la conformité) et un directeur sponsor. Rassemblez votre structure d'entité juridique, les numéros de la Chambre de Commerce (KvK), l'effectif et les chiffres financiers par entité, une liste des services que vous fournissez et vos détails de réseau public. MijnNCSC utilise eHerkenning au niveau EH2+ avec un mandat, vérifiez donc qui détient cette autorisation.^[4].

Étape 1 : Déterminez si vous êtes concerné et en tant que quel type d'entité.

Le Cbw s'appuie sur l'auto-évaluation : l'organisation décide si elle relève de la loi et si elle est une entité essentielle (essentiële entiteit) ou une entité importante (belangrijke entiteit). Personne ne vous enverra de lettre au préalable. Le test combine le secteur et la taille (définition PME de l'UE). En règle générale, les petites entreprises (moins de 50 salariés et chiffre d'affaires ou total du bilan inférieur à 10 millions EUR) sont hors du champ d'application, mais certains types d'entité sont couverts indépendamment de la taille^[7]. Les communes, provinces, conseils de l'eau et arrangements conjoints (gemeenschappelijke regelingen) sont classés comme entités essentielles.

• Associez chaque entité juridique aux secteurs et sous-secteurs des annexes I et II de NIS2. Utilisez l'outil de décision du NCSC comme vérification croisée.
• Appliquez le test de taille par entité, en tenant compte des entreprises partenaires et liées comme l'exige la définition des PME.
• Vérifiez si une entité est désignée comme entité critique en vertu de la Wwke ; les entités critiques sont des entités essentielles en vertu de NIS2.

Étape 2 : Enregistrez-vous dans le registre des entités du NCSC.

L'obligation d'enregistrement (registratieplicht) s'applique depuis le 15 août 2026, et le NCTV déclare que les organisations elles-mêmes sont responsables de l'enregistrement dans les délais^[5]. L'enregistrement s'effectue dans le registre national des entités tenu par le NCSC, via MijnNCSC. Vous fournissez les données de l'organisation, les coordonnées et les détails du réseau tels que les plages d'adresses IP publiques, les noms de domaine et les numéros AS. Le Cbb (article 27) ajoute des éléments tels que la catégorie d'entité et le numéro KvK ou équivalent ; les organismes publics utilisent leur code dans le Register van Overheidsorganisaties^[2]. Les modifications doivent être signalées via MijnNCSC dans un délai de 14 jours.^[4].

• Si vous ne vous êtes pas encore enregistré, faites-le maintenant : l'obligation est déjà en vigueur.
• Désignez un responsable pour maintenir l'enregistrement à jour et ajoutez une vérification du registre à votre processus de modification pour les nouveaux domaines et plages d'adresses IP.

Étape 3 : Identifiez votre autorité de contrôle et votre CSIRT

La supervision aux Pays-Bas est sectorielle. L'aperçu du NCSC énumère, entre autres, la Rijksinspectie Digitale Infrastructuur (RDI) pour l'infrastructure numérique, l'énergie, l'administration, les fournisseurs numériques, la gestion des services informatiques, l'espace, les services postaux et la fabrication ; l'Inspectie Leefomgeving en Transport (ILT) pour les transports, l'eau potable, les eaux usées, la gestion des déchets, les produits chimiques et la météorologie ; la DNB pour le secteur bancaire ; l'AFM pour l'infrastructure des marchés financiers ; la NVWA pour l'alimentation ; et l'ANVS pour le secteur nucléaire^[6]. Pour la santé, le ministère de la VWS renvoie à la supervision par l'Inspectie Gezondheidszorg en Jeugd (IGJ). Le NCSC agit en tant que CSIRT pour la plupart des secteurs et est explicitement un point de contact pour le soutien, non pour la supervision. Le NCTV est responsable de la loi et de son interprétation nationale.

• Enregistrez votre autorité de contrôle et votre CSIRT par entité.
• Consultez le Cyberbeveiligingsregeling (règlement ministériel) de votre secteur, qui fixe les seuils d'incident et peut ajouter des exigences. Pour l'administration, la Baseline Informatiebeveiliging Overheid (BIO2) précise le devoir de diligence.

Étape 4 : Effectuer une analyse d'écart par rapport aux mesures du Cbb

Le zorgplicht (devoir de diligence) exige des mesures appropriées et proportionnées, fondées sur une analyse des risques, pour gérer les risques pour votre réseau et vos systèmes d'information. Le Cbb transforme cela en un minimum concret : l'article 5 oblige les entités à prendre au moins les mesures énumérées aux articles 6 à 18^[3]. Celles-ci couvrent une politique de sécurité de l'information avec des rôles définis (art. 6), la gestion des risques avec méthodologie et critères d'acceptation (art. 7), la gestion des incidents et la journalisation (art. 8), la continuité des activités, les sauvegardes et la gestion de crise (art. 9), la sécurité de la chaîne d'approvisionnement (art. 10), l'acquisition, le développement et la gestion des changements sécurisés (art. 11), l'hygiène de la cybersécurité et la formation (art. 12), la cryptographie (art. 13), la sécurité du personnel (art. 14), le contrôle d'accès (art. 15), la gestion des actifs (art. 16), le traitement des informations sur les vulnérabilités et les menaces (art. 17) et l'évaluation périodique des mesures (art. 18).

La structure suit l'annexe du règlement d'exécution (UE) 2024/2690. Pour les prestataires numériques couverts par ce règlement (tels que les fournisseurs de services en nuage, de centres de données et de services de sécurité gérés), l'article 4 du Cbb désapplique les articles 6 à 18 car le règlement de l'UE s'applique directement.

• Évaluez chaque article du Cbb (ou exigence du 2024/2690) comme satisfait, partiellement satisfait ou non satisfait, avec preuves, en ajoutant les exigences sectorielles.
• Priorisez les écarts par risque, non par ordre d'article.

Le modèle d'accompagnement inclut la liste de contrôle complète, avec une ligne par mesure du Cbb et les références correspondantes de NIS2 et du 2024/2690.

Étape 5 : Construire l'analyse des risques qui pilote les mesures

L'article 7 du Cbb exige une politique de gestion des risques avec une méthodologie, des critères d'acceptation, une analyse des risques et un aperçu des risques dont découlent les exigences de sécurité. En pratique : un registre des risques vivant, tous risques confondus, dans lequel chaque risque est associé aux mesures qui le traitent, afin que la proportionnalité puisse être expliquée.

Étape 6 : Mettre en place la procédure de signalement des incidents (meldplicht)

Les incidents importants doivent être signalés via le point de signalement central sur MijnNCSC, qui transmet le rapport à la fois à votre CSIRT et à votre autorité de contrôle^[8]. Les délais courent à partir du moment où vous avez connaissance de l'incident.

Rapport	Délai	Contenu
Alerte précoce	Dans les 24 heures	Si l'incident est probablement causé par une action malveillante et s'il peut avoir un impact transfrontalier ; coordonnées de contact. Le Cbb (art. 24) ajoute des éléments tels que l'heure probable de début, le délai de récupération attendu et les mesures d'atténuation.
Notification d'incident	Dans les 72 heures (24 heures pour les prestataires de services de confiance)	Mise à jour de l'alerte précoce, évaluation initiale de la gravité et de l'impact, indicateurs de compromission le cas échéant.
Rapport de progression	Après un mois, si l'incident est toujours en cours	État à ce moment.
Rapport final	Dans un délai d'un mois	Description, cause première, mesures prises, impact transfrontalier.

Le CSIRT ou l'autorité de contrôle peut également demander des mises à jour intermédiaires. L'importance dépend des seuils sectoriels dans les arrêtés ministériels ; les entités DORA peuvent signaler par la voie DORA à la place.

• Intégrez vos seuils sectoriels dans la procédure d'incident et nommez qui décide de l'importance et qui soumet, avec des suppléants.
• Menez un exercice de simulation à travers le cycle complet 24h/72h/un mois.

Étape 7 : Confier la responsabilité au conseil d'administration, sur le papier et dans la pratique

L'article 24 de la Cbw rend l'organe de direction responsable de l'approbation des mesures de diligence requise et de la surveillance de leur mise en œuvre. Chaque membre du conseil doit posséder des connaissances et compétences suffisantes pour évaluer les risques cyber et les mesures, maintenir ces connaissances à jour et pouvoir présenter un certificat de formation. Les membres du conseil en fonction doivent satisfaire à cette exigence dans les deux ans suivant l'entrée en vigueur, soit avant le 15 août 2028, et les nouveaux membres dans les deux ans suivant leur nomination^[9]. Le Cbb (articles 20 à 22) définit le contenu de la formation : l'identification des risques et les mesures de gestion des risques prévues par la loi. Le certificat doit indiquer le nom du membre du conseil, la ou les dates, les sujets et le prestataire, en néerlandais ou en anglais.^[3].

Une mise en œuvre personnelle à l'encontre des membres du conseil est possible : une ordonnance assortie d'une astreinte (last onder dwangsom) et une amende administrative (bestuurlijke boete) pouvant atteindre 25 000 EUR en cas de manquement aux obligations de connaissance, de mise à jour ou de certification, et, pour les entités essentielles qui n'exécutent pas une mesure imposée dans les délais, une suspension d'un membre du conseil ordonnée par le tribunal.^[9].

• Faites approuver formellement par le conseil d'administration les mesures et le plan de remédiation, et consignez-le au procès-verbal.
• Faites de la cybersécurité un point récurrent de l'ordre du jour et conservez les certificats de formation de manière centralisée.

Étape 8 : Se préparer à la supervision

Les entités essentielles font l'objet d'une supervision proactive (ex ante) ; les entités importantes sont supervisées de manière réactive (ex post), généralement après un incident ou un signal^[7]. Les amendes administratives maximales s'élèvent à 10 millions d'EUR ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles et 7 millions d'EUR ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Les autorités de contrôle peuvent également émettre des instructions contraignantes et fixer des délais pour remédier aux lacunes.

• Constituer un dossier de preuves par article du Cbb qu'un tiers peut suivre, avec un journal des choix de proportionnalité.
• Planifier l'évaluation périodique requise par l'article 18 du Cbb, au moins une fois par an.

Dans Secrato, les étapes 4 à 8 sont mises en correspondance avec un ensemble de contrôles : une mesure Cbb évaluée une fois sert également de preuve pour les exigences NIS2, ISO/IEC 27001 et CyFun connexes.

Comment cela se connecte à d'autres référentiels

Les mesures du Cbb suivent l'article 21 de NIS2 et l'annexe du règlement 2024/2690, qui s'inspirent largement de l'annexe A d'ISO/IEC 27001. Un SMSI fonctionnel couvre la plupart des articles 6 à 18 ; vérifiez séparément la formation du conseil, les délais de meldplicht et les spécificités de la chaîne d'approvisionnement. Les entités DORA suivent DORA pour la gestion du risque lié aux TIC et la déclaration des incidents.

Questions fréquemment posées

Y a-t-il un délai de grâce pour l'enregistrement ou la conformité ?

Non pour l'enregistrement : le NCTV indique qu'il s'applique à partir du 15 août 2026. La seule transition explicite que nous avons trouvée est la fenêtre de deux ans pour la formation du conseil d'administration. Les autorités de contrôle peuvent fixer des priorités en pratique, mais au moment de la rédaction, il n'existe pas de délai de grâce général publié.

Devons-nous signaler à la fois au CSIRT et à l'autorité de contrôle ?

Vous soumettez une fois via MijnNCSC, et le rapport est transmis automatiquement aux deux. Les signalements volontaires vont au CSIRT uniquement.

Nous sommes un fournisseur de services cloud ou de services gérés. Quelles mesures s'appliquent ?

Le règlement d'exécution (UE) 2024/2690 s'applique directement à vous, et les articles 6 à 18 du Cbb ne s'appliquent pas. Les autres obligations de la Cbw, telles que l'enregistrement, la notification et les obligations du conseil d'administration, s'appliquent toujours.

Quels outils aident une entreprise de taille moyenne à se conformer à la Cbw ?

Commencez par une analyse des écarts structurée : notre liste de contrôle de préparation à la Cbw gratuite couvre l'enregistrement, la zorgplicht, la notification et les obligations du conseil d'administration. Pour la maintenir à jour, une plateforme GRC telle que Secrato associe chaque mesure aux contrôles, aux responsables et aux preuves, et conserve les enregistrements d'incidents prêts pour les rapports de 24 heures, 72 heures et un mois.