NIS2 aux Pays-Bas : ce que signifie la Cyberbeveiligingswet (Cbw) maintenant qu'elle est en vigueur

La loi NIS2 néerlandaise, la Cyberbeveiligingswet, est entrée en vigueur le 15 août 2026. Voici ce qu'elle exige, qui la supervise et par où commencer si vous ne vous êtes pas encore enregistré.

Après plusieurs reports, la mise en œuvre de la directive NIS2 aux Pays-Bas est enfin opérationnelle. Le Sénat (Eerste Kamer) a approuvé la Cyberbeveiligingswet (Cbw) le 7 juillet 2026, et elle est entrée en vigueur le 15 août 2026, ainsi que la Wet weerbaarheid kritieke entiteiten (Wwke), qui met en œuvre la directive CER de l'UE ^[1][2]. La Cbw remplace la précédente Wet beveiliging netwerk- en informatiesystemen (Wbni) ^[1][3].

Deux mois plus tard, de nombreuses organisations cherchent encore à déterminer si elles entrent dans le périmètre. Voici ce que la loi exige.

Qui est concerné par la Cbw ?

Le gouvernement estime que plus de 8 000 organisations réparties dans 18 secteurs sont couvertes, notamment l'énergie, l'eau potable, les infrastructures numériques, la santé, l'administration publique et les transports ^[1]. Il n'y a pas de lettre de désignation : les organisations doivent évaluer elles-mêmes si la loi s'applique ^[1][2].

Le NCSC décrit un test en deux étapes ^[3]:

1. Secteur et type d'entité. Votre organisation fournit-elle un type de service figurant à l'annexe I (secteurs hautement critiques) ou à l'annexe II (autres secteurs critiques) ?
2. Taille. Répondez-vous aux seuils de taille ? Conformément à la directive, il s'agit généralement d'organisations de taille moyenne (50 salariés ou plus, ou dépassant les seuils de chiffre d'affaires et de bilan de l'UE) et de grandes organisations ^[7][9].

Les entités qui remplissent les critères sont classées comme essentielles ou importantes. Certaines entrent dans le périmètre indépendamment de leur taille, comme les prestataires de services de confiance qualifiés, les registres de domaines de premier niveau et les services d'enregistrement de noms de domaine. Les organisations désignées comme critiques en vertu de la Wwke sont automatiquement essentielles ^[4].

Les structures de groupes internationaux trouvent cela particulièrement difficile, selon les rapports de presse ^[11]. Le RDI oriente les organisations vers un outil d'auto-évaluation gouvernemental comme point de départ ^[10].

En vertu de la Cbw, la cybersécurité n'est plus quelque chose que le conseil délègue et oublie : il approuve les mesures, les supervise et en répond.

Enregistrement auprès du NCSC

L'enregistrement dans le registre national des entités (entiteitenregister) est obligatoire depuis le 15 août 2026 ^[1]. Il se fait via le portail du NCSC, mijn.ncsc.nl, et le NCSC estime que cela prend environ dix minutes si vous vous êtes préparé ^[4]. Vous aurez besoin de ^[4]:

• le nom et l'adresse de l'organisation ;
• les coordonnées à jour, y compris les adresses e-mail, les numéros de téléphone et les plages d'adresses IP ;
• le secteur et le sous-secteur ;
• les États membres de l'UE dans lesquels vous fournissez des services.

L'enregistrement vous donne également accès aux services de votre CSIRT sectoriel ^[1][3].

Incertain : nous n'avons trouvé aucune période de grâce statutaire distincte pour l'enregistrement dans les sources officielles. Traitez l'obligation comme déjà applicable. Selon Het Financieele Dagblad, tel que rapporté en août, environ 3 200 des 8 000 organisations estimées s'étaient enregistrées à ce moment-là ^[11]. Ce chiffre aura changé depuis.

L'obligation de diligence (zorgplicht)

Les entités essentielles et les entités importantes doivent prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour protéger leurs systèmes de réseau et d'information, ainsi que l'environnement physique de ces systèmes ^[5]. La proportionnalité dépend de l'exposition au risque, de la taille, de la probabilité d'incidents et de leur impact sociétal et économique potentiel ^[5].

Le NCSC énumère dix mesures minimales ^[5]:

1. analyse des risques ;
2. sécurité du personnel, contrôle d'accès et gestion des actifs ;
3. continuité des activités ;
4. gestion des incidents, y compris un plan de réponse aux incidents ;
5. hygiène de base en matière de cybersécurité et formation de sensibilisation ;
6. politiques de sécurité des systèmes de réseau et d'information ;
7. sécurité de la chaîne d'approvisionnement ;
8. politique de cryptographie et de chiffrement ;
9. authentification multifacteur ou autre authentification sécurisée ;
10. évaluation continue de l'efficacité des mesures.

Le Cyberbeveiligingsbesluit (Cbb), le décret d'application publié au Staatsblad en juillet 2026, énonce ces obligations de manière plus détaillée. Il couvre l'obligation de diligence, l'enregistrement, la formation du conseil et le signalement des incidents ^[8][13]. Des règlements ministériels sectoriels apportent des précisions supplémentaires au décret ^[2][13].

Signalement des incidents (meldplicht)

Un incident important est un incident qui peut causer une perturbation opérationnelle grave ou une perte financière pour l'organisation, ou un dommage matériel ou immatériel considérable à d'autres ^[6]. Les seuils concrets sont fixés par secteur dans les règlements ministériels, consultez donc celui qui s'applique à vous ^[2].

La séquence de signalement est la suivante : ^[6][9]:

Étape	Délai	Contenu
Alerte précoce	Sans délai indu, dans les 24 heures suivant la prise de connaissance	Si une action malveillante est soupçonnée et s'il peut y avoir un impact transfrontalier
Notification d'incident	Dans un délai de 72 heures	Évaluation initiale de la gravité et de l'impact
Mise à jour intermédiaire	Sur demande	Mise à jour du statut pour le CSIRT ou l'autorité de contrôle
Rapport final	Dans un délai d'un mois	Cause première, impact et mesures d'atténuation ; un rapport de progression si l'incident est toujours en cours

Tous les rapports passent par un point de signalement central sur mijn.ncsc.nl, qui les transmet à la fois au CSIRT sectoriel et à l'autorité de contrôle compétente ^[6]. Certaines entités font face à des délais plus stricts. Selon le NCSC, les entités également couvertes par DORA ou le code de cybersécurité du réseau néerlandais (Netcode) doivent émettre une alerte précoce dans un délai de 4 heures, et les prestataires de services de confiance ont un délai de notification de 24 heures ^[6]. Les signalements volontaires d'incidents non significatifs et de quasi-incidents vont uniquement au CSIRT, pas à l'autorité de contrôle ^[6].

Responsabilité de l'organe de direction

La Cbw fait du risque cyber une question de gouvernance. L'organe de direction doit ^[5][1]:

• approuver les mesures de gestion du risque cyber ;
• superviser leur mise en œuvre ;
• suivre une formation afin de pouvoir évaluer les risques cyber lui-même, et s'assurer que la formation est proposée au personnel ;
• assumer la responsabilité ultime, et peut être tenu responsable du non-respect.

Pour les entités essentielles, les autorités de contrôle peuvent demander la suspension temporaire d'un membre de l'organe de direction. Les membres de l'organe de direction des entités essentielles et importantes peuvent également faire face à des pénalités périodiques et à des amendes administratives ^[7]. Il est donc judicieux de documenter correctement les décisions de l'organe de direction en matière de risque cyber. Une documentation faible est elle-même un facteur de déclenchement possible du contrôle ^[13].

Contrôle et amendes

Le contrôle est organisé par secteur. Dix autorités de contrôle se partagent la tâche, notamment la RDI, l'ILT, la DNB, l'AFM, l'IGJ, la NVWA et l'Autorité de protection des données néerlandaise (AP). Elles se coordonnent par le biais du Samenwerkend Toezicht Digitale Weerbaarheid (STDW) ^[12][13]. La RDI supervise les secteurs incluant l'énergie, l'infrastructure numérique, la gestion des services informatiques, l'administration publique, l'espace, les services postaux, la recherche et la fabrication ^[10].

L'intensité du contrôle dépend de la classification ^[3][7]:

• Les entités essentielles font face à un contrôle proactif, de sorte que des inspections peuvent avoir lieu sans aucune indication préalable d'une violation. Les outils incluent les audits, les analyses de sécurité, les instructions contraignantes, les ordres assortis de pénalités, la divulgation publique, les demandes de suspension et les amendes administratives.
• Les entités importantes font face principalement à un contrôle réactif, généralement déclenché par un incident ou un signal, et la plupart des mêmes outils de contrôle s'appliquent.

Amendes : en vertu de la NIS2, les États membres doivent prévoir des amendes maximales d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu) pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes ^[9]. Incertain : nous n'avons pas pu vérifier les maxima néerlandais exacts par rapport au texte final de la Cbw dans les sources officielles que nous avons examinées. Vérifiez la loi publiée avant de vous fier à des chiffres spécifiques.

Premières étapes pratiques

1. Confirmez votre statut. Parcourez les annexes et les seuils de taille, ou utilisez l'outil d'auto-évaluation, pour chaque entité juridique de votre groupe. Documentez le raisonnement ^[3][10].
2. Inscrivez-vous maintenant sur mijn.ncsc.nl si vous êtes dans le périmètre, et tenez à jour vos coordonnées et vos plages d'adresses IP ^[4].
3. Identifiez votre autorité de contrôle et la réglementation sectorielle, y compris les seuils d'incidents qui s'appliquent à vous ^[2][12].
4. Effectuez une analyse des écarts par rapport aux dix mesures de diligence raisonnable et au Cbb. Le NCSC pointe également vers le Cbw Control Framework et le RDI NIS2 Quickscan ^[3][5].
5. Entraînez-vous au signalement. Identifiez qui décide qu'un incident est significatif et qui soumet l'alerte précoce de 24 heures. Si la DORA s'applique également à vous, planifiez le délai de 4 heures ^[6].
6. Informez et formez l'organe de direction. Planifiez la formation et mettez en place une ligne de signalement régulière, et consignez les approbations de l'organe de direction ^[5].
7. Examinez votre chaîne d'approvisionnement, en commençant par les prestataires informatiques critiques ^[5].

Secrato aide les organisations à gérer des référentiels tels que NIS2, DORA et ISO/IEC 27001 sur une seule plateforme hébergée en UE, avec des contrôles partagés, des preuves et des pistes d'audit.