Loi néerlandaise NIS2 : 8 000 entreprises touchées

La loi néerlandaise sur la cybersécurité NIS2, connue en néerlandais sous le nom de Cyberbeveiligingswet, entre en vigueur le samedi 15 août 2026. Elle impose directement des obligations de sécurité numérique plus strictes à environ 8 000 organisations réparties dans 18 secteurs critiques. Les hôpitaux, les sociétés d'eau potable, les municipalités, les fournisseurs de télécommunications et les opérateurs de transport public doivent désormais cartographier les risques cyber, prendre des mesures de protection concrètes et signaler les incidents graves dans un délai de 24 heures. Cette loi est la transposition néerlandaise de la directive européenne NIS2 et remplace l'ancienne loi sur la sécurité des réseaux et des systèmes d'information (Wbni).

Qu'est-ce que la loi néerlandaise NIS2 sur la cybersécurité ?

La Cyberbeveiligingswet (Cbw) transpose la directive NIS2 de l'UE, formellement la directive (UE) 2022/2555, dans le droit national. Selon le Centre national néerlandais de cybersécurité (NCSC), la loi est entrée en vigueur le 15 août 2026, après l'adoption du projet de loi par le Sénat le 7 juillet 2026. Les États membres étaient censés transposer NIS2 avant le 17 octobre 2024, mais les retards aux Pays-Bas ont conduit la Commission européenne à ouvrir une procédure d'infraction. La mise en conformité avec la directive européenne sur la cybersécurité révèle des inégalités d'application dans l'UE, seuls 23 États membres appliquant pleinement les mesures en 2026.

Par rapport aux règles NIS1 précédentes, qui ne couvraient que quelques centaines d'entités, NIS2 étend les obligations à environ 8 000 organisations dans 18 secteurs critiques.

Trois obligations clés : diligence, signalement et responsabilité des dirigeants

L'experte en cybersécurité Lisa de Wilde explique que la législation introduit trois changements majeurs pour les organisations concernées.

• Devoir de vigilance (zorgplicht) : Les organisations doivent cartographier leurs risques cyber et prendre des mesures techniques, opérationnelles et organisationnelles proportionnées pour protéger les réseaux et systèmes d'information.
• Obligation de signalement sous 24 heures (meldplicht) : Les incidents graves doivent être signalés au CSIRT compétent et au superviseur dans les 24 heures, avec une notification plus complète dans les 72 heures.
• Responsabilité au niveau du conseil d'administration : La direction doit approuver les mesures de sécurité et superviser leur mise en œuvre dans le cadre de la gestion intégrée des risques.

Sur la responsabilité des dirigeants, De Wilde a averti : 'Le conseil d'administration est tenu responsable de veiller à ce que la sécurité organisationnelle reste en ordre. S'il ne le fait pas et qu'un incident survient, sa responsabilité personnelle peut être engagée.'

Effet d'entraînement sur la chaîne d'approvisionnement au-delà des 8 000

Bien que la loi cible directement 8 000 grandes organisations critiques, son impact se fera sentir dans toute la communauté des affaires néerlandaise. Les entreprises doivent désormais évaluer la sécurité de l'ensemble de leur chaîne d'approvisionnement. 'Il se peut qu'elles fournissent un service à une organisation critique si pertinent que des exigences leur sont également imposées,' a expliqué De Wilde. 'Ces 8 000 organisations examinent donc aussi leur chaîne. Cela signifie que la loi a en réalité un impact bien au-delà de ces 8 000 organisations.' Cela reflète les règles de cybersécurité des infrastructures critiques en Europe.

Les fuites de données personnelles font également partie des risques nécessitant des mesures de protection et doivent être signalées en vertu de la nouvelle loi, en plus des obligations existantes du règlement général sur la protection des données (RGPD).

Coûts, application et mise en œuvre retardée

Les organisations patronales néerlandaises ont critiqué la charge administrative et les coûts de conformité. De Wilde a partiellement répondu : 'Je pense que les organisations auraient déjà dû travailler sur ce sujet. Certes, cela coûte de l'argent, mais une cyberattaque qui survient, ou l'impact quand elle survient, est énorme – pas seulement financièrement.'

Pour les organisations déjà bien préparées, peu de choses changeront, dit-elle, mais pour les retardataires, les nouvelles règles représentent une dépense importante. La rigueur de la loi dépendra de la supervision. 'La question est finalement : sera-t-elle appliquée, et quelles seront les conséquences pour ces organisations ?' a déclaré De Wilde. Les entreprises peuvent consulter leurs obligations via la liste de contrôle néerlandaise de conformité en cybersécurité publiée par le gouvernement national.

Questions fréquemment posées

Quand la loi néerlandaise NIS2 entre-t-elle en vigueur ?

La Cyberbeveiligingswet est entrée en vigueur le 15 août 2026.

Combien d'organisations la loi affecte-t-elle directement ?

Environ 8 000 organisations dans 18 secteurs critiques sont directement couvertes.

Quel est le délai de signalement des incidents ?

Les incidents graves doivent être signalés dans les 24 heures, avec des détails complémentaires dans les 72 heures.

Les dirigeants peuvent-ils être tenus personnellement responsables ?

Oui, les conseils d'administration peuvent être tenus responsables s'ils ne garantissent pas une sécurité adéquate et qu'un incident survient.

La loi affecte-t-elle les petits fournisseurs ?

Indirectement, oui : les organisations critiques doivent évaluer leur chaîne d'approvisionnement, de sorte que les exigences peuvent se répercuter sur leurs fournisseurs.