NIS2 en Pays-Bas

1. Aperçu rapide de l’applicabilité des SMEs aux Netherlands

La NIS2 s'applique-t-elle aux PME en 1. Aperçu rapide de l’applicabilité des SMEs aux Netherlands ?

Oui — selon le secteur et la taille.

• Applicabilité automatique aux entités de taille moyenne (≥50 employés et ≥€10 million de chiffre d'affaires ou de total de bilan) exerçant des activités dans les secteurs couverts.
• Les petites ou microentités ne sont incluses que si elles sont formellement désignées ou si elles exercent des activités dans des secteurs à haute criticité.
• S’applique aux entités établies aux the Netherlands et, dans certains cas, aux prestataires numériques étrangers desservant le marché néerlandais.

Les SMEs devraient évaluer leur qualification au regard du cadre national de cybersécurité des the Netherlands, sur la base de la classification sectorielle et des seuils légaux.

2. Aperçu de la mise en œuvre de NIS2 aux Netherlands

The Netherlands met en œuvre la Directive au moyen de la Network and Information Systems Security Act (Wet beveiliging netwerk- en informatiesystemen), telle que modifiée pour s’aligner sur la Directive (EU) 2022/2555.

Le cadre législatif révisé renforce les obligations relatives à la gouvernance, à la gestion des risques de cybersécurité, à la notification des incidents, au contrôle et à la surveillance, ainsi qu’aux sanctions administratives.

The Netherlands s’appuie sur son modèle établi de supervision de la cybersécurité tout en intégrant les normes de la Directive dans son régime national.

3. Champ d'application aux Netherlands

Le champ d'application des Netherlands reflète les catégories sectorielles minimales de la Directive, sans extension structurelle confirmée.

4. Seuils de taille et applicabilité aux PME aux Netherlands

Les seuils de base s'appliquent :

• ≥50 employés, et
• ≥€10 million de chiffre d'affaires annuel ou de total de bilan.

Les entités qui satisfont aux deux critères dans les secteurs concernés sont automatiquement dans le champ d'application.

guides.country.netherlands.s4P2

guides.country.netherlands.s4P3

5. Cadre de classification des entités aux Netherlands

Les entités sont classées comme suit :

• Entités essentielles — Soumises à une supervision proactive, y compris des inspections et un suivi structuré de la conformité.
• Entités importantes — Principalement soumises à une supervision réactive déclenchée par des incidents significatifs ou des problèmes de conformité.

La classification est déterminée par le secteur et la taille. Les autorités peuvent reclasser des entités lorsque l'impact opérationnel ou l'exposition aux risques justifient une surveillance renforcée.

The Netherlands suit la structure de supervision à deux niveaux de la Directive.

6. Exigences de gestion des risques de cybersécurité aux Netherlands

Le régime national des Netherlands est aligné sur le socle de la Directive en matière de gestion des risques de cybersécurité. Les entités concernées doivent mettre en œuvre des mesures techniques et organisationnelles proportionnées couvrant :

• Analyse des risques et protection des systèmes
• Détection et réponse aux incidents
• Continuité d'activité et gestion de crise
• Contrôles des risques de la chaîne d'approvisionnement NIS2 aux Netherlands
• Acquisition et développement sécurisés des systèmes ICT
• Contrôle d'accès et gestion des identités
• Chiffrement et protections cryptographiques
• Procédures de gestion des vulnérabilités
• Formation du personnel à la cybersécurité

Les mesures doivent refléter l'état de l'art et l'exposition aux risques de l'organisation. L'alignement sur ISO/IEC 27001 et les lignes directrices néerlandaises en matière de cybersécurité est encouragé.

7. Responsabilité de la direction et gouvernance aux Netherlands

Les organes de direction doivent approuver formellement les mesures de gestion des risques de cybersécurité et en superviser la mise en œuvre.

Dans le cadre des Netherlands:

• Les conseils d'administration sont responsables de la supervision de la conformité.
• La haute direction doit garantir des compétences suffisantes en cybersécurité.
• Des sanctions administratives peuvent viser des défaillances de gouvernance.
• La suspension temporaire de fonctions dirigeantes peut être prévue dans le cadre de mécanismes d'application alignés sur la Directive.

Aux Netherlands, les attentes relatives à la responsabilité de la direction au titre de NIS2 élèvent la gouvernance de la cybersécurité au rang de responsabilité de niveau exécutif.

8. Obligations de signalement des incidents aux Netherlands

9. Autorités de surveillance et modèle d'application aux Netherlands

Autorité principale: National Cyber Security Centre (NCSC Netherlands).

The Netherlands opère un modèle de supervision coordonné, appuyé par des régulateurs sectoriels en fonction de la classification sectorielle.

Les pouvoirs de supervision comprennent :

• Demandes de documentation et d'information
• Audits de sécurité
• Inspections sur site
• Injonctions contraignantes de mise en conformité
• Participation aux mécanismes de coordination de l'EU en matière de cybersécurité

Le dispositif d'exécution s'aligne sur les exigences de coopération au niveau de la directive.

10. Amendes et sanctions NIS2 aux Netherlands

The Netherlands applique des sanctions administratives alignées sur la directive.

L'application des amendes NIS2 aux Netherlands peut également inclure :

• Injonctions contraignantes de remédiation
• Identification publique des entités non conformes
• Suspension des autorisations ou des certifications
• Pouvoirs de suspension des dirigeants

La responsabilité pénale ne s'applique que lorsqu'elle est expressément prévue par la législation des Netherlands.

11. Sécurité de la chaîne d'approvisionnement et des fournisseurs NIS2 aux Netherlands

Les entités doivent gérer l'exposition aux risques de cybersécurité liés aux tiers au moyen de :

• Évaluations des risques des fournisseurs
• Dispositions contractuelles de répercussion des exigences de sécurité
• Surveillance continue des fournisseurs ICT
• Analyse du risque de concentration
• Atténuation de la propagation des incidents

L'approche des Netherlands s'aligne sur les attentes de base de la directive concernant la gestion des risques fournisseurs.

12. Obligations d'enregistrement et d'auto-identification aux Netherlands

Les entités entrant dans le champ d'application doivent :

• S'enregistrer auprès des autorités compétentes
• Fournir les informations d'identification de l'entreprise
• Déclarer la classification sectorielle
• Maintenir à jour les points de contact de notification

Les délais de procédure suivent le cadre de mise en œuvre de Netherlands. Au regard de l'état actuel de la transposition, Netherlands applique le cadre de référence de la NIS2 Directive. Des précisions nationales de mise en œuvre peuvent affiner certaines obligations.

L'auto-identification est obligatoire lorsque les entités satisfont aux seuils légaux.

13. Interaction avec le GDPR et d'autres lois aux Netherlands

Le General Data Protection Regulation continue de s'appliquer parallèlement.

Les considérations de chevauchement comprennent :

• Notification de violation de données à caractère personnel dans les 72 heures
• Coordination des autorités de contrôle
• Enquêtes parallèles en matière de cybersécurité et de protection des données
• Législation de cybersécurité néerlandaise spécifique au secteur

Un incident de cybersécurité peut entraîner des obligations de notification au titre des deux régimes.

14. Applicabilité transfrontalière

Les entités dont l’établissement principal est situé aux Netherlands sont supervisées par les autorités néerlandaises pour les services transfrontaliers.

Les fournisseurs numériques étrangers offrant des services aux Netherlands peuvent être soumis à des obligations nationales selon leur structure d’établissement.

Les exigences en matière de représentation suivent les normes de la Directive pour les prestataires non-EU desservant le marché néerlandais.

15. Calendrier de mise en œuvre aux Netherlands

• Adoption de la Directive : 2022
• Modifications législatives nationales : 2024–2025
• Entrée en vigueur : À la publication nationale
• Notification à la Commission : Conformément aux procédures de l’EU
• Jalon de conformité : Délais alignés sur la Directive

Le calendrier de transposition des Netherlands est aligné sur les exigences de mise en œuvre de l’EU.

16. Points clés pour les SMEs aux Netherlands

• Les entités de taille moyenne dans les secteurs couverts sont automatiquement dans le champ d’application.
• Les petites entités peuvent être désignées si elles sont critiques pour la stabilité nationale ou économique.
• La supervision de la gouvernance au niveau du conseil d’administration est obligatoire.
• La notification des incidents suit des délais de 24 h / 72 h / 1 mois.
• Les sanctions financières peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
• La gestion des risques liés aux fournisseurs est requise.
• Une planification précoce de la conformité réduit l’exposition aux mesures d’exécution.

FAQ : NIS2 Netherlands SME Guide