Directive NIS2 : le guide complet pour les PME aux Pays-Bas

Directive NIS2 : le guide complet pour les PME aux Pays-Bas

L'Union européenne a placé la résilience numérique des organisations en tête de ses priorités. Avec la directive NIS2 (Network and Information Systems Directive 2), les exigences de cybersécurité imposées aux entreprises se durcissent nettement. Pour de nombreuses PME néerlandaises, cela signifie de nouvelles obligations, des contrôles plus stricts et la nécessité de prendre la cybersécurité au sérieux. Dans ce guide, nous expliquons ce que recouvre exactement NIS2, qui est concerné et comment préparer votre organisation à temps.

L'essentiel en bref (TL;DR)

• NIS2 devrait entrer en vigueur aux Pays-Bas au deuxième trimestre 2026, via la loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet)
• Des amendes jusqu'à 10 millions € ou 2 % du chiffre d'affaires mondial en cas de non-conformité
• 18 secteurs relèvent de NIS2, de l'énergie à l'industrie manufacturière en passant par les prestataires IT
• Effet chaîne d'approvisionnement : les PME qui fournissent des entreprises soumises à NIS2 doivent elles aussi démontrer leur conformité
• 10 mesures obligatoires : de l'analyse des risques à la réponse aux incidents et à l'authentification multifacteur (MFA)
• Commencez à vous préparer dès maintenant : la mise en conformité prend du temps et l'échéance approche

Qu'est-ce que la directive NIS2 ?

NIS2 succède à la directive NIS initiale de 2016. Là où la première version visait surtout les grandes entreprises des secteurs critiques, NIS2 élargit considérablement le champ d'application. La directive a été conçue pour renforcer la résilience numérique de l'Union européenne face à la menace croissante des cyberattaques.

Aux Pays-Bas, NIS2 est transposée par la loi sur la cybersécurité (Cyberbeveiligingswet, Cbw). Cette loi devrait entrer en vigueur au deuxième trimestre 2026, mais les organisations ont tout intérêt à commencer leurs préparatifs dès aujourd'hui. Elle ne concerne pas uniquement les grandes entreprises : de nombreuses PME entrent aussi dans le champ des nouvelles règles.

Les principes clés de NIS2

La directive repose sur trois piliers qui, ensemble, forment un cadre de cybersécurité solide :

Qui est concerné par NIS2 ?

L'un des changements majeurs par rapport à la directive initiale est l'élargissement des secteurs et des organisations concernés. NIS2 distingue les entités essentielles des entités importantes.

Entités essentielles

Il s'agit d'organisations actives dans des secteurs indispensables au fonctionnement de la société :

• Énergie (électricité, pétrole, gaz, hydrogène)
• Transports (aérien, ferroviaire, maritime et fluvial, routier)
• Banques et marchés financiers
• Santé
• Eau potable et eaux usées
• Infrastructures numériques et prestataires de services TIC
• Administrations publiques

Entités importantes

Cette catégorie couvre les entreprises de secteurs complémentaires :

• Services postaux et de messagerie
• Gestion des déchets
• Chimie et production alimentaire
• Industrie manufacturière
• Fournisseurs de services numériques
• Recherche et enseignement

Seuils

Toutes les entreprises de ces secteurs ne relèvent pas automatiquement de NIS2. Des seuils s'appliquent :

• Moyenne entreprise : 50 à 250 salariés ou 10 à 50 millions € de chiffre d'affaires
• Grande entreprise : plus de 250 salariés ou plus de 50 millions € de chiffre d'affaires

Attention toutefois : des entreprises plus petites peuvent aussi être concernées si elles fournissent des services critiques à des organisations soumises à NIS2. C'est ce qu'on appelle l'effet chaîne d'approvisionnement.

L'effet chaîne d'approvisionnement : pourquoi votre PME est aussi concernée

Voici une nuance importante. Même si votre entreprise ne relève pas directement de NIS2, elle peut être touchée indirectement. Les organisations soumises à la directive sont tenues de garantir la cybersécurité de toute leur chaîne d'approvisionnement.

Vous fournissez des services IT, des logiciels, des solutions cloud ou d'autres services numériques à des entreprises soumises à NIS2 ? Elles vous imposeront alors des exigences sur votre niveau de sécurité. Si vous ne pouvez pas démontrer que votre cybersécurité est en ordre, vous risquez de perdre des clients.

Concrètement, de nombreuses PME qui, techniquement, ne relèvent pas de NIS2 devront malgré tout renforcer leur sécurité informatique pour rester commercialement compétitives.

Les dix mesures de sécurité obligatoires

NIS2 impose au minimum dix catégories de mesures de sécurité. Elles constituent le socle d'une politique de cybersécurité solide :

1. Analyse des risques et politique de sécurité

Les organisations doivent disposer d'une vue à jour de l'ensemble de leurs cyberrisques et d'une politique décrivant comment elles les traitent. Il ne s'agit pas d'un exercice ponctuel, mais d'un processus continu.

2. Gestion des incidents

Une procédure doit exister pour détecter, signaler et traiter les incidents de sécurité. Un Security Operations Center (SOC) ou un service de Managed Detection & Response peut vous y aider.

3. Continuité d'activité et gestion de crise

Que faites-vous si vous êtes frappé par un ransomware ? La gestion des sauvegardes, le plan de reprise après sinistre et les plans de crise doivent être en place pour vous permettre de redémarrer rapidement.

4. Sécurité de la chaîne d'approvisionnement

Comme évoqué plus haut, vous êtes responsable de la sécurité de toute votre chaîne. Cela suppose des engagements contractuels et des contrôles auprès de vos fournisseurs.

5. Sécurité de l'acquisition, du développement et de la maintenance

Les systèmes doivent être acquis, développés et maintenus de manière sécurisée. Cela inclut la gestion des vulnérabilités et l'application des correctifs (patching).

6. Évaluation de l'efficacité

Vérifiez régulièrement que vos mesures fonctionnent, par exemple au moyen de tests d'intrusion et d'audits de sécurité.

7. Cyberhygiène et formation

Les collaborateurs sont souvent le maillon faible. Les programmes de formation et de sensibilisation sont obligatoires.

8. Cryptographie et chiffrement

Les données sensibles doivent être chiffrées, au repos comme en transit.

9. Gestion des accès

Qui a accès à quoi ? L'authentification multifacteur et le principe du moindre privilège sont essentiels.

10. Communications sécurisées

Utilisation de moyens de communication sécurisés, notamment en situation d'urgence.

Obligation de notification : signaler sous 24 heures

L'obligation de notification est l'une des exigences les plus contraignantes. En cas de cyberincident significatif, vous devez adresser une première notification dans les 24 heures au Centre national de cybersécurité néerlandais (NCSC) ou à l'autorité de contrôle de votre secteur. Un rapport plus détaillé, avec analyse et évaluation de l'impact, doit suivre dans les 72 heures.

Qu'est-ce qu'un incident significatif ?

• Une perturbation opérationnelle grave
• Un préjudice financier
• Un dommage matériel ou immatériel considérable pour des tiers

Cela suppose de disposer d'une surveillance 24/7 et de capacités de détection ; sans elles, vous risquez de ne même pas remarquer l'incident dans ce délai de 24 heures.

Sanctions et responsabilité personnelle

NIS2 a du mordant. Les sanctions sont nettement plus lourdes que sous la directive précédente :

Plus marquant encore : la responsabilité personnelle des dirigeants. En tant que direction ou conseil d'administration, vous pouvez être tenu personnellement responsable du non-respect des obligations de cybersécurité. NIS2 devient ainsi un sujet de conseil d'administration.

Feuille de route : comment préparer votre PME

Attendre l'entrée en vigueur de la loi n'est pas une option. Bâtir un programme de cybersécurité solide prend du temps. Voici une feuille de route pratique :

Étape 1 : déterminez si vous relevez de NIS2

Utilisez l'outil d'autoévaluation NIS2 du gouvernement néerlandais sur regelhulpenvoorbedrijven.nl. Vérifiez aussi si vous êtes fournisseur d'organisations soumises à NIS2.

Étape 2 : réalisez un état des lieux

Où en êtes-vous aujourd'hui ? Lesquelles des dix mesures avez-vous déjà (partiellement) mises en œuvre ? Une évaluation de sécurité vous donne une vision claire de votre situation actuelle.

Étape 3 : identifiez les écarts

Comparez votre situation actuelle aux exigences de NIS2. Où se situent les principales lacunes ? Priorisez en fonction du risque et de l'impact.

Étape 4 : élaborez un plan de mise en œuvre

Définissez des actions concrètes, des responsables et des échéances. Commencez par les fondamentaux : authentification multifacteur, protection des terminaux (endpoint protection) et sauvegardes.

Étape 5 : mettez en œuvre et documentez

Déployez les mesures et veillez à une documentation rigoureuse. NIS2 exige que vous puissiez prouver votre conformité.

Étape 6 : formez vos collaborateurs

Investissez dans la sensibilisation à la sécurité. Le phishing reste le vecteur d'attaque le plus utilisé.

Étape 7 : testez et évaluez

Effectuez régulièrement des tests, comme des tests d'intrusion et des exercices sur table (tabletop). Ajustez vos mesures en fonction des résultats.

Externaliser ou faire en interne ?

Pour beaucoup de PME, la question se pose : pouvons-nous le faire nous-mêmes ou avons-nous besoin d'aide ? La réponse dépend de votre taille, de votre complexité et des compétences disponibles.

Les avantages de l'externalisation auprès d'un MSSP

Un Managed Security Service Provider peut prendre en charge une grande partie des exigences de NIS2 :

• Surveillance 24/7 et réponse aux incidents
• Une expertise difficile à trouver en interne
• Des coûts mensuels prévisibles
• Une mise en œuvre plus rapide des mesures
• Un accompagnement pour la documentation de conformité

Que garder en interne ?

Même en externalisant, votre organisation reste responsable. En interne, il vous faut :

• Un responsable sécurité ou un interlocuteur désigné
• Le pilotage de la politique de sécurité
• L'implication de la direction
• Un budget et un mandat pour les mesures

Le lien avec les autres réglementations

NIS2 ne s'applique pas de manière isolée. Elle recoupe et complète d'autres réglementations :

• RGPD : vie privée et sécurité sont étroitement liées. Une violation de données est souvent aussi un incident de sécurité.
• DORA : pour les établissements financiers, c'est le Digital Operational Resilience Act qui s'applique.
• ISO 27001 : cette certification en sécurité de l'information s'aligne bien sur les exigences de NIS2.

Les organisations déjà certifiées ISO 27001 ont une longueur d'avance : de nombreuses mesures se recoupent.

Commencez dès aujourd'hui

La directive NIS2 n'est pas un tigre de papier. Avec des amendes substantielles, une responsabilité personnelle et des pouvoirs de contrôle étendus, l'Union européenne oblige les organisations à prendre la cybersécurité au sérieux.

Pour les PME néerlandaises, cela signifie passer à l'action. Que vous releviez directement de la directive ou que vous soyez concerné via la chaîne d'approvisionnement, une infogérance professionnelle et une cybersécurité solide ne sont plus un luxe, mais une nécessité.

Vous voulez savoir où en est votre organisation ? Contactez-nous pour un échange sans engagement sur la conformité NIS2 et la meilleure façon de vous y préparer. Appelez le +31 85 303 5869 ou demandez un scan de sécurité gratuit.

Questions fréquentes sur NIS2

Quand NIS2 entre-t-elle en vigueur aux Pays-Bas ?

La loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet) devrait entrer en vigueur au deuxième trimestre 2026. Commencez dès maintenant à vous préparer pour être conforme à temps.

Ma PME relève-t-elle de NIS2 ?

Cela dépend de votre secteur, de votre taille et du fait que vous fournissiez ou non des services à des organisations soumises à NIS2. Utilisez l'outil d'autoévaluation ou demandez conseil.

Que se passe-t-il si je ne suis pas conforme ?

Vous vous exposez à des amendes pouvant atteindre 10 millions € ou 2 % de votre chiffre d'affaires. Les dirigeants peuvent en outre être tenus personnellement responsables.

Puis-je externaliser la conformité NIS2 ?

Vous pouvez confier la mise en œuvre des mesures à un MSSP. La responsabilité finale reste toutefois celle de votre organisation.

Quel est le lien entre NIS2 et ISO 27001 ?

Les recoupements sont nombreux. La certification ISO 27001 constitue une bonne base pour la conformité NIS2, même si elle ne couvre pas toutes les exigences.