mon client demande si je suis couvert par la NIS2, que dois-je répondre

La chute directe sous NIS2 n'est généralement pas pertinente

Pour la plupart des fournisseurs, la réponse est non : vous ne tombez pas vous-même sous la loi sur la cybersécurité, la transposition néerlandaise de NIS2. Cette loi s'adresse aux organismes de secteurs spécifiques et au-dessus de certains seuils de taille — énergie, transport, infrastructure numérique, santé et plusieurs autres. Si vous ne tombez pas sous le coup de ces dispositions, alors « non » est une réponse factuellement correcte à la question littérale. Si vous travaillez vous-même dans l'un de ces secteurs, ou si vous êtes une entreprise moyenne ou grande dans une telle chaîne, la réponse peut bien être « oui » — vous le déterminez en fonction des critères sectoriels et de taille, et non en fonction de ce que demande votre client.

Ce que votre client recherche en pratique n'est pas tant votre statut juridique, mais si vous, en tant que maillon de sa chaîne, représentez un risque. C'est pourquoi cette question s'accompagne souvent de questions sur les dix mesures de l'article 21, paragraphe 2 : politique d'accès, réponse aux incidents, continuité, gestion des vulnérabilités. Même si vous tombez vous-même en dehors du champ d'application de la loi, votre client peut néanmoins vous imposer ces exigences par contrat — c'est alors une exigence contractuelle, pas une obligation légale pour vous. Vérifiez dans ce cas si l'entreprise elle-même relève de la directive NIS2 indépendamment de ce que demande votre client, et répondez également à la question sous-jacente concernant le fait que les exigences de sécurité imposées aux propres fournisseurs ont été établis — souvent c'est la question qui se cache vraiment derrière.

Fondement : critères sectoriels et de taille de la directive

La portée découle des annexes de la Directive (UE) 2022/2555, qui indiquent par secteur quelles entités sont considérées comme « essentielles » ou « importantes », combinées aux seuils de taille de l'article 2. La loi néerlandaise sur la cybersécurité transpose ceci un pour un et entrera en vigueur le 15 août 2026 ; jusqu'à cette date, il n'existe pas de base juridique nationale pour qu'un secteur non désigné ne tombe pas sous la loi. En cas de doute sur votre propre classification sectorielle, le texte de la directive lui-même est la première source à consulter, et non la liste de questions de votre client.