notre client veut savoir si nous sommes assujettis à NIS2, que dois-je remplir

Être soi-même soumis à NIS2 est une question distincte de celle de devoir s'y conformer

Que votre entreprise soit elle-même assujettie à NIS2 dépend du secteur et de la taille — non pas de la question de savoir si votre client le demande. NIS2 fonctionne avec une liste de secteurs (annexes I et II de la directive) et des seuils de taille : de taille moyenne ou grande selon la définition de l'UE. Si vous relevez de cette catégorie, vous êtes une « entité essentielle » ou « entité importante » et les obligations de l'article 21 s'appliquent directement à vous, indépendamment de ce qu'un client met dans un questionnaire. Si vous ne relevez pas de cette catégorie, vous pouvez simplement remplir « non, pas assujetti à NIS2 de manière autonome » — ce n'est pas une réponse évasive, c'est la bonne réponse si elle correspond à la réalité des faits.

Là où cela s'égare souvent : un fournisseur qui ne relève pas lui-même du champ d'application reçoit néanmoins les exigences de l'article 21 par le biais du contrat, parce que son client doit évaluer celles-ci par rapport à ses propres exigences de sécurité relatives aux fournisseurs doit évaluer. Ce n'est alors pas une obligation NIS2 pour vous, mais une transposition contractuelle de celle-ci. Remplissez donc la réponse à la question telle qu'elle la pose : « êtes-vous soumis à NIS2 » est un oui/non sur votre propre statut, non pas sur la question de savoir si vous appliquez des mesures de type NIS2. Ces deux aspects sont souvent confondus l'un avec l'autre, indépendamment de la question de savoir si vous appliquez des mesures de type NIS2, et remplir « oui » parce que vous travaillez déjà selon ISO 27001 ou êtes certifié, c'est factuellement inexact si vous-même ne faites pas partie du champ d'application.

Transposition néerlandaise via la loi sur la cybersécurité

La directive elle-même (2022/2555) définit les secteurs et le seuil de taille pour les entités essentielles et importantes ; la transposition néerlandaise — qui précisément sera désigné, et selon quels délais de contrôle — se fait via la loi sur la cybersécurité, qui entre en vigueur le 15 août 2026. Jusqu'à cette date, il n'y a pas de désignation nationale sur laquelle vous pouvez fonder un « oui » ; par la suite, oui, dans la mesure où votre entreprise figure sur la liste définitive. Tant que cette loi n'est pas en vigueur, « pas encore applicable » ou « encore à déterminer » est la réponse factuellement exacte, pas « non » — cela suggère une exclusion définitive qui n'existe pas encore.