L'entreprise elle-même est-elle assujettie à la directive NIS2 ou à sa transposition nationale ?

Le secteur et la taille déterminent ensemble le résultat

Le fait que l'entreprise soit soumise à la Loi sur la cybersécurité dépend de deux éléments : le secteur dans lequel elle exerce ses activités et sa taille. La loi s'appuie sur une liste de secteurs — notamment l'énergie, les transports, l'eau potable, les infrastructures numériques, la santé et certains services industriels et numériques — et au sein de ces secteurs, une classification par taille s'applique : les entreprises de taille moyenne ou plus grande sont généralement comptabilisées, avec le nombre de salariés et le chiffre d'affaires annuel ou le total du bilan comme critères. Si l'entreprise ne relève pas des secteurs désignés, la Loi sur la cybersécurité ne s'applique généralement pas, quelle que soit sa taille.

Il y a deux aspects qui sont souvent confondus. Le premier est : l'entreprise y est-elle directement soumise, en tant qu'entité essentielle ou importante. Le second est : est-elle indirectement touchée, parce qu'un client qui est lui-même soumis à la loi impose des exigences dans la chaîne. Ce dernier cas peut également s'appliquer aux entreprises qui sont trop petites ou qui opèrent dans un secteur non désigné. Cette question porte sur le premier aspect — l'obligation directe — et la réponse n'en est pas encore déterminée tant que le texte définitif et la liste sectorielle correspondante n'ont pas été vérifiés par rapport au nom et aux chiffres de l'entreprise elle-même. Ceux qui ont déjà répondu avec certitude à cette question — avec ou sans obligation directe — se retrouvent souvent en pratique face aux mêmes questions lorsqu'un client les pose, par exemple si un politique en matière d'analyse des risques et de sécurité des systèmes d'information ou si l'authentification multifacteur a été établi.

Où cela ressort : les critères de secteur et de taille

Cette classification découle de la Loi sur la cybersécurité, la transposition néerlandaise de NIS2, qui entre en vigueur le 15 août 2026. La loi elle-même, avec les annexes contenant les secteurs et les seuils de taille, est la source appropriée pour évaluer sa propre entreprise ; ce texte est disponible sur wetten.overheid.nl.