Le 15 août 2026 marque un tournant pour la cybersécurité aux Pays-Bas. Après le feu vert du Sénat le 7 juillet 2026, la Cyberbeveiligingswet (Cbw) et la Wet weerbaarheid kritieke entiteiten (Wwke) entrent en application à cette date. Concrètement, de nouvelles règles s’appliquent à un grand nombre d’organisations, afin de renforcer à la fois la résilience numérique et, selon le cas, la résilience physique des services essentiels.
Dans cet article, nous expliquons ce que la Cyberbeveiligingswet implique pour les organisations concernées, quels sont les principaux devoirs, et pourquoi il est utile de se préparer dès maintenant.
Ce que la Cyberbeveiligingswet change dès le 15 août 2026
La Cyberbeveiligingswet met en œuvre aux Pays-Bas la directive européenne NIS2. Elle remplace la réglementation antérieure Wbni (Wet beveiliging netwerk- en informatiesystemen). Dès le 15 août 2026, les organisations qui entrent dans le champ de la loi devront respecter de nouvelles exigences de sécurité et de gouvernance.
Le point clé est que les organisations doivent elles-mêmes vérifier si elles sont soumises. La loi s’applique aux prestataires de services essentiels ou importants, répartis sur 18 secteurs. Parmi eux : énergie, eau potable, infrastructures numériques, santé, administration publique et transport.
Qui est concerné par la Cyberbeveiligingswet ?
La loi vise des organisations fournissant des services dans des secteurs considérés comme structurants. L’objectif est clair : faire en sorte que la cybersécurité ne soit pas seulement un sujet technique, mais aussi un élément de continuité de service.
La règle ne s’applique pas uniformément : certains acteurs seront soumis en raison du type de service rendu. C’est pourquoi l’évaluation interne est une étape nécessaire pour déterminer le périmètre exact avant la date d’entrée en vigueur.
Les obligations principales à prévoir
Une fois soumises, les organisations doivent intégrer plusieurs exigences. Les obligations mentionnées couvrent l’inscription, la mise en place de mesures, la gestion des incidents et la responsabilité au niveau du conseil d’administration.
1) Inscription dans le registre via le NCSC
À compter du 15 août 2026, l’inscription devient obligatoire. Les organisations doivent se registrer dans le registre des entités via le Nationaal Cyber Security Centrum (NCSC). Cette étape sert de point d’entrée pour la suite : l’organisation pourra ensuite s’appuyer sur l’écosystème d’appui prévu autour du CSIRT.
2) Obligation de prendre en charge les risques (devoir de diligence)
La Cyberbeveiligingswet impose que les organisations prennent des mesures pour maîtriser les risques liés à la sécurité des réseaux et des systèmes d’information. Il ne s’agit pas uniquement d’éviter les incidents, mais aussi de limiter leurs conséquences.
Autrement dit, la conformité ne se limite pas à “réagir”. L’esprit de la loi est de construire une approche structurée de prévention et de réduction de l’impact.
3) Obligation de déclaration des incidents significatifs
En cas d’incident jugé significatif, les organisations doivent le déclarer dans les délais prévus. Les notifications doivent être adressées au CSIRT et à l’autorité compétente via le portail de déclaration.
Cette obligation implique que les organisations aient défini à l’avance un processus de collecte d’informations, d’évaluation de la significativité et de communication.
4) Responsabilité de la direction et formation
La gouvernance est également au cœur de la loi : le conseil d’administration porte la responsabilité finale concernant la gestion du risque cyber. Les décideurs doivent disposer d’une connaissance suffisante pour évaluer à la fois les risques et les mesures de sécurité.
Le texte indique que des formations adaptées sont attendues afin que la direction puisse suivre et piloter la démarche de conformité.
5) Contrôle et application par les autorités de supervision
Enfin, des autorités de surveillance vérifient le respect des obligations. En cas de manquements, la loi prévoit un cadre de contrôle et de sanction (sans entrer ici dans les détails de procédure).
Pour les organisations, cela signifie qu’il faut pouvoir documenter la démarche : périmètre, mesures, processus d’incident, et éléments liés à la gouvernance.
Pourquoi commencer dès maintenant ? Une préparation avant le 15 août 2026
Les organisations soumises à la Cyberbeveiligingswet gagnent à démarrer sans attendre. L’une des premières actions consiste à préparer l’inscription au registre, puisque celle-ci devient obligatoire à partir du 15 août 2026.
Le NCSC recommande d’anticiper correctement cette étape. Une approche utile consiste à élaborer une checklist pour que l’enregistrement se déroule dans de bonnes conditions, en évitant les blocages de dernière minute.
Après l’enregistrement : le rôle du CSIRT
Une fois l’inscription effectuée, les organisations peuvent se connecter à la prestation de services de leur CSIRT. L’information disponible précise que ces CSIRT fournissent des produits et services visant à renforcer la résilience de l’organisation, ainsi qu’un appui en cas d’incident.
En pratique, cela peut aider à mieux structurer la réponse opérationnelle, notamment lorsque survient un incident qui nécessite une coordination.
Et la Wet weerbaarheid kritieke entiteiten ? (en complément)
En parallèle, la Wet weerbaarheid kritieke entiteiten entre aussi en vigueur à la même date. Cette loi met en œuvre la directive européenne CER, dont l’objectif est de mieux protéger l’infrastructure critique et les activités économiques contre divers types de menaces : effets d’infractions terroristes, sabotage, catastrophes naturelles, etc.
Le texte indique que cette loi concerne environ 500 organisations et cite des secteurs tels que énergie, transport, services bancaires, infrastructures pour le marché financier, santé, eau potable, eaux usées, infrastructures numériques, administration publique, espace, nucléaire, chimie, et production/traitement/distribution d’aliments.
Une organisation tombe sous cette loi lorsqu’un ministre sectoriel la désigne comme entité critique. Ainsi, le calendrier du 15 août 2026 n’ouvre pas seulement des obligations cyber générales : il peut aussi conduire à des désignations formelles selon le cas.
À retenir : une conformité qui touche autant la technique que la gouvernance
La Cyberbeveiligingswet introduit un cadre structuré qui vise la maîtrise des risques et la continuité des services essentiels. À partir du 15 août 2026, les organisations doivent notamment s’enregistrer via le NCSC, appliquer un devoir de diligence en matière de sécurité des réseaux et des systèmes, déclarer les incidents significatifs selon les délais et organiser une gouvernance active portée par le conseil d’administration.
Si vous êtes susceptible d’être concerné, la meilleure approche est de vérifier votre périmètre dès maintenant et de lancer la préparation (inscription, processus d’incident, mesures de sécurité et formation de la direction). Une bonne préparation réduit le risque de non-conformité et facilite la mise en place d’une réponse plus robuste lorsque les menaces se concrétisent.
Source: https://www.ncsc.nl/nieuws/cbw-en-wwke-vanaf-15-augustus-2026-van-kracht
