Le 15 avril 2026, la Tweede Kamer a adopté les textes liés à la cyberbeveiligingswet NIS2 ainsi qu’à la loi relative à la résilience des entités critiques. Cette décision constitue un jalon important pour le paysage de la cybersécurité aux Pays-Bas et fait évoluer, de façon concrète, les responsabilités de milliers d’organisations.
Vous vous demandez ce que cela signifie pour votre structure ? Voici l’essentiel : ce qui change avec NIS2, le rôle des obligations de sécurité, et le calendrier des prochaines étapes.
Adoption de la cyberbeveiligingswet et de la loi sur la résilience
La Tweede Kamer a approuvé, le 15 avril, les propositions de loi portant sur la cyberbeveiligingswet (dans la continuité de NIS2) et sur la Wet weerbaarheid kritieke entiteiten (loi sur la résilience des entités critiques). L’objectif est d’intégrer plus solidement les exigences européennes et de renforcer la capacité d’organisation face aux incidents cyber.
Pour le NCSC, ce vote marque aussi une étape décisive : son périmètre d’action s’élargit nettement, avec une responsabilité qui concernera environ 8 000 organisations à terme.
Ce que la cyberbeveiligingswet NIS2 change en pratique
La cyberbeveiligingswet NIS2 met en œuvre, au niveau national, la directive européenne NIS2. Le texte remplace la réglementation actuelle, connue sous le nom de Wbni (dans le contenu communiqué).
Concrètement, la loi ancre plusieurs obligations dans le droit néerlandais, notamment :
- des obligations de diligence (zorgplicht) ;
- des obligations de notification (meldplicht) ;
- des obligations d’enregistrement (registratieplicht).
Autrement dit, l’enjeu ne se limite pas à “faire de la cybersécurité” : les organisations devront aussi prouver qu’elles ont mis en place des mesures adaptées, savoir quoi déclarer en cas d’incident et disposer d’un cadre formel d’enregistrement.
Quelles organisations seront concernées ?
Le communiqué met en avant l’impact sur des milliers d’organisations aux Pays-Bas et mentionne un total d’environ 8 000 entités relevant ensuite du périmètre du NCSC. Même si la liste précise dépendra des textes d’application, ce signal est clair : la portée de la cyberbeveiligingswet NIS2 est large.
Pour savoir si votre organisation entre dans le champ, il faudra vous référer aux critères prévus par la loi et par les textes qui suivront. Une bonne préparation consiste à rassembler dès maintenant les informations utiles (nature de l’activité, services fournis, rôle dans les chaînes critiques, etc.), afin de pouvoir identifier rapidement votre statut.
Zorgplicht, meldplicht et registratieplicht : comprendre les obligations
Les trois obligations citées dans le texte adopté forment un ensemble cohérent. Ensemble, elles visent à améliorer la prévention, la réaction et la traçabilité en matière de cybersécurité.
La zorgplicht : votre devoir de sécuriser
La zorgplicht (obligation de diligence) signifie que les organisations doivent prendre des mesures de sécurité appropriées. L’idée est de réduire la probabilité d’incidents et de limiter leur impact, en fonction de la nature et des risques liés à l’activité.
La meldplicht : savoir quoi et quand déclarer
La meldplicht (obligation de notification) encadre la manière de traiter certains incidents. Si un événement répond aux conditions prévues, il devra faire l’objet d’une notification selon les modalités définies dans le cadre réglementaire.
La registratieplicht : être identifiable
La registratieplicht (obligation d’enregistrement) implique que les organisations doivent disposer d’un mécanisme d’identification officiel. Cette dimension facilite le suivi, la coordination et l’application des exigences.
Si votre organisation n’a pas encore structuré ces éléments (gouvernance, processus de déclaration, tenue d’un registre, etc.), c’est le bon moment pour lancer une analyse de “gaps”.
Les prochaines étapes : passage au Sénat et textes d’application
Après l’adoption par la Tweede Kamer, les propositions de loi vont maintenant être examinées par la Eerste Kamer. Le communiqué indique qu’on s’attend à la publication d’un rapport, à une note et à une discussion en séance plénière.
La programmation annoncée reste une entrée en vigueur au deuxième trimestre 2026. Toutefois, la mise en œuvre exacte dépendra du rythme de la procédure au Sénat.
Parallèlement, des travaux sont menés sur les textes réglementaires qui préciseront la mise en œuvre, notamment :
- le Cyberbeveiligingsbesluit ;
- les règles ministérielles ;
- le cadre lié à la Wet weerbaarheid kritieke entiteiten et à sa réglementation associée (comme le mentionne le contenu communiqué).
Ces textes d’application sont essentiels : ils détaillent souvent les modalités concrètes (formats, procédures, portée exacte des obligations).
Planification : comment préparer vos équipes dès maintenant
Même si l’entrée en vigueur dépend encore du calendrier au Sénat, vous pouvez préparer votre organisation dès aujourd’hui. Une approche pragmatique consiste à organiser la démarche autour de trois axes : conformité, processus opérationnels et coordination.
Voici une façon simple de structurer votre préparation :
- Cartographier votre périmètre (activités, services, rôle dans l’écosystème).
- Évaluer l’état actuel : mesures de sécurité, gestion des incidents, capacité à notifier et à documenter.
- Mettre en place des procédures : qui fait quoi en cas d’incident, quelles informations collecter, comment préparer l’enregistrement.
En travaillant sur ces points avant les textes d’application finaux, vous réduisez le risque de devoir “rattraper” en urgence après l’entrée en vigueur.
Wet weerbaarheid kritieke entiteiten : renforcer la résilience
En parallèle à la cyberbeveiligingswet NIS2, la Tweede Kamer a aussi adopté la Wet weerbaarheid kritieke entiteiten. Cette loi vise à renforcer la résilience des entités considérées comme critiques.
Le contenu communiqué indique aussi que des textes complémentaires (comme des décisions et dispositions associées) sont en cours de préparation. Pour les organisations concernées, l’enjeu est d’anticiper : la résilience ne se limite pas à la sécurité “pure”, elle englobe la capacité à maintenir ou restaurer des fonctions essentielles lorsque surviennent des perturbations.
Pourquoi ce vote est un signal fort pour le secteur
Ce que change la décision du 15 avril, c’est la consolidation d’un cadre qui rend les exigences plus tangibles. Avec des obligations de diligence, de notification et d’enregistrement, les organisations vont devoir transformer des intentions de cybersécurité en pratiques encadrées.
Le fait que le périmètre NCSC s’élargisse à environ 8 000 organisations souligne également que la mise en conformité ne sera pas un sujet marginal. Pour beaucoup, il s’agira d’un projet de transformation, impliquant la direction, les équipes techniques et les responsables conformité.
Conclusion
Le 15 avril 2026, la Tweede Kamer a adopté la cyberbeveiligingswet NIS2, qui transpose la directive NIS2 aux Pays-Bas et remplace la réglementation existante, ainsi que la loi sur la résilience des entités critiques. Le cadre met en avant des obligations de zorgplicht, de meldplicht et de registratieplicht.
Prochaine étape : l’examen par l’Eerste Kamer, puis la finalisation des textes d’application. Si l’entrée en vigueur est visée pour le deuxième trimestre 2026, la préparation dès maintenant peut déjà vous aider à structurer votre conformité et à réduire l’incertitude.
Source: https://www.ncsc.nl/nieuws/tweede-kamer-stemt-in-met-cyberbeveiligingswet
