La Cyberbeveiligingswet 2026 approche de la dernière étape législative aux Pays-Bas. Les 6 et 7 juillet 2026, la Eerste Kamer se réunit pour examiner le projet de loi et voter. Si le texte est adopté, la loi devrait entrer en vigueur le 15 août 2026.
Dès ce moment, les organisations concernées devront répondre à de nouvelles obligations en matière de résilience numérique. L’objectif est clair : s’aligner sur la directive européenne NIS2 et renforcer la capacité des acteurs à prévenir, détecter et gérer les incidents cyber.
Quand la Cyberbeveiligingswet 2026 s’appliquera-t-elle ?
Le calendrier est décisif. La phase finale se déroule en juillet 2026, avec une délibération suivie d’un vote au sein de la Eerste Kamer. En cas d’adoption, la loi devrait commencer à s’appliquer le 15 août 2026.
À partir de cette date, les organisations qui relèvent du champ d’application de la loi devront se mettre en conformité avec les exigences prévues. Autrement dit, il ne s’agit pas seulement d’actions “lorsque le texte sera effectif”, mais de se préparer avant l’entrée en vigueur.
Une loi pour mettre en œuvre NIS2 en pratique
La Cyberbeveiligingswet transpose en droit néerlandais la directive européenne NIS2. Le texte vise un grand nombre d’acteurs : plus de 8 000 organisations pourraient tomber sous le régime de la loi.
Un point essentiel à comprendre : chaque organisation doit déterminer elle-même si elle est concernée. Cela implique d’évaluer son périmètre, sa nature et ses responsabilités, afin d’éviter de se tromper de catégorie.
Quelles obligations la loi impose aux organisations concernées ?
Une fois la Cyberbeveiligingswet 2026 en vigueur, plusieurs devoirs deviennent obligatoires. La loi ne se limite pas à des recommandations : elle crée des exigences concrètes, notamment sur la gestion du risque et la gouvernance de la cybersécurité.
1) Enregistrement auprès du NCSC
Les organisations concernées devront effectuer une inscription auprès du Nationaal Cyber Security Centrum (NCSC). Préparer cet enregistrement en amont peut faire gagner un temps précieux, surtout si vos informations doivent être consolidées.
2) Obligation de diligence en cybersécurité
La Cyberbeveiligingswet prévoit une obligation légale de diligence en matière de cybersécurité. Concrètement, cela signifie que la responsabilité de sécuriser l’organisation ne repose pas sur un choix “facultatif”, mais sur un devoir encadré par la loi.
3) Obligation de signalement des incidents significatifs
La loi introduit également une obligation de notification en cas d’incidents jugés significatifs. L’enjeu, pour les organisations, est de disposer de mécanismes permettant d’identifier rapidement ce qui relève d’une “significativité” et de déclencher la communication requise.
4) Des dirigeants qui doivent démontrer leurs connaissances
Autre exigence : les responsables doivent pouvoir démontrer une connaissance suffisante en cybersécurité. Cette approche vise la gouvernance : la cybersécurité ne doit pas être uniquement portée par l’équipe technique, mais soutenue au niveau de la direction.
5) Gestion des risques, y compris chez les fournisseurs
La loi impose un pilotage du risque qui ne s’arrête pas aux frontières de l’organisation. Elle exige une gestion des risques liés aux fournisseurs et, plus largement, à l’ensemble de la chaîne d’approvisionnement (toeleveranciersketen).
En pratique, cela pousse les organisations à regarder au-delà des prestataires “directs” et à mieux comprendre les risques qui peuvent émerger dans leur écosystème de partenaires.
Ce que les organisations peuvent faire dès maintenant
Le message est sans ambiguïté : ne pas attendre l’entrée en vigueur. Une mise en conformité efficace commence avant le 15 août 2026, idéalement par une trajectoire structurée.
Par exemple, lancez une première analyse des risques pour identifier les cybermenaces pertinentes et la manière dont elles pourraient impacter vos services, vos systèmes et vos obligations. En parallèle, faites l’inventaire des mesures déjà en place pour maîtriser les risques cyber.
Enfin, préparez l’enregistrement requis : regrouper dès maintenant les informations utiles limite les retards le moment venu.
Où en est la procédure parlementaire ?
La procédure suit son cours. Le 2 juin 2026, la Eerste Kamer a publié un rapport sur le projet de loi : le rapport Cbw. Les membres de différentes factions y ont formulé des questions, notamment sur l’exécution, le contrôle et les conséquences pour les organisations.
Le gouvernement a répondu à ces questions dans une note. Ensuite, lors de la réunion de procédure du 23 juin 2026, il a été constaté qu’une question d’une faction n’avait pas encore reçu de réponse. Cette question a entre-temps été clarifiée, ce qui a permis de terminer la partie écrite de l’examen.
La prochaine étape est donc le vote prévu en juillet 2026, avant l’entrée en vigueur attendue en août.
Cyberbeveiligingswet et Wwke : une logique de résilience plus large
La Cyberbeveiligingswet n’est pas la seule loi examinée dans ce contexte. En parallèle, la Wwke (Wet weerbaarheid kritieke entiteiten) est également traitée.
L’objectif de la Wwke est d’améliorer la résilience des organisations qui fournissent des services essentiels aux Pays-Bas. Cette logique dépasse la seule cybersécurité : la protection vise des menaces variées, notamment les catastrophes naturelles, le terrorisme, la sabotage et d’autres formes de perturbations.
Autrement dit, l’approche de résilience est plus globale : il s’agit aussi de garantir la continuité des activités et la capacité de maintenir des missions importantes, même lorsque l’environnement devient défavorable.
Conclusion : préparez la conformité avant la date cible
La Cyberbeveiligingswet 2026 marque une étape majeure vers la mise en œuvre de NIS2 et impose des obligations concrètes aux organisations concernées. Si la Eerste Kamer adopte le texte, la loi devrait entrer en vigueur le 15 août 2026 et déclencher de nouvelles exigences, de l’enregistrement auprès du NCSC à la gestion des risques fournisseurs.
Pour éviter une course de dernière minute, anticipez dès maintenant : évaluez vos risques, vérifiez vos mesures existantes, consolidez les informations nécessaires pour l’enregistrement et renforcez la gouvernance. C’est une meilleure façon d’aborder cette période de transition avec sérénité.
Source: https://www.ncsc.nl/nieuws/de-cyberbeveiligingswet-in-laatste-fase-van-vaststelling
