← Toutes les ressources

NIS2 Pays-Bas : la construction et le BTP sont-ils concernés ?

Publié le 9 octobre 2026 · 8 min de lecture · CyberNovaLabs.io

Aux Pays-Bas, la Cyberbeveiligingswet est en vigueur depuis le 15 août 2026. La construction ne figure dans aucune des deux annexes. Trois branches d'activité font pourtant basculer une entreprise du bâtiment dans le champ, et une quatrième voie, contractuelle, concerne presque tous les aannemers des waterschappen.

La réponse courte

Non. Aux Pays-Bas, une entreprise de construction, de génie civil ou d'installation technique n'est pas dans le champ de NIS2 au seul titre de son activité de bâtiment. La Cyberbeveiligingswet (Cbw), qui transpose la directive NIS2 en droit néerlandais, est en vigueur depuis le 15 août 2026 et remplace la Wbni. Elle vise les organisations qui fournissent des services essentiels ou importants dans 18 secteurs : énergie, eau potable, infrastructure numérique, santé, administration, transport et quelques autres^[1]. La construction ne figure ni à l'annexe 1 ni à l'annexe 2 de la loi.

Ce qui ne veut pas dire que le sujet ne vous concerne pas. Trois configurations font basculer une entreprise du bâtiment dans le champ. Et une quatrième, beaucoup plus fréquente, vous atteint par contrat : vos donneurs d'ordre néerlandais, eux, sont concernés, et la loi leur impose de sécuriser leur chaîne d'approvisionnement^[4]. Cela arrive chez vous sous la forme d'un questionnaire de sécurité avant attribution et de clauses cyber dans le marché.

Êtes-vous concerné ? Les critères à vérifier

Le NCTV publie une méthode en trois étapes, et une organisation est responsable de sa propre qualification : l'administration n'envoie pas de courrier d'assujettissement^[2].

• Étape 1 — le secteur. Votre activité correspond-elle à un type d'entité listée à l'annexe 1 ou 2 de la Cbw ? Pour une entreprise générale de construction, la réponse est non.
• Étape 2 — la taille. Si et seulement si l'étape 1 est positive : effectif, chiffre d'affaires et total de bilan. Certaines catégories sont assujetties quelle que soit leur taille (réseaux et services de communications électroniques publics, services de confiance, registres de noms de domaine de premier niveau, services DNS, organismes publics)^[2].
• Étape 3 — essentiel ou important. La distinction change la surveillance : les entités essentielles sont sous contrôle proactif, vérifiées même sans incident ; les entités importantes sous contrôle réactif, après un signalement ou un incident^[2].

NIS2 Pays-Bas : les trois cas où une entreprise de construction est bien dans le champ

Ce n'est pas le code NACE de l'entreprise qui compte, c'est l'activité exercée. Trois branches d'activité courantes dans le bâtiment néerlandais sont, elles, listées.

Configuration	Pourquoi elle entre dans le champ	Ce qu'il faut vérifier
Vous fabriquez, pas seulement vous installez	L'annexe 2 de la Cbw couvre la fabrication de machines et équipements, d'équipements électriques et de produits électroniques — pas le béton ni la brique[2]	Une usine de grues, d'ascenseurs, de tableaux électriques ou de modules préfabriqués équipés d'électronique doit être testée séparément du reste du groupe
Vous gérez à distance les installations que vous avez posées	La gestion de services TIC entre entreprises est à l'annexe 1 : un installateur qui exploite en continu la GTB, le contrôle d'accès ou la supervision climatique de ses clients ressemble à un prestataire de services gérés	Regardez le contrat : maintenance ponctuelle, ou exploitation permanente avec accès distant et astreinte ?
Vous êtes désigné entité critique	Une organisation désignée par le ministre compétent au titre de la Wet weerbaarheid kritieke entiteiten (environ 500 organisations, dont le secteur du maintien et de la gestion des eaux) est de plein droit entité essentielle sous la Cbw[2]	Si votre entreprise exploite ou gère un ouvrage hydraulique, vérifiez si une désignation est en cours

Le vrai sujet : la chaîne d'approvisionnement de vos donneurs d'ordre

La mesure 4 de l'obligation de diligence, l'article 21 alinéa 2 sous d de la Cbw, impose aux entités concernées de sécuriser leur chaîne d'approvisionnement, y compris les aspects de sécurité dans la relation avec leurs fournisseurs et prestataires directs^[4]. Aux Pays-Bas, cela touche directement le bâtiment pour une raison de structure : les waterschappen, les communes, les provinces et les ministères sont des organismes publics assujettis quelle que soit leur taille^[2]. Les entreprises de terrassement, de voirie et d'hydraulique travaillent pour eux tous les jours.

Attention à ne pas sur-interpréter : l'article 21 ne rend pas l'entreprise de construction assujettie elle-même. Il oblige le donneur d'ordre à gérer le risque qu'elle représente. Dans la pratique néerlandaise, cela descend par le dossier de marché, pas par la loi : exigences de sécurité dans la spécification, obligation de notification contractuelle, droit d'audit, plan de continuité. Un référentiel comme la BIO encadre l'acheteur public, il ne s'applique pas automatiquement à chaque sous-traitant ; c'est le contrat qui dit ce qui vous est opposable. Lisez la spécification et les annexes avant de remettre prix.

Ce que la Cbw exige de ceux qui sont dans le champ

Si l'un des trois cas ci-dessus vous concerne, quatre obligations s'ouvrent^[1].

• Enregistrement dans le registre national des entités, tenu par le NCSC. L'enregistrement donne accès aux services du NCSC ou du CSIRT du secteur : informations sur les menaces et assistance en cas d'incident^[7].
• Obligation de diligence : mesures appropriées et proportionnées. Le NCSC les détaille mesure par mesure avec le renvoi d'article : analyse de risque, réponse à incident, continuité et sauvegardes, chaîne d'approvisionnement, hygiène cyber et formation, sécurité des systèmes et gestion des correctifs, personnel et accès, authentification multifacteur ou passkeys, politique de chiffrement, évaluation périodique de l'efficacité^[4].
• Obligation de notification, en trois temps à compter de la connaissance de l'incident : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. Un incident qui dure plus d'un mois donne lieu à un rapport d'avancement. Une seule déclaration sur MijnNCSC atteint à la fois le CSIRT sectoriel et l'autorité de contrôle. Les seuils de significativité sont fixés par arrêté ministériel et varient d'un secteur à l'autre : consultez celui de votre secteur^[5].
• Responsabilité de la direction : le conseil approuve les mesures, en surveille l'exécution, et ses membres doivent suivre une formation adéquate pour pouvoir juger des risques^[1].

Les chiffres néerlandais du secteur

Le CBS, dans la Cybersecuritymonitor 2025, mesure un recul général : 4 % des entreprises néerlandaises ont subi en 2024 au moins un incident cyber du fait d'une attaque externe, contre 11 % en 2016. Mais la construction décroche sur un point précis : 12 % des entreprises de la bouwnijverheid sont assurées contre les incidents cyber, l'un des taux les plus bas de l'économie avec le transport et l'entreposage et l'horeca, pour une moyenne nationale de 19 %^[10]. Du côté de la branche, Bouwend Nederland relaie une enquête d'ABN AMRO selon laquelle une entreprise de construction sur trois est touchée par des pirates, alors que beaucoup d'acteurs ne se voient pas comme une cible intéressante^[11]. C'est une enquête sectorielle privée, pas une statistique publique : traitez-la comme un ordre de grandeur.

Lisez les deux ensemble et la conclusion est pratique : le risque n'est pas nul, il est mal couvert, et l'exposition passe de plus en plus par les données de projet partagées entre maître d'ouvrage, bureau d'études et sous-traitants.

Les 5 premières actions

1. Passez la zelfevaluatie officielle^[3] et conservez le résultat daté. S'il est négatif, c'est exactement la pièce à joindre quand un donneur d'ordre vous demande votre statut NIS2.
2. Testez vos branches séparément : fabrication, exploitation à distance d'installations, filiales étrangères. Pour un groupe à plusieurs établissements, appuyez-vous sur la handreiking complexe bedrijfsmodellen^[9].
3. Dépouillez vos trois plus gros marchés publics en cours et extrayez les exigences cyber déjà signées : notification, accès distant, sauvegardes, droit d'audit. Beaucoup d'entreprises découvrent qu'elles ont contracté des obligations qu'elles ne tiennent pas.
4. Verrouillez la base : authentification multifacteur ou passkeys sur la messagerie et l'accès distant, sauvegarde hors ligne testée par une restauration réelle, correctifs sur les accès VPN et les postes de chantier. Ce sont les mesures 6, 8 et 3 de l'obligation de diligence^[4], et ce sont aussi les trois premières lignes de tout questionnaire client.
5. Préparez une page de réponse standard aux questionnaires de sécurité et nommez un responsable. Sans elle, chaque appel d'offres recommence à zéro.

Chez CyberNovaLabs.io

CyberNovaLabs.io travaille aux Pays-Bas, en Belgique, en France et au Luxembourg. Pour un premier repérage, utilisez le test NIS2 gratuit, puis le contrôle de sécurité e-mail : SPF, DKIM et DMARC sont la première chose qu'un donneur d'ordre vérifie sans vous le demander. Si le problème vient des questionnaires clients, partez du questionnaire de sécurité fournisseur.

Pour le contexte néerlandais, lisez aussi notre guide NIS2 Pays-Bas pour le transport et la logistique — le secteur, lui, est bien listé — et NIS2 Pays-Bas pour les cabinets d'avocats, qui traite du même angle hors champ et sous-traitance. La vue d'ensemble du pays est sur NIS2 Pays-Bas, avec les fiches industrie et services informatiques gérés pour les deux branches qui font basculer une entreprise du bâtiment.

Besoin d'un avis sur un dossier de marché précis, ou d'une mise à niveau avant un appel d'offres néerlandais ? Parlez-nous de votre situation : nous répondons sur devis, après lecture des pièces.

Sources

1. Rijksoverheid — Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht (15-08-2026)
2. NCTV — Welke organisaties vallen onder de Cyberbeveiligingswet?
3. Regelhulpen voor bedrijven — NIS2 Zelfevaluatie NL
4. NCSC — Zorgplicht Cyberbeveiligingswet (art. 21 Cbw)
5. NCSC — Meld incidenten onder de Cyberbeveiligingswet (meldplicht)
6. Staatsblad 2026, 187 — Cyberbeveiligingswet (art. 80 lid 3 en art. 87 lid 3)
7. NCSC — Registreren in het nationaal entiteitenregister
8. NCTV — Doorverwijsboom Cyberbeveiligingswet (18-03-2026)
9. NCTV — Handreiking complexe bedrijfsmodellen (18-03-2026)
10. CBS — Minder bedrijven met cyberincident, vooral grote bedrijven weerbaarder (Cybersecuritymonitor 2025)
11. Bouwend Nederland — ABN AMRO peilt cyberveiligheid in de bouw

À lire aussi