← Toutes les ressources

NIS2 Pays-Bas : votre boutique en ligne est-elle concernée ?

Publié le 1 novembre 2026 · 8 min de lecture · CyberNovaLabs.io

La loi néerlandaise ne vise pas « l'e-commerce ». Elle vise trois services numériques, dont les places de marché en ligne. Voici le test exact, les obligations réelles, et ce qui rattrape un webshop pourtant hors périmètre.

La réponse courte

Non, pas pour une boutique en ligne classique. Depuis le 15 août 2026, la Cyberbeveiligingswet (Cbw) transpose NIS2 aux Pays-Bas et fixe des exigences à environ 8 000 organisations essentielles ou importantes^[1][4]. Mais pour l'e-commerce, l'annexe 2 de la loi ne retient que trois catégories de « digitale aanbieders » : les aanbieders de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de réseaux sociaux^[2]. Vendre vos propres produits sur votre propre site ne vous fait pas entrer dans ce périmètre.

Ce qui fait basculer, c'est l'ouverture du catalogue à des vendeurs tiers. La Cbw définit l'onlinemarktplaats comme un service utilisant un logiciel — un site, une partie de site ou une application gérée par ou pour un commerçant — qui permet à des consommateurs de conclure des contrats à distance avec d'autres commerçants ou consommateurs^[2]. Le mot décisif est « d'autres ». Tant que le seul vendeur, c'est vous, le service n'est pas une place de marché.

NIS2 Pays-Bas : êtes-vous concerné ? Les deux filtres

Deux conditions, cumulatives. Les deux doivent être vraies.

Filtre 1 — la nature du service

• Vous vendez uniquement vos propres produits ou services, même pour 40 millions d'euros par an : hors périmètre au titre de l'annexe 2.
• Des vendeurs tiers concluent des contrats via votre interface — marketplace, place de marché B2B, modèle où le tiers reste le vendeur juridique : dans le périmètre, à examiner.
• Vous exploitez, hébergez ou infogérez les boutiques d'autrui : ce n'est pas la catégorie « place de marché » qui vous concerne, mais « beheer van ICT-diensten », cloud ou datacentre^[2]. Le raisonnement est détaillé dans notre guide sur NIS2 aux Pays-Bas pour les éditeurs de logiciels et les prestataires IT.

Filtre 2 — la taille

Le NCSC formule le seuil néerlandais ainsi : 50 collaborateurs (en ETP) ou plus ; ou moins de 50 collaborateurs mais un chiffre d'affaires annuel et un total de bilan tous deux supérieurs à 10 millions d'euros^[5]. Attention au calcul : les entreprises partenaires et liées — société mère, filiales — comptent^[5]. Une place de marché qui franchit les deux filtres est une entité importante (belangrijke entiteit), et non essentielle : les fournisseurs numériques de l'annexe 2 ne figurent pas parmi les entités essentielles^[2].

Ce que la loi néerlandaise exige d'une place de marché

Trois obligations — s'enregistrer, prendre les mesures, déclarer — et quatre interlocuteurs qu'il ne faut pas confondre.

1. S'enregistrer, et deux fois

Il y a d'abord le registre national des entités (articles 43 à 46 Cbw), alimenté via MijnNCSC. Il y a ensuite une obligation propre aux fournisseurs numériques : l'article 47 Cbw impose aux aanbieders de places de marché en ligne de transmettre des informations au point de contact central pour le registre de l'ENISA^[2]. Deux démarches, pas une.

Le détail opérationnel qui retarde tout le monde : l'accès à MijnNCSC se fait avec eHerkenning de niveau EH2+ assorti d'une habilitation, rattachée au numéro KvK de l'organisation qui s'enregistre — et la demande peut prendre plusieurs jours. Le formulaire réclame les adresses IP publiques ou plages d'IP, les noms de domaine et les numéros AS (ASN)^[9].

2. Prendre les mesures (zorgplicht, article 21 Cbw)

Le NCSC décline l'article 21 en dix mesures : analyse de risque, réponse à incident, continuité et sauvegardes, sécurité de la chaîne d'approvisionnement, hygiène et formation, sécurisation des systèmes avec gestion des correctifs et point de contact pour les signalements de vulnérabilité, gestion du personnel, des accès et des actifs, authentification, politique de chiffrement, et évaluation périodique de l'efficacité des mesures^[8].

Deux points sont plus directifs que la moyenne européenne. D'abord, le NCSC recommande explicitement les passkeys (standard FIDO2) au lieu des mots de passe, et l'authentification multifacteur partout où un mot de passe subsiste^[8]. Ensuite, l'article 24 Cbw exige que les mesures soient approuvées par la direction, chaque membre devant disposer des connaissances pour identifier les risques et juger des mesures de maîtrise^[2].

3. Déclarer les incidents significatifs

Une seule déclaration sur MijnNCSC atteint à la fois votre CSIRT sectoriel et l'autorité de contrôle^[7]. Les délais courent à partir du moment où vous prenez connaissance de l'incident.

Un incident mineur ou un presque-incident peut être déclaré volontairement : cette déclaration ne part qu'au CSIRT, pas à l'autorité de contrôle^[7].

Qui fait quoi, et combien coûte un manquement

C'est la répartition publiée par le NCSC pour la sector « digitale aanbieders », et la Cbw désigne le ministre des Affaires économiques comme autorité compétente pour cette sector^[6][2]. Les critères sectoriels et les seuils de déclaration sont précisés par le ministère responsable^[13].

Les amendes figurent dans le texte même de la loi. Pour une entité importante : au plus 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial annuel du groupe réalisé lors de l'exercice précédent, le montant le plus élevé s'appliquant, en cas de manquement aux articles 21, 21a et 25 à 30 ; 1 million d'euros pour un autre manquement^[2]. Et une disposition souvent oubliée : l'article 93 Cbw permet d'infliger à un membre de la direction, personnellement, une amende d'au plus 25 000 euros pour manquement à l'article 24, alinéas 2 à 6^[2]. Le devoir de compétence du dirigeant n'est donc pas une formule de style.

Pourquoi un webshop néerlandais devrait s'en occuper quand même

Le marché est trop dépendant de quelques maillons pour traiter la sécurité comme un sujet de conformité. Au premier semestre 2026, les consommateurs néerlandais ont réalisé plus de 170 millions d'achats en ligne, soit 3 % de plus qu'un an plus tôt, pour 17,1 milliards d'euros de dépenses quasi stables et un panier moyen de 100 euros, en baisse de 3 %^[12]. Deux chiffres pèsent plus que les autres sur votre surface d'attaque : 45 % des achats passent par un smartphone, et iDEAL|Wero représente 73 % du nombre d'achats en ligne^[12]. Une page de paiement détournée ou un compte d'administration compromis touchent donc, chez vous, le canal par lequel passe l'essentiel du chiffre.

Troisième chiffre utile pour qui vend au-delà de la frontière : 14 % des achats en ligne des Néerlandais se font chez un webshop étranger^[12]. Si vous vendez aux Pays-Bas depuis la France ou la Belgique, les attentes de sécurité de vos clients néerlandais s'appliquent avant toute question de périmètre légal — c'est le même réflexe que décrit notre guide sur la prospection et la prise de rendez-vous B2B aux Pays-Bas.

Les 5 premières actions

1. Tranchez votre statut par écrit, aujourd'hui. Une page suffit : votre activité réelle, la présence ou l'absence de vendeurs tiers concluant des contrats via votre site, les deux critères de taille avec les chiffres de l'exercice, la date de la vérification et la source (annexe 2 Cbw, Staatsblad 2026 n° 187). C'est ce document que vous ressortirez au prochain questionnaire client, sans refaire l'analyse.
2. Si vous êtes dans le périmètre, lancez eHerkenning EH2+ avant tout le reste : c'est le poste le plus long. Rassemblez en parallèle vos plages d'IP publiques, vos noms de domaine et vos numéros AS, puis ouvrez le formulaire MijnNCSC d'un seul tenant^[9]. Et n'oubliez pas le second envoi, pour le registre de l'ENISA^[2].
3. Écrivez la procédure 24 heures / 72 heures / 1 mois avec un nom, un suppléant et un numéro de téléphone, et faites-la tourner une fois à blanc : qui qualifie un incident de « significatif », qui dépose sur MijnNCSC, qui informe les clients et les vendeurs tiers.
4. Passez vos comptes d'administration aux passkeys — back-office, hébergeur, DNS, boîte d'expédition, compte prestataire de paiement — et publiez une adresse de signalement de vulnérabilité, les deux étant explicitement demandés par le NCSC^[8].
5. Interrogez vos prestataires. Hébergeur, agence e-commerce, PSP, transporteur : lesquels relèvent eux-mêmes de la Cbw, qui vous prévient en combien de temps en cas d'incident chez eux, et que dit le contrat ? C'est exactement la mesure 4 de la zorgplicht^[8].

Chez CyberNovaLabs.io

Nous commençons toujours par la question de périmètre, parce qu'une réponse écrite coûte une demi-journée et évite des mois de conformité inutile. Pour dégrossir seul, utilisez notre test NIS2 gratuit, puis la page pays NIS2 aux Pays-Bas qui récapitule autorités, échéances et secteurs. Si la demande vient d'un client et non du régulateur, c'est plutôt notre dossier de réponse aux questionnaires de sécurité fournisseur qu'il vous faut. Et si la charge à automatiser vous dépasse, voyez notre offre IA et automatisation en entreprise.

Nous travaillons aux Pays-Bas, en Belgique, en France et au Luxembourg, en français, néerlandais et anglais. Dites-nous votre modèle — vente propre, place de marché, ou les deux — et nous vous rendons une position écrite, sourcée, opposable à un client. Parlez-nous de votre situation.

Sources

1. NCSC — Cyberbeveiligingswet (NIS2)
2. Cyberbeveiligingswet, texte en vigueur depuis le 15-08-2026 (wetten.overheid.nl)
3. Staatsblad 2026, 187 — Cyberbeveiligingswet (loi du 8 juillet 2026)
4. Rijksoverheid — Cyberbeveiligingswet et Wet weerbaarheid kritieke entiteiten en vigueur au 15 août 2026
5. NCSC — Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)?
6. NCSC — Toezicht op de Cyberbeveiligingswet: hoe zit dat?
7. NCSC — Meld incidenten onder de Cyberbeveiligingswet (meldplicht)
8. NCSC — Zorgplicht: de tien maatregelen van artikel 21 Cbw
9. NCSC — Registreer jouw organisatie (MijnNCSC, eHerkenning EH2+)
10. RDI — NIS2-zelfevaluatie (regelhulpen voor bedrijven)
11. ACM — Handreiking Digital Services Act voor webwinkels en marktplaatsen
12. Thuiswinkel.org / NielsenIQ — Thuiswinkel Markt Monitor, premier semestre 2026
13. NCTV — Sectorspecifieke informatie Cyberbeveiligingswet

À lire aussi