← Toutes les ressources

NIS2 Pays-Bas : éditeurs de logiciels et prestataires IT, concernés ?

Publié le 22 octobre 2026 · 9 min de lecture · CyberNovaLabs.io

Éditer un logiciel ne figure pas dans la loi néerlandaise. Gérer l'infrastructure d'un client, héberger, surveiller : si. Voici comment trancher votre cas en dix minutes, avec les dates néerlandaises, l'autorité compétente et la règle d'établissement principal qui décide qui vous contrôle.

La réponse courte

Aux Pays-Bas, NIS2 est transposée par la Cyberbeveiligingswet (Cbw), entrée en vigueur le 15 août 2026^[1][6]. Pour savoir si NIS2 Pays-Bas s'applique à vous, ne regardez pas votre code SBI : regardez le service que vous vendez. « Édition de logiciels » ne figure ni à l'annexe I ni à l'annexe II de la directive^[9]. Trois profils très courants dans l'informatique en relèvent en revanche directement : les fournisseurs de services gérés (MSP) et de services de sécurité gérés (MSSP), regroupés sous « beheer van ICT-diensten (B2B) » ; les fournisseurs de cloud, de centres de données, de CDN et de DNS ; et les places de marché, moteurs de recherche et réseaux sociaux en annexe II^[9].

Dit autrement : si vous vendez une licence que le client installe et exploite lui-même, vous êtes probablement hors champ. Si vous hébergez, surveillez, corrigez ou pilotez l'infrastructure au nom du client, vous y êtes presque certainement. Et être hors champ ne veut pas dire sans obligation : vos clients néerlandais soumis à la Cbw doivent sécuriser leur chaîne d'approvisionnement, donc vous.

Êtes-vous concerné ? Les critères à cocher

• Seuil de taille : au moins 50 salariés et un chiffre d'affaires annuel ou un total de bilan supérieur à 10 millions d'euros. Au-delà de 250 salariés ou de 50 millions d'euros de chiffre d'affaires, une entité des secteurs hautement critiques devient entité essentielle ; les autres sont des entités importantes^[8].
• Service géré : installez, gérez, exploitez ou maintenez-vous des produits, réseaux, infrastructures ou applications TIC pour le compte de clients ? La loi néerlandaise distingue les beheerde diensten (services gérés) des beheerde beveiligingsdiensten (services de sécurité gérés)^[3]. Vendre des heures d'ingénieur ne suffit pas ; reprendre le volant de l'infrastructure du client, oui.
• SaaS : si vous hébergez et exploitez votre propre logiciel, vous ne vendez plus une licence mais un service de cloud computing — infrastructure numérique, annexe I^[9].
• Établissement principal : voir la section suivante. C'est le point qui surprend le plus les groupes informatiques.
• Sans seuil de taille : certaines catégories relèvent de la loi quelle que soit leur taille, notamment les fournisseurs de DNS, les registres de noms de domaine de premier niveau et les prestataires de services de confiance^[9].

Ce que la loi néerlandaise exige : les repères qui comptent

La particularité néerlandaise est la répartition des rôles. Le CSIRT compétent pour « beheer van ICT-diensten » et pour les « digitale aanbieders » est le NCSC ; l'autorité de surveillance est la Rijksinspectie Digitale Infrastructuur (RDI) ; le ministère de tutelle est le ministère de l'Économie et du Climat (EZK)^[4]. La RDI surveille neuf secteurs, dont l'infrastructure numérique, la gestion des services TIC et les fournisseurs numériques^[1]. Vous aurez donc deux interlocuteurs distincts : le NCSC pour déclarer, la RDI pour contrôler.

Deux détails néerlandais à ne pas manquer. Premier : la formation des administrateurs exige un certificat prouvant que les connaissances sont à jour, et elle ne vise que les administrateurs exécutifs — les commissaires et administrateurs non exécutifs en sont exemptés^[3]. Second : la Cbw est entrée en vigueur le même jour que la Wet weerbaarheid kritieke entiteiten (Wwke), la transposition de la directive REC^[6]. Deux lois, deux périmètres, le même 15 août.

Les amendes administratives : au maximum 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel pour une entité essentielle, 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé s'appliquant^[8].

Où se trouve votre « établissement principal » ? La cascade néerlandaise

Pour les fournisseurs de services gérés, de services de sécurité gérés, de cloud, de centres de données, de CDN et de DNS, la compétence ne suit pas vos clients : elle suit votre établissement principal. Le NCSC publie une notice pour les organisations à structure complexe, qui déroule la règle en trois temps^[5] :

Conséquence pratique pour un MSP néerlandais qui sert des clients belges ou français : c'est la RDI qui le contrôle, pas le CCB belge ni l'ANSSI. Et pour un groupe informatique dont la holding est aux Pays-Bas mais dont le SOC est en Pologne, la réponse se joue à l'étape 1, sur le lieu de décision — pas sur le lieu d'exécution. Cette notice n'est pas juridiquement contraignante, elle le dit elle-même^[5] ; elle reste le meilleur point de départ.

Les trois points faibles du secteur, mesurés par la RDI

La RDI a publié les résultats de son quickscan NIS2 pour le secteur « beheer van ICT-diensten ». Les répondants s'attribuent les notes les plus basses sur trois sujets exactement^[3] :

1. Établir une procédure de notification des incidents significatifs. Le délai de 24 heures ne se tient pas sans astreinte, sans numéro du CSIRT et sans personne habilitée à déclarer un dimanche.
2. Former tous les membres du conseil. C'est une obligation nominative, avec certificat, et c'est la plus facile à régler avant une inspection.
3. Réduire les risques de la chaîne d'approvisionnement. Pour un prestataire informatique, c'est doublement vrai : vous êtes vous-même le sous-traitant critique de vos clients.

La première année de surveillance, la RDI annonce qu'elle cherche d'abord à connaître les secteurs : lettres, invitations à un entretien de prise de contact, questionnaires à remplir^[2]. Le contrôle se fait sous deux formes : ex ante, sans incident préalable, et ex post, après un incident ou un signalement^[2]. Les entités essentielles font l'objet d'une surveillance proactive ; les entités importantes, en principe réactive^[8].

L'éditeur de logiciels qui reste hors champ

Vous éditez un logiciel installé chez le client, vous êtes moins de 50 et sous les 10 millions d'euros ? Vous n'êtes probablement pas une entité Cbw. Deux obligations vous rattrapent quand même. D'abord vos clients : une entité néerlandaise soumise à la Cbw doit traiter la sécurité de sa chaîne d'approvisionnement, donc la vôtre — concrètement, des questionnaires de sécurité, des clauses contractuelles et des délais de correction opposables. Ensuite le Cyber Resilience Act, qui vise tout produit comportant des éléments numériques, indépendamment de NIS2 et de votre taille. Pour comparer deux transpositions voisines, voyez notre guide NIS2 Belgique pour les éditeurs de logiciels et prestataires IT : la Belgique a choisi un référentiel national et un échéancier d'enregistrement en deux vagues, là où les Pays-Bas ont tout fait partir du 15 août 2026.

Les 5 premières actions

1. Trancher le périmètre par entité juridique, pas par groupe : faites l'auto-évaluation du NCSC pour chaque société qui vend un service géré, un hébergement ou du SaaS.
2. Déterminer votre établissement principal avec la cascade ci-dessus, et écrire la réponse dans une note d'une page — c'est elle qui désigne votre autorité.
3. Vous enregistrer sur Mijn.NCSC.nl si vous êtes concerné : l'obligation court depuis le 15 août 2026, vous êtes responsable de votre propre enregistrement^[2][7].
4. Écrire la procédure 24 h / 72 h : qui détecte, qui qualifie « significatif », qui déclare, avec quel compte, et qui prend le relais la nuit.
5. Faire certifier la formation des administrateurs exécutifs et lancer la revue des fournisseurs — les deux autres points faibles mesurés par la RDI^[3].

Si vos clients sont des entités Cbw, le questionnaire de sécurité arrive avant l'inspection. Notre guide NIS2 Pays-Bas pour la santé et les laboratoires montre ce que ces clients-là devront exiger de vous. Et si vous cherchez à vendre à ces entreprises, lisez les règles de la prise de rendez-vous B2B aux Pays-Bas.

Chez CyberNovaLabs.io

Notre test NIS2 gratuit vous situe en quelques minutes, et la page NIS2 Pays-Bas — services informatiques gérés détaille le cas des MSP et MSSP. Si votre sujet est commercial plutôt que réglementaire, notre offre de prise de rendez-vous B2B s'adresse aussi aux prestataires informatiques, sans engagement de durée et sur devis.

Parler de votre cas avec CyberNovaLabs.io

Sources

1. RDI — De Cyberbeveiligingswet treedt in werking (15/08/2026)
2. RDI — Veelgestelde vragen (FAQ) Cyberbeveiligingswet
3. RDI — NIS2-quickscan, sector 'beheer van ICT-diensten'
4. NCSC — Doorverwijsboom Cyberbeveiligingswet 2026 (CSIRT en toezichthouder per sector)
5. NCSC — Handreiking voor organisaties met complexe bedrijfsmodellen
6. Rijksoverheid — Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht
7. RDI — Registratieplicht Cyberbeveiligingswet
8. Houthoff — Cyberbeveiligingswet vanaf 15 augustus van kracht (drempels, boetemaxima, toezicht)
9. Richtlijn (EU) 2022/2555 (NIS2), bijlagen I en II

À lire aussi