← Toutes les ressources

NIS2 Pays-Bas : immobilier et gestion locative, concernés ?

Publié le 17 octobre 2026 · 8 min de lecture · CyberNovaLabs.io

La Cyberbeveiligingswet est en vigueur depuis le 15 aout 2026 et vise 8 000 organisations. L'immobilier n'y figure pas. Ce qui vous oblige vraiment : la Wet goed verhuurderschap, les questionnaires de vos clients, et le prestataire ICT que vous partagez.

La réponse courte

Non, dans la quasi-totalité des cas. Aux Pays-Bas, NIS2 est transposée par la Cyberbeveiligingswet (Cbw), entrée en vigueur le 15 août 2026^[4]. Elle vise environ 8 000 organisations dans dix-huit secteurs (très) critiques^[1][2]. Ni l'agence immobilière (makelaardij), ni la gestion locative, ni le syndic de copropriété (VvE-beheer) ne figurent dans les annexes 1 et 2 de la loi. Un cabinet immobilier néerlandais de 40 personnes n'a donc ni obligation d'enregistrement, ni obligation de notification sous la Cbw.

Ce qui vous concerne quand même est ailleurs : les questionnaires de sécurité de vos clients institutionnels, la Wet goed verhuurderschap qui vous impose une traçabilité écrite, et le prestataire informatique que vous partagez avec vingt confrères. Les huit woningcorporaties paralysées en mars 2022 l'ont appris par un seul fournisseur ICT^[7].

NIS2 Pays-Bas et immobilier : êtes-vous concerné ?

Le NCSC néerlandais ramène l'assujettissement à deux questions, dans cet ordre^[1].

Première question : votre secteur est-il dans une annexe ? Voici les deux listes, telles que la loi les fixe.

Annexe 1 — secteurs hautement critiques	Annexe 2 — autres secteurs critiques
Énergie · Transport · Banque · Infrastructure des marchés financiers · Santé · Eau potable · Eaux usées · Infrastructure numérique · Gestion de services TIC · Administration publique · Espace	Fournisseurs numériques · Postes et courrier · Gestion des déchets · Denrées alimentaires · Produits chimiques · Recherche · Fabrication

L'immobilier, la location et la gestion de biens n'y sont pas. Ce n'est pas un oubli : NIS2 protège des services dont l'arrêt touche la collectivité, pas les métiers de l'intermédiation.

Deuxième question : votre taille. Le seuil (omvangscriteria, ou size cap) est atteint si vous avez 50 ETP ou plus, ou bien moins de 50 ETP mais un chiffre d'affaires annuel et un total de bilan supérieurs tous les deux à 10 millions d'euros^[1]. Les entreprises liées et partenaires (société mère, filiales) se comptent dans le calcul. Un groupe immobilier de 300 personnes reste hors champ s'il ne franchit pas la première question : le secteur commande, la taille ne fait que filtrer ensuite.

Vous doutez ? La Zelfevaluatie de la RDI tranche en quelques minutes et dit si vous seriez « essentiel » ou « important »^[1][4]. L'évaluation est à votre charge : la RDI rappelle que chaque organisation détermine elle-même si la loi lui est applicable^[4].

Les trois portes par lesquelles la Cbw entre quand même chez vous

1. Vous êtes fournisseur d'une entité assujettie. Le NCSC indique expressément que certains fournisseurs peuvent relever de la loi^[1], et l'obligation de sécurité des entités assujetties couvre leur chaîne d'approvisionnement. Un hôpital, un gestionnaire de réseau ou une administration qui vous confie son parc locatif vous transmettra donc ses exigences par contrat, pas par la loi. Même mécanisme que pour les entreprises de construction néerlandaises, elles aussi hors champ et pourtant questionnées.

2. Une entité de votre groupe est, elle, dans une annexe. Une woningcorporatie qui exploite un réseau de chaleur, une société de services qui gère de l'eau potable sur un site : l'activité annexe fait basculer l'entité juridique concernée. Le périmètre se raisonne par entité et par service, pas par logo.

3. Vous êtes évalué sans être assujetti. La situation la plus fréquente, et la plus coûteuse en temps commercial : les appels d'offres institutionnels néerlandais reprennent les exigences Cbw dans leur grille fournisseur. Vous répondez aux mêmes questions qu'une entité essentielle, sans l'accompagnement qui va avec. Un modèle de questionnaire de sécurité fournisseur fait gagner deux semaines sur le premier dossier.

Ce que la loi néerlandaise exige vraiment de vous : la Wet goed verhuurderschap

Voilà le texte qui vous oblige, lui. La Wet goed verhuurderschap (Wgv) s'applique aux bailleurs, aux intermédiaires locatifs et aux gestionnaires de logements ou d'hébergements. Son article 2 impose notamment : une procédure de sélection claire et transparente, des critères objectifs annoncés à l'offre, la motivation du choix du locataire auprès des candidats écartés, le bail écrit, et une information écrite sur les droits du locataire, la garantie, un point de contact et le meldpunt de la commune^[6].

Deux particularités néerlandaises à ne pas rater. En cas de location à des travailleurs migrants, le bail est établi séparément du contrat de travail et l'information est fournie dans une langue que le locataire préfère^[6]. Et le conseil municipal peut instaurer une verhuurvergunning — autorisation de louer — pour des zones ou catégories de logements désignées^[6]. Le contrôle est communal, pas national.

Le lien avec la sécurité informatique est direct, et presque personne ne le fait : chacune de ces obligations est une obligation de preuve écrite. Un rançongiciel qui chiffre vos dossiers locatifs ne vous expose pas seulement à une fuite de données ; il vous met dans l'incapacité de démontrer à la commune que vous avez motivé un refus, remis l'information de garantie ou spécifié les charges. La disponibilité de vos dossiers est devenue une condition de conformité au droit du logement.

Le précédent qui compte : huit corporations bloquées par un seul prestataire

Le 27 mars 2022, huit woningcorporaties néerlandaises apprennent le même jour qu'elles sont piratées par une organisation criminelle. Alwel, Laurentius et Trivire font partie du groupe. La messagerie est hors service chez la plupart ; les dirigeants se replient sur Teams, WhatsApp et des adresses privées. L'application de crise interne, censée servir précisément à ça, ne fonctionne pas non plus. Il faut arbitrer sur une rançon en bitcoins et estimer le risque de publication, sur le dark web, des données de locataires, de fournisseurs et de salariés^[7].

Le point commun des huit : un prestataire ICT externe partagé. C'est le modèle économique de l'immobilier néerlandais — mutualiser l'informatique métier entre structures moyennes — et c'est ce qui transforme un incident fournisseur en incident sectoriel. Aedes a publié l'évaluation collective sous le titre « Samen uit, samen thuis »^[7] et met à disposition la Baseline Informatiebeveiliging Corporaties (BIC), un référentiel sectoriel de sécurité de l'information — non obligatoire^[8]. Pour un gestionnaire privé, la BIC reste la grille la plus proche du métier en néerlandais.

Le risque qui coûte vraiment : le virement détourné

Avant le rançongiciel, il y a la facture modifiée. Le Fraudehelpdesk a enregistré en 2025 101 734 signalements, soit 60 % de plus qu'en 2024, 15 116 victimes déclarant un préjudice financier (+65 %) et un préjudice total déclaré de 68 492 848 euros (+30 %)^[9]. Ce sont des chiffres nationaux tous publics confondus : ils ne mesurent pas la fraude immobilière, et il serait malhonnête de les présenter ainsi. Ils donnent l'ordre de grandeur d'un mode opératoire auquel votre métier est structurellement exposé, parce qu'il fait circuler garanties, loyers et décomptes de charges entre des parties qui ne se sont jamais vues.

Les 5 premières actions

1. Tranchez votre statut par écrit, une fois. Passez la Zelfevaluatie de la RDI, imprimez le résultat, datez-le. Ce PDF répond pendant douze mois à tous les questionnaires clients « êtes-vous assujetti NIS2 ? ».
2. Mettez votre messagerie au niveau. SPF, DKIM et DMARC en politique restrictive : c'est la contre-mesure directe du détournement de virement et la première ligne de toute grille fournisseur. Notre contrôle de sécurité e-mail gratuit donne le verdict sur votre domaine en une minute.
3. Nommez votre dépendance ICT. Une page : qui héberge votre logiciel métier, qui administre vos comptes, quel est son délai de rétablissement contractuel, qui prévient les locataires si lui tombe. Les huit corporations de 2022 ont découvert ces réponses en situation de crise^[7].
4. Sauvegardez hors de portée. Une copie des dossiers locatifs et de la comptabilité, isolée du domaine, testée en restauration une fois par trimestre. C'est ce qui vous permet de prouver vos obligations Wgv même pendant un incident.
5. Préparez votre réponse type aux questionnaires. Les mêmes vingt questions reviennent ; répondues une fois proprement, elles raccourcissent chaque appel d'offres suivant.

Pour la vue d'ensemble du pays : notre page NIS2 Pays-Bas. Pour le même métier sous une autre loi nationale : nos repères sur l'immobilier et la gestion locative en Belgique, où le régime et l'autorité diffèrent.

Chez CyberNovaLabs.io

CyberNovaLabs.io travaille aux Pays-Bas, en Belgique, en France et au Luxembourg. Commencez par le test NIS2 gratuit : il situe votre structure et, si vous êtes hors champ comme la plupart des acteurs de l'immobilier, il vous dit ce que vos clients vous demanderont quand même.

Si le sujet est aussi commercial que réglementaire, nous ouvrons des agendas : voyez le rendez-vous B2B dans l'immobilier d'entreprise. Sur devis, sans engagement de durée.

Demandez une revue de 30 minutes de votre exposition : messagerie, dépendance ICT, questionnaires clients.

Sources

1. NCSC — Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)?
2. NCSC — Cyberbeveiligingswet (NIS2)
3. NCSC — Meld incidenten onder de Cyberbeveiligingswet (meldplicht)
4. RDI — De Cyberbeveiligingswet treedt in werking (15 augustus 2026)
5. RDI — Registratieplicht Cyberbeveiligingswet
6. Wet goed verhuurderschap (wetten.overheid.nl)
7. Aedes — De digitale inbraak bij 8 corporaties
8. Aedes — Informatiebeveiliging en privacy (Baseline Informatiebeveiliging Corporaties)
9. Fraudehelpdesk — Terugblik 2025

À lire aussi