← Toutes les ressources

NIS2 Pays-Bas : industrie et production sont-elles concernées ?

Publié le 26 octobre 2026 · 8 min de lecture · CyberNovaLabs.io

Aux Pays-Bas, NIS2 s'appelle la Cyberbeveiligingswet et elle est en vigueur depuis le 15 août 2026. Pour une usine, le critère n'est pas « je fabrique quelque chose » : six catégories précises de l'annexe II décident, puis la taille. Ce guide donne la grille, l'autorité compétente, le guichet d'enregistrement et les délais.

La réponse courte

NIS2 Pays-Bas, vu d'une usine : une partie de la production néerlandaise est concernée, pas toute. Aux Pays-Bas, la directive s'appelle la Cyberbeveiligingswet (Cbw) et elle est entrée en vigueur le 15 août 2026^[1][2]. Le gouvernement néerlandais estime à environ 8 000 le nombre d'organisations qui tombent sous la Cbw, et à environ 500 celles visées par la Wet weerbaarheid kritieke entiteiten^[1].

Pour un industriel, le critère n'est pas « je fabrique quelque chose ». C'est d'abord une catégorie d'activité précise de l'annexe II de la directive, et ensuite la taille de l'entreprise. Si vous produisez des machines, de l'électronique, de l'équipement électrique, des véhicules ou des dispositifs médicaux, vous êtes très probablement dans le champ. Si vous faites de l'usinage à façon, de la tôlerie, de la plasturgie, de l'emballage ou du mobilier, vous n'êtes probablement pas visé directement — et vous serez quand même rattrapé par la chaîne, via les questionnaires de sécurité de vos clients qui, eux, le sont.

Les six catégories de l'annexe II qui décident

L'annexe II de la directive (UE) 2022/2555 ne retient pas « l'industrie » en bloc. Elle liste des divisions d'activité précises^[7] :

Attention au piège des dispositifs médicaux : la mention de l'annexe II renvoie à la définition réglementaire du dispositif médical, pas à une seule division NACE^[7]. Un sous-traitant d'usinage qui fabrique une pièce critique d'implant peut donc se retrouver dans le champ là où son code SBI de la KvK ne le laisse pas deviner.

Êtes-vous concerné ? Les quatre questions

• Mon activité réelle entre-t-elle dans l'une des six catégories ci-dessus ? Le code SBI de la KvK est un indice, pas la réponse : c'est l'activité décrite dans l'annexe II qui tranche^[7].
• Quelle est ma taille ? La RDI résume le seuil ainsi : plus de 50 salariés ou un chiffre d'affaires supérieur à 10 millions d'euros^[6]. La brochure officielle de la NCTV donne la matrice exacte : grande organisation à partir de 250 salariés, ou au-delà de 50 millions d'euros de chiffre d'affaires et 43 millions de bilan ; moyenne entre 50 et 249 salariés, ou au-delà de 10 millions de chiffre d'affaires et 10 millions de bilan^[11]. La NIS2-Zelfevaluatie de la RDI est l'outil officiel pour passer le test^[6].
• Suis-je exempté par ma petite taille ? Certaines catégories tombent sous la Cbw quelle que soit leur taille : réseaux et services de communications électroniques publics, prestataires de services de confiance, registres de noms de domaine de premier niveau, services DNS, services d'enregistrement de noms de domaine et organismes publics^[11]. La production n'en fait pas partie : sous le seuil, une usine sort du champ direct.
• Suis-je « belangrijk » ou « essentieel » ? Les sous-secteurs de production relèvent de l'annexe II, donc en principe de la catégorie belangrijke entiteit (entité importante) ; on ne passe en essentieel que par une désignation particulière^[7]. La différence porte sur le régime de contrôle — proactif pour les entités essentielles^[11] — et sur le plafond d'amende.

Et une cinquième question, qui n'est pas dans la loi : est-ce que je fournis une entité concernée ? Si oui, la Cbw ne s'applique pas à vous, mais les obligations de votre client sur sa chaîne d'approvisionnement arriveront chez vous par contrat.

NIS2 Pays-Bas : qui vous supervise, et où vous enregistrer

Deux autorités se partagent la production néerlandaise :

• La RDI (Rijksinspectie Digitale Infrastructuur) est l'autorité de contrôle du secteur « vervaardiging »^[6].
• Exception : la fabrication de dispositifs médicaux et de dispositifs de diagnostic in vitro relève de l'Inspectie Gezondheidszorg en Jeugd (IGJ)^[8].

L'enregistrement, lui, est centralisé : il se fait auprès du Nationaal Cyber Security Centrum via mijn.ncsc.nl^[1][4]. Il était volontaire avant l'entrée en vigueur, il est obligatoire depuis^[4]. C'est l'étape que les industriels oublient, parce qu'elle ne ressemble pas à un chantier technique.

La loi est en vigueur : dans quel ordre rattraper

1. Déterminer le champ, par écrit. Une page : activité, catégorie de l'annexe II, effectif, chiffre d'affaires, bilan, conclusion, date, signature d'un dirigeant. C'est la première chose qu'un contrôleur demande.
2. S'enregistrer sur mijn.ncsc.nl si vous êtes dans le champ^[4].
3. Inventorier l'OT. Automates, interfaces homme-machine, passerelles, accès distants de maintenance des fabricants de machines. Un inventaire d'usine qui s'arrête aux PC de bureau ne vaut rien.
4. Écrire la procédure de notification avant d'en avoir besoin : qui décide qu'un incident est « significatif », qui appelle, quel compte mijn.ncsc.nl, quel numéro la nuit.
5. Verrouiller la chaîne. Exigences de sécurité dans les contrats de maintenance, et retrait des accès distants dormants.

Notifier un incident : 24 heures, 72 heures, un mois

Les délais figurent aux articles 26 à 29 de la Cyberbeveiligingswet, et ils sont serrés^[5] :

Notez bien le point de départ du dernier délai : un mois après la notification, pas après l'incident. Dans une usine, les 24 heures se jouent la nuit ou le week-end, quand la ligne s'arrête et que l'équipe de production appelle d'abord le fournisseur de la machine. Si votre procédure n'est pas affichée là où la ligne s'arrête, elle n'existe pas.

Amendes et responsabilité des dirigeants

Les montants sont écrits dans la loi elle-même, aux articles 80 (entités essentielles) et 87 (entités importantes)^[5] :

La Cbw impose aussi une responsabilité de la direction, avec obligation de formation appropriée^[1], et l'autorité contrôle cette obligation au niveau des membres du conseil d'administration, pas seulement de l'entreprise^[11]. La mesure la moins chère du dossier est donc une demi-journée de formation du comité de direction, tracée.

Ce que 356 autoévaluations disent de la production néerlandaise

La RDI publie les résultats de sa NIS2-Quickscan par secteur. Pour la « vervaardiging », le questionnaire a été rempli intégralement 356 fois entre février 2024 et septembre 2025^[3]. Les répondants se jugent plutôt bons sur l'authentification et sur le traitement des incidents, et nettement plus faibles sur la chaîne d'approvisionnement, les procédures de notification et la formation^[3]. La RDI précise qu'il s'agit d'une auto-évaluation et qu'elle ne garantit pas la conformité^[3].

C'est utile pour hiérarchiser : là où la majorité des industriels néerlandais se jugent faibles, l'écart se creusera lors des premiers contrôles. La chaîne d'approvisionnement est d'ailleurs ce que vos clients vous demanderont en premier — voir notre guide pour répondre à un questionnaire de sécurité fournisseur.

Le dispositif néerlandais que peu d'industriels utilisent

Le Cyberweerbaarheidscentrum Maakindustrie (CWM) a été créé en Zuid-Holland par la FME et la Koninklijke Metaalunie avec Hi Delta, Security Delta (HSD) et InnovationQuarter^[10]. Il propose une mesure de cybersécurité, du conseil pratique, des ateliers, du renseignement sur la menace et un accès à des experts, sur l'IT et sur l'OT^[10]. Ce n'est pas un programme national, et l'adhésion ne rend personne conforme — mais pour une usine de Rotterdam ou de Delft, c'est le point d'entrée le moins coûteux.

Les 5 premières actions

1. Faire le test NIS2 gratuit, puis la NIS2-Zelfevaluatie de la RDI, et classer le résultat dans un dossier daté.
2. S'enregistrer sur mijn.ncsc.nl si vous êtes dans le champ.
3. Lister les accès distants des fournisseurs de machines et couper les dormants dans la semaine.
4. Écrire la procédure 24 h / 72 h / 1 mois et l'afficher au poste où la ligne s'arrête.
5. Programmer la formation du comité de direction et en garder la trace.

À lire ensuite : notre guide NIS2 en Belgique pour l'industrie et la production, qui suit la même grille avec le CCB et le référentiel CyberFundamentals, et NIS2 Pays-Bas pour les éditeurs de logiciels et les prestataires IT, utile si votre MES ou votre ERP est hébergé chez un tiers. Sur le risque OT lui-même, voir les automates industriels exposés sur Internet.

Chez CyberNovaLabs.io

Commencez par le test NIS2 gratuit : en quelques minutes, il vous dit si les six catégories de l'annexe II vous visent, et à quel niveau. La page NIS2 Pays-Bas — industrie reprend les seuils et les autorités compétentes. Pour la formation du comité de direction exigée par la Cbw, voir nos formations en entreprise. Et si vous voulez qu'on regarde votre cas avec vous, dites-nous en deux lignes ce que vous fabriquez : nous répondons sur le champ d'application, pas par un devis.

Sources

1. Rijksoverheid — Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht
2. RDI — De Cyberbeveiligingswet treedt in werking (15/08/2026)
3. RDI — Resultaten NIS2-Quickscan, sector vervaardiging
4. NCSC — Veelgestelde vragen Cyberbeveiligingswet (NIS2)
5. Cyberbeveiligingswet, Staatsblad 2026, 187 — art. 26 à 29 (meldplicht), art. 80 et 87 (bestuurlijke boete)
6. RDI — Cyberbeveiligingswet (toezicht et NIS2-Zelfevaluatie)
7. EUR-Lex — Directive (UE) 2022/2555 (NIS2), annexe II
8. CMS — Cyberbeveiligingswet voor fabrikanten van medische hulpmiddelen (toezicht IGJ)
9. NCSC — DTC en NCSC vanaf 2026 verder als versterkt NCSC
10. Cyberweerbaarheidscentrum Maakindustrie (FME, Koninklijke Metaalunie, HSD)
11. NCTV — Informatiebrochure Cyberbeveiligingswet 2026 (omvangscriteria)

À lire aussi