← Toutes les ressources

NIS2 Pays-Bas : santé et laboratoires sous la Cyberbeveiligingswet

Publié le 12 octobre 2026 · 7 min de lecture · CyberNovaLabs.io

Aux Pays-Bas, la question « sommes-nous concernés ? » se tranche plus vite que dans d'autres secteurs : un établissement de soins de 50 ETP est dans le champ, et il n'y a aucune période transitoire. Voici les seuils exacts, l'autorité qui contrôle, le CSIRT qui aide, et les cinq actions à mener cette semaine.

La réponse courte

Oui, dans la très grande majorité des cas. Sur la question « NIS2 Pays-Bas santé », la loi néerlandaise est plus nette que dans beaucoup de secteurs : depuis le 15 août 2026, la Cyberbeveiligingswet (Cbw) est en vigueur et vise environ 8 000 organisations aux Pays-Bas^[1]. Un prestataire de soins (zorgaanbieder) qui atteint 50 équivalents temps plein est dedans^[4].

Deux particularités néerlandaises comptent plus que le texte européen. D'abord, il n'y a aucune période transitoire : l'inspection considère que le secteur devait déjà être au niveau, parce que la norme NEN 7510 est obligatoire depuis des années pour qui traite des données de santé^[2]. Ensuite, la santé est le seul secteur doté de sa propre règle ministérielle, la Cyberbeveiligingsregeling voor de Zorg, publiée au Staatscourant le 14 août 2026^[3].

La nuance qui trompe : un laboratoire n'est pas visé parce qu'il s'appelle laboratoire. Le texte cite les « laboratoires de référence de l'UE », pas les laboratoires d'analyses de ville^[4]. Un laboratoire néerlandais relève de la Cbw s'il est lui-même prestataire de soins au sens de la loi — sinon il la subit par ricochet, comme sous-traitant d'un hôpital qui lui imposera ses exigences par contrat.

Êtes-vous concerné ? Les critères néerlandais

La Cbw vise cinq catégories dans la santé^[4] : les prestataires de soins (zorgaanbieders), les laboratoires de référence de l'UE, les organismes de recherche et développement de médicaments, les fabricants de produits et préparations pharmaceutiques, et les fabricants de dispositifs médicaux.

Vient ensuite le seuil de taille, que les Néerlandais appellent le size cap :

• au moins 50 équivalents temps plein ; ou
• à défaut, un chiffre d'affaires annuel de plus de 10 millions d'euros et un total de bilan de plus de 10 millions d'euros^[4].

Trois exceptions néerlandaises à connaître, parce qu'elles font basculer des organisations qui se croyaient dehors :

• un fabricant de dispositifs médicaux est toujours entité importante, quelle que soit sa taille^[4] ;
• une organisation désignée par le ministère de la Santé (VWS) devient automatiquement entité essentielle, même sous le seuil ; même effet si elle est désignée entité critique au titre de la Wet weerbaarheid kritieke entiteiten^[4] ;
• les prestataires d'aide à la jeunesse (jeugdhulpaanbieders) sont hors Cbw : ils relèvent d'ISO 27001 ou d'une norme équivalente par la Jeugdwet^[2].

Essentielle ou importante : ce que ça change vraiment

Seuils et régime de contrôle : ministère de la Santé et IGJ^[4][5]. Toutes les dispositions de la Cbw s'appliquent aux deux catégories ; la différence porte sur la manière dont l'inspection vient voir^[4]. Un hôpital général est donc quasi certainement essentiel. Une clinique indépendante de 60 personnes sera importante : mêmes devoirs, mais contrôle déclenché par un signal.

Ce que la loi exige aux Pays-Bas

L'IGJ (Inspectie Gezondheidszorg en Jeugd) est l'autorité de contrôle pour la santé, et Z-CERT est le CSIRT du secteur, officiellement désigné par arrêté publié au Staatscourant le 5 octobre 2026^[6]. L'inspection liste cinq obligations, plus un droit^[5] :

1. Enregistrement : s'inscrire au portail national du NCSC et tenir ses données à jour^[5].
2. Devoir de diligence (zorgplicht) : évaluation des risques réalisée par vous, puis mesures proportionnées, chaîne de sous-traitance comprise^[4].
3. Responsabilité du conseil : la direction est responsable en dernier ressort et doit suivre une formation adaptée pour pouvoir juger risques et mesures^[5].
4. Notification : un incident significatif se déclare dans les 24 heures via MijnNCSC. Le NCSC transmet automatiquement toute déclaration du secteur santé à l'IGJ et à Z-CERT^[5].
5. Information : prévenir les personnes concernées — patients, salariés, partenaires de la chaîne — des conséquences et des gestes à faire^[5].

Le droit, c'est l'assistance de Z-CERT avant et pendant un incident^[4]. Attention : une déclaration Cbw ne remplace pas la notification de violation de données à l'Autoriteit Persoonsgegevens. L'IGJ travaille avec l'AP sur le volet vie privée, et avec neuf autres régulateurs néerlandais dans un protocole de coopération commun^[5].

Ce que l'inspection trouve sur le terrain

Ce n'est pas théorique. Fin 2025, l'IGJ a examiné la sécurité de l'information de 87 organisations de santé mentale (ggz) néerlandaises. Conclusions publiées le 27 mai 2026 : l'inspection se dit préoccupée et attend de celles qui ne travaillent pas encore selon la norme qu'elles fassent réaliser, dans l'année, au minimum une évaluation indépendante et compétente^[9]. Elle avait déjà mené le même exercice auprès des hôpitaux, des postes de garde de médecine générale, des cliniques indépendantes et des organisations de soins aux personnes âgées^[9].

Autrement dit : aux Pays-Bas, le contrôle sectoriel sur la NEN 7510 existait avant la Cbw et continue. La loi ajoute surtout l'enregistrement, le délai de 24 heures et un conseil nommément responsable.

Les 5 premières actions

1. Trancher le périmètre, par écrit. Téléchargez l'arbre de décision (beslisboom) publié par le ministère de la Santé et conservez le résultat daté^[4]. Chaque organisation doit évaluer elle-même si la loi s'applique^[8] ; en cas de contrôle, c'est cette trace qui parle.
2. Enregistrez-vous au portail du NCSC si vous êtes dans le champ, et nommez la personne qui tient les données à jour^[5].
3. Écrivez la procédure des 24 heures. Qui décide qu'un incident est « significatif », qui ouvre la déclaration MijnNCSC la nuit et le week-end, qui appelle Z-CERT, qui prévient l'AP si des données personnelles sont touchées. Testez-la une fois, à blanc.
4. Faites le pont NEN 7510 vers la Cbw. Prenez l'annexe E de la NEN 7510-2:2024+A1:2026 et marquez, ligne par ligne, ce qui est en place et ce qui manque^[7].
5. Formez le conseil d'administration et datez la séance. L'obligation de formation de la direction est dans la loi, pas dans une recommandation^[5].

Pour comparer avec un voisin, le même exercice côté belge est traité dans notre guide NIS2 Belgique : santé, hôpitaux et laboratoires, où l'autorité et le calendrier diffèrent. Pour un autre secteur sous la même loi néerlandaise, voyez NIS2 Pays-Bas : transport et logistique. Le champ d'application néerlandais pour la santé est résumé sur notre page NIS2 aux Pays-Bas, secteur santé.

Chez CyberNovaLabs.io

Nous commençons par le périmètre et la preuve, pas par un outil. Le test NIS2 en 2 minutes est gratuit et vous situe. Ensuite, deux choses se délèguent utilement : la formation du conseil et de l'encadrement, exigée par la Cbw, et la mise en forme des preuves que l'IGJ demandera. Nos interventions sont sur devis, sans engagement de durée. Nous ne promettons aucun résultat de conformité : la décision d'applicabilité reste la vôtre, et ce guide ne remplace pas un avis juridique.

Parler de votre dossier NIS2 aux Pays-Bas

Sources

1. Digitale Overheid — Cyberbeveiligingswet (NIS2-richtlijn)
2. IGJ — Vragen over cyberbeveiliging
3. Data voor gezondheid (VWS) — Cyberbeveiligingsregeling voor de Zorg gepubliceerd in de Staatscourant
4. Data voor gezondheid (VWS) — De zorgsector onder de Cyberbeveiligingswet
5. IGJ — Toezicht op cyberbeveiliging
6. Staatscourant 2026, 28763 — aanwijzing Z-CERT als CSIRT voor de zorg
7. NEN — NEN 7510-2 geactualiseerd met amendement (31/03/2026)
8. NEN — Cyberbeveiligingswet van kracht: bouw voort op uw NEN 7510-aanpak
9. IGJ — Inspectie maakt zich zorgen over informatiebeveiliging in de ggz (27/05/2026)
10. NEN — NEN 7510: informatiebeveiliging in de zorg

À lire aussi