Loi cyber néerlandaise : que peut exiger votre client ?

Depuis le 15 août 2026, les Pays-Bas appliquent leur loi sur la cybersécurité, la transposition nationale des règles européennes NIS2. Si votre entreprise compte moins de cinquante personnes, vous n'êtes probablement pas concerné — et pourtant un questionnaire d'un client portant la mention 'NIS2' peut bientôt atterrir dans votre boîte mail. Autour de ce questionnaire, on vend beaucoup en ce moment : certificats, formations, abonnements. Cet article explique ce que dit la loi elle-même sur les fournisseurs, ce que votre client peut ou non vous imposer, ce que l'État pensait que cela vous coûterait, et ce que le marché facture aujourd'hui. Avec les articles de loi, pour que vous puissiez vérifier.

Êtes-vous vous-même concerné ?

Probablement pas. La loi vise un peu plus de 8 000 organisations dans des secteurs désignés, et le seuil est de 50 salariés ou 10 millions d'euros de chiffre d'affaires ou de total de bilan. Il n'y a eu ni période transitoire ni tolérance : l'obligation est simplement entrée en vigueur le 15 août 2026.

Deux choses sont souvent mal racontées. D'abord, le 15 août est une date de départ et non une échéance — à partir de ce jour l'obligation s'applique ; il ne s'agit pas d'un délai à respecter. Ensuite, l'obligation d'enregistrement ne concerne que les organisations elles-mêmes visées ; elles s'enregistrent via mijn.ncsc.nl avec l'identifiant néerlandais eHerkenning de niveau EH2+, et doivent signaler tout changement sous quatorze jours. Si vous n'êtes pas concerné, vous n'avez à vous inscrire nulle part.

Pourquoi le questionnaire vous parvient malgré tout

Parce que le devoir de vigilance de votre client ne s'arrête pas à sa propre porte. Le décret d'application prévoit à l'article 10, alinéa 2, qu'une organisation visée vérifie si ses fournisseurs et prestataires directs respectent les exigences de sécurité — et un mot y passe souvent inaperçu : l'entité 'contrôle cela périodiquement'.

Autrement dit, vous ne remplissez pas un formulaire pour en être quitte. Vous entrez dans un cycle récurrent. Et vous ne choisissez pas le moment : le plus souvent lors d'un renouvellement de contrat, d'un appel d'offres, ou subitement, parce que le service concerné chez votre client a sa propre échéance.

Il n'existe pas de questionnaire légal — et c'est un choix

C'est la partie qui surprend le plus les dirigeants. Il n'existe pas de questionnaire fournisseur standard national, ni d'obligation légale de certification. L'article 7, alinéa 5, prévoit que votre client établit lui-même les exigences de sécurité, sur la base de son propre panorama des risques. Deux clients du même secteur peuvent donc très légitimement vous demander des choses différentes.

Ce n'est pas une négligence du législateur. Lors de la consultation publique, il a été proposé de rendre obligatoires le filtrage des fournisseurs et les audits de chaîne, et cette proposition a été explicitement rejetée parce qu'elle 'entraînerait une charge réglementaire accrue et des coûts nettement plus élevés', selon l'exposé des motifs. Les arrêtés ministériels laissent volontairement l'article sur la chaîne non détaillé.

Il en découle quelque chose de pratique. 'Nous sommes conformes NIS2' est une étiquette vide pour un fournisseur, car il n'y a rien à respecter en tant que fournisseur. Ce qui compte, c'est de pouvoir répondre aux questions de ce client-là avec quelque chose de montrable.

La seule chose que la loi dit des fournisseurs

Une caractéristique de fournisseur est nommée explicitement. L'article 21, alinéa 4, impose aux organisations de tenir compte de la qualité générale des produits et des pratiques de cybersécurité de leurs fournisseurs, 'y compris de leurs procédures de développement sécurisé'.

Traduit en pratique : si quelque chose est construit pour vous — un site, une boutique, une interconnexion, une automatisation — alors la façon dont c'est construit fait partie de votre réponse au client. C'est aussi le seul point dont vous pouvez être sûr qu'il reviendra. Si vous devez vous préparer à quelque chose, préparez-vous à ceci :

• Qui a accès aux systèmes où sont traitées les données de votre client, et comment cet accès est-il retiré quand quelqu'un part ?
• La connexion se fait-elle avec une vérification en deux étapes, et où est-ce écrit ?
• Qui intervient depuis l'extérieur, et qu'avez-vous convenu avec cette partie ?
• Existe-t-il des sauvegardes, et a-t-on déjà testé leur restauration ?
• Que se passe-t-il en cas de problème, et à quel moment votre client en est-il informé ?

Cette liste ne vous coûte pas un certificat. Elle vous coûte un après-midi, un document daté et signé, et la discipline de le mettre à jour chaque année.

Ce que la loi coûte à votre client — et ce qui a été estimé à zéro de votre côté

Dans l'exposé des motifs, l'État néerlandais a lui-même chiffré le coût pour les entreprises visées : 142 000 euros par entreprise et par an, de façon structurelle, et 1,071 milliard d'euros pour les 7 550 entreprises réunies. L'essentiel tient au devoir de vigilance : 1 758 heures par an à 63 euros de l'heure, plus 30 646 euros de coûts externes. En temps, cela représente à peu près un poste à temps plein, chaque année.

Et voici l'intéressant. Ce que ce calcul ne contient pas, c'est la facture chez les sous-traitants. Le collège néerlandais chargé d'évaluer la charge réglementaire l'a souligné ; la réponse dans l'exposé des motifs est qu'il ne s'agit que des fournisseurs pertinents pour les systèmes de l'organisation, 'de sorte que l'estimation est que sur ce point la loi et le décret n'entraînent pas de charge réglementaire supplémentaire'. La charge dans la chaîne est donc officiellement estimée à zéro.

Deux pages plus tôt, dans le même document, les entreprises interrogées disent l'inverse : celles qui travaillent beaucoup en mode projet avec des partenaires de chaîne s'attendent à ce que la conclusion d'accords avec ces parties prenne structurellement plus de temps, et le panel de PME consulté avertit que les plus petits sous-traitants 'auront du mal à satisfaire aux exigences'. C'est écrit là, au journal officiel, dans le même texte.

Le marché a depuis mis un prix sur ce zéro

La loi n'impose aucun certificat fournisseur, mais les organisations patronales néerlandaises MKB-Nederland et VNO-NCW en ont créé un via leur initiative Samen Digitaal Veilig : NIS2 Supply Chain. Il existe un pack de départ gratuit, et les niveaux payants commencent à 725 euros par an et augmentent avec l'effectif. L'audit externe n'est pas compris. Les fédérations affiliées — 96 au total, dont celles du génie technique, du bâtiment, du transport et de la métallurgie — accordent une remise à leurs membres.

Pour être juste : un tel label peut être commode. Une réponse reconnaissable vaut mieux que dix formulaires différents, et le chemin pour l'obtenir vous force à écrire des choses que vous auriez dû écrire de toute façon. Mais ce n'est pas une exigence légale, et personne ne peut vous l'imposer au nom de la loi. En résumé : le législateur a estimé les coûts de chaîne à zéro, et le marché facture cette même chaîne par fournisseur et par an.

Et puis la variante la plus lourde, parfois demandée : l'ISO 27001. L'ensemble des Pays-Bas compte 1 568 certificats ISO 27001 valides, y compris chaque banque, assureur, multinationale et hôpital (ISO Survey 2024). Pour une entreprise de moins de cinquante personnes, ce certificat est donc une exception, pas une norme. Cela se voit au prix : le seul audit coûte à une petite entreprise environ 4 000 à 12 500 euros la première année, plus 2 000 à 4 500 euros par an de contrôles intermédiaires.

Deux choses vendues comme obligations légales et qui n'en sont pas

• 'Il vous faut un certificat.' Non. La loi ne prévoit aucune obligation de certification pour les fournisseurs, et il n'existe pas de norme à respecter en tant que fournisseur. Un label facilite la réponse ; ce n'est pas une condition d'accès.
• 'La formation des dirigeants doit être donnée par une partie externe indépendante.' Cette exigence figurait dans le projet et a été supprimée. L'exposé des motifs le dit littéralement : l'exigence d'un formateur indépendant a été supprimée après la consultation publique. L'obligation de formation demeure — elle vient de la directive européenne — mais le choix du formateur est libre. Et elle s'applique à la direction de l'organisation visée, pas à vous en tant que fournisseur.

Ce que vous pouvez utilement faire maintenant

• Parcourez votre liste de clients et repérez qui est probablement visé : santé, administrations, énergie, eau, transport, grandes entreprises. C'est de là que viennent les questionnaires.
• Mettez les bases par écrit : accès, vérification en deux étapes, sauvegardes, ce qui se passe en cas d'incident, et qui est responsable de quoi. Chaque document daté et nommé.
• Ajoutez qui intervient de l'extérieur sur vos systèmes, et ce que vous avez convenu avec eux. C'est le seul point que la loi nomme explicitement.
• Répondez toujours à un questionnaire en renvoyant à un document. Une réponse sans source est une promesse ; une réponse avec source est une preuve.
• Si quelque chose vous manque, écrivez-le avec une date à laquelle ce sera fait. Un manque assumé avec un plan vaut mieux qu'une case vide — et mieux qu'une promesse intenable au tour suivant.
• N'achetez quelque chose qu'après avoir reçu deux fois la même question. Vous saurez alors de quelle question il s'agit, et vous ne paierez pas pour une réponse que personne ne demande.

Et rester calme est aussi permis

Il n'y a pas de vague de panique, et cela se mesure. La part des dirigeants néerlandais voyant la cybercriminalité comme un risque (très) élevé était de 35% en 2023, 40% en 2024, 33% en 2025 et 37% en 2026 — l'étude qualifie elle-même ce dernier mouvement de 'non significatif' (ABN AMRO/MWM2 Cybertrends 2026, n=777). Quatre années plates. Qui vous dit que le monde a soudain changé vous vend quelque chose.

Mais le risque de chaîne est bien réel, et les Pays-Bas en ont vu un exemple cette année. Le 7 avril 2026, ChipSoft a été frappé par un rançongiciel — le fournisseur qui gère les dossiers patients d'environ 76% de tous les hôpitaux néerlandais. Onze à quinze hôpitaux ont mis leurs portails patients hors ligne (sources : security.nl et NOS, avril 2026). Le point n'est pas le secteur mais le mécanisme : la sécurité propre de toutes ces organisations pouvait être irréprochable, et elles étaient à l'arrêt quand même. C'est pour cela que votre client vous pose ces questions. Pas parce qu'il se méfie de vous.