Qu'est-ce que NIS2 ?

À qui s'applique NIS2 ?

La loi sur la cybersécurité s'applique aux organisations des secteurs importants pour la société et l'économie, comme l'énergie, les transports, la santé, l'eau potable, l'infrastructure numérique, l'administration, la gestion des déchets, l'alimentation, la fabrication notamment de machines et d'électronique, et les services numériques. Selon le secteur et la taille, une organisation est une entité essentielle ou importante. Dans la plupart des secteurs, les petites entreprises n'y sont pas soumises, mais pour certains types d'organisations, comme les pouvoirs publics et les fournisseurs de services DNS, la loi s'applique quelle que soit leur taille. De nombreuses organisations y sont soumises de plein droit et doivent le vérifier elles-mêmes.

Quelles obligations en découlent ?

• Obligation d'enregistrement : depuis le 15 août 2026, les organisations s'enregistrent via MijnNCSC.
• Obligation de vigilance : cartographier les risques et prendre des mesures techniques et organisationnelles appropriées, comme la gestion des accès, la vérification en deux étapes, les sauvegardes, la sécurité de la chaîne d'approvisionnement et un plan de gestion des incidents.
• Obligation de notification : vous signalez un incident grave par une alerte précoce dans les 24 heures, une notification d'incident dans les 72 heures et un rapport final dans le mois.
• Les dirigeants approuvent les mesures, veillent à leur mise en œuvre et doivent avoir suivi une formation.

Les entités essentielles font l'objet d'une supervision proactive, les entités importantes seulement en cas d'indices de manquement.

Et si vous n'y êtes pas soumis ?

Même dans ce cas, NIS2 vous concerne : les organisations qui y sont soumises doivent évaluer leurs fournisseurs et imposent des exigences de sécurité aux logiciels et services. Un certificat comme l'ISO 27001 ou, dans la santé, la NEN 7510 aide à le démontrer.