Cyberbeveiligingswet : ce que NIS2 exige aux Pays-Bas

NIS2 est entrée dans le droit néerlandais. La Cyberbeveiligingswet (Cbw), la loi néerlandaise sur la cybersécurité, est en vigueur depuis le 15 août 2026, en même temps que son arrêté d'exécution. Aucune période de transition générale n'a été prévue. Depuis cette date, les organisations concernées doivent être enregistrées, respecter le devoir de diligence et notifier les incidents significatifs dans les 24 heures.

Une bonne partie de ce qui se classe sur « NIS2 Pays-Bas » a été écrite avant l'adoption de la loi et spécule encore sur les dates. Cet article fait le point sur la Cbw aujourd'hui : qui est concerné, ce qu'exigent le devoir de diligence et l'obligation de notification, comment fonctionnent la supervision et les amendes, et en quoi l'approche néerlandaise diffère de celle de la Belgique. Il se termine par un plan sur 90 jours pour une équipe IT de quelques personnes dans une entreprise de taille moyenne.

Où en est la Cyberbeveiligingswet

La Cbw est en vigueur. La Tweede Kamer (Chambre des représentants) l'a adoptée le 15 avril 2026 et l'Eerste Kamer (Sénat) le 7 juillet 2026. La loi et le Cyberbeveiligingsbesluit (Cbb, l'arrêté d'exécution) ont été publiés au Staatsblad sous les numéros 2026, 187 et 2026, 189, et tous deux s'appliquent depuis le 15 août 2026. La Cbw remplace l'ancienne Wbni.

Étape	Date
Date limite européenne de transposition de NIS2	17 octobre 2024
Lettre de mise en demeure de la Commission européenne aux Pays-Bas (et à 22 autres États membres)	28 novembre 2024
Adoption par la Tweede Kamer (dossier 36764)	15 avril 2026
Adoption par l'Eerste Kamer, avec la Wet weerbaarheid kritieke entiteiten (Wwke, loi sur la résilience des entités critiques)	7 juillet 2026
Loi et arrêté datés ; publiés au Staatsblad 2026, 187 et 189	8 juillet 2026 (publiés le 10 juillet)
Entrée en vigueur de la Cbw et du Cbb	15 août 2026
Date limite pour la formation en cybersécurité des membres de la direction	15 août 2028

Sources : Staatsblad 2026, 187 et 189 (officielebekendmakingen.nl), dossier 36764 de l'Eerste Kamer, Commission européenne.

Trois exceptions à l'absence de période de transition méritent l'attention. Les membres de la direction disposent de deux ans pour suivre la formation obligatoire. Les établissements d'enseignement supérieur ont 36 mois après leur désignation pour le devoir de diligence. Les notifications et décisions prises sous l'ancienne Wbni restent valables.

Le démarrage a été lent. Sur les quelque 8 000 organisations que le gouvernement s'attend à voir concernées, moins de 3 000 s'étaient enregistrées la veille de l'entrée en vigueur, selon des chiffres du NCSC repris par Binnenlands Bestuur. La RDI, principal régulateur du numérique, a indiqué qu'elle consacrerait la première année à apprendre à connaître ses secteurs, par des courriers, des questionnaires et des réunions de présentation. C'est un délai pour se préparer, pas une exemption.

Qui relève de la Cbw

La Cbw s'applique aux moyennes et grandes organisations de 18 secteurs, ainsi qu'à certaines organisations quelle que soit leur taille. Est moyenne une organisation d'au moins 50 salariés, ou dont le chiffre d'affaires et le total du bilan dépassent tous deux 10 millions €. Les grandes organisations des secteurs hautement critiques sont des entités essentielles (essentiële entiteiten) ; les autres organisations concernées sont des entités importantes (belangrijke entiteiten).

Le critère de taille suit la définition européenne des petites et moyennes entreprises, qui tient compte des entreprises liées et partenaires. Une société de 65 personnes détenue par un groupe plus important peut donc être classée comme grande. Vérifiez la structure du groupe avant de conclure que vous n'êtes pas concerné.

Classification	Qui	Supervision
Essentiële entiteit (entité essentielle)	Grandes organisations (250 salariés ou plus, ou chiffre d'affaires supérieur à 50 millions € et total du bilan supérieur à 43 millions €) dans des secteurs hautement critiques comme l'énergie, les transports, la banque, la santé, l'eau potable, l'infrastructure numérique, la gestion des services TIC et l'administration publique ; plus des cas indépendants de la taille, comme les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau, les fournisseurs de services DNS et les entités critiques au sens de la Wwke	Proactive et réactive
Belangrijke entiteit (entité importante)	Organisations moyennes des secteurs hautement critiques, et organisations moyennes ou grandes des autres secteurs critiques, comme les services postaux, les déchets, la chimie, l'alimentation, l'industrie manufacturière, les fournisseurs numériques et la recherche	Principalement a posteriori
Fournisseur d'une entité concernée	Pas réglementé directement, mais lié par les contrats clients au titre de la mesure sur la chaîne d'approvisionnement	Contractuelle, via les clients

Source : Cyberbeveiligingswet (Staatsblad 2026, 187), articles 8 et 12 ; recommandation européenne 2003/361/CE.

C'est par la troisième ligne que la plupart des entreprises néerlandaises de taille moyenne sentiront la loi en premier. Les entités concernées doivent gérer la sécurité de leur chaîne d'approvisionnement, et elles le font au moyen de questionnaires, de clauses contractuelles et de droits d'audit. Un éditeur de logiciels ou un logisticien de 120 personnes peut se trouver juridiquement hors du champ de la loi et devoir quand même démontrer l'authentification multifacteur, le contrôle d'accès et un processus de gestion des incidents pour garder un client. Le guide des obligations NIS2 liées à la chaîne d'approvisionnement détaille ce que contiennent généralement ces demandes.

L'enregistrement (registratieplicht)

Les organisations concernées devaient être enregistrées à partir du 15 août 2026, via MijnNCSC (mijn.ncsc.nl) avec eHerkenning au niveau EH2+. La loi demande votre nom, votre adresse et vos coordonnées, y compris les adresses e-mail, les numéros de téléphone et les plages d'adresses IP publiques, vos secteurs et sous-secteurs, ainsi que les pays de l'UE où vous fournissez des services. L'arrêté y ajoute votre numéro KvK (registre néerlandais du commerce), votre statut d'entité essentielle ou importante, et vos noms de domaine. Tout changement doit être signalé dans les deux semaines.

Le zorgplicht (devoir de diligence) : ce que vous devez faire

Le zorgplicht, ou devoir de diligence, prévu à l'article 21 de la Cbw exige des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui pèsent sur vos réseaux et systèmes d'information. Il énumère dix domaines que toute organisation concernée doit couvrir. Le Cbb les précise.

1. Analyse des risques et politique de sécurité de l'information
2. Gestion des incidents
3. Continuité des activités, gestion des sauvegardes et gestion de crise
4. Sécurité de la chaîne d'approvisionnement
5. Sécurité de l'acquisition, du développement et de la maintenance, y compris le traitement des vulnérabilités
6. Évaluation de l'efficacité des mesures
7. Hygiène informatique de base et formation
8. Cryptographie et chiffrement
9. Sécurité des ressources humaines, contrôle d'accès et gestion des actifs
10. Authentification multifacteur, communications sécurisées et communications d'urgence

La Cbw n'impose aucune norme en particulier. ISO 27001, la BIO 2.0 pour les administrations et la NEN 7510 pour le secteur de la santé peuvent toutes servir de structure. L'Auditdienst Rijk (service d'audit de l'État) et NOREA, l'organisation néerlandaise des auditeurs IT, ont publié un Cbw (NIS2) Control Framework qui relie ces normes aux dix domaines, désormais avec un module santé et une version anglaise.

Un certificat ne prouve pas la conformité. La RDI le dit clairement dans sa FAQ : « Nee, het voldoen aan een eigen normenkader betekent niet dat een organisatie aan de zorgplicht voldoet. » (Non, respecter son propre référentiel ne signifie pas qu'une organisation respecte le devoir de diligence.) Sa page consacrée à la supervision ajoute : « Ook mogen we ter plekke uw systemen inkijken. » (Nous pouvons aussi examiner vos systèmes sur place.)

Cette seconde phrase est le point aveugle de la plupart des explications néerlandaises. Les pages officielles énumèrent les mesures. Les cabinets d'avocats expliquent les amendes. Aucun ne dit ce qu'un inspecteur regardera une fois assis à côté de votre administrateur. En pratique, les questions sont concrètes : les accès actifs correspondent-ils à l'organigramme actuel, l'authentification multifacteur est-elle imposée partout où elle devrait l'être, comment les administrateurs et les fournisseurs se connectent-ils à distance, un ordinateur portable compromis peut-il atteindre les serveurs, et les journaux sont-ils là pour montrer ce qui s'est passé. La correspondance entre les mesures NIS2 et les contrôles techniques les passe en revue une par une.

Le meldplicht (obligation de notification)

Au titre du meldplicht, l'obligation de notification, un incident significatif doit être notifié en trois étapes via MijnNCSC : une alerte précoce dans les 24 heures après en avoir pris connaissance, une notification d'incident dans les 72 heures et un rapport final un mois après la notification. Une seule notification parvient à la fois au CSIRT de votre secteur et à votre autorité de supervision.

Étape	Terme néerlandais	Délai	Contenu
Alerte précoce	Vroegtijdige waarschuwing	Dans les 24 heures après la prise de connaissance	Soupçon ou non d'une activité malveillante, et possibilité d'un impact transfrontalier
Notification d'incident	Incidentmelding	Dans les 72 heures après la prise de connaissance	Mise à jour de l'alerte précoce, première évaluation de la gravité et de l'impact, indicateurs de compromission s'ils sont disponibles
Rapport intermédiaire	Tussentijds verslag	Sur demande	Point de situation pour le CSIRT ou l'autorité de supervision
Rapport final	Eindverslag	Un mois après la notification	Description détaillée, cause profonde probable, mesures prises, impact transfrontalier ; un rapport d'avancement si l'incident est toujours en cours

Source : Cyberbeveiligingswet, articles 26 à 29 ; NCSC, Meldplicht.

Ce qui est significatif est défini par secteur. Le Cbb permet à chaque ministère compétent de fixer des seuils dans une ministeriële regeling (arrêté ministériel), et plusieurs ont déjà été publiés, notamment pour les affaires économiques, l'administration publique, la santé et les infrastructures. Pour l'administration centrale, par exemple, une interruption de service de quatre heures ou plus est considérée comme significative. Trouvez l'arrêté de votre secteur et intégrez ses seuils à votre procédure de gestion des incidents.

Votre prestataire IT peut aider au tri et à la rédaction, mais la notification est déposée au nom de votre organisation et la responsabilité reste la vôtre. Le guide de notification des incidents NIS2 propose des modèles pour chaque étape.

Supervision, amendes et responsabilité de la direction

La supervision est répartie entre les régulateurs existants selon le secteur. La RDI couvre la plupart des secteurs numériques et l'industrie manufacturière ; l'IGJ la santé, l'ILT les transports, l'eau et la chimie, la NVWA l'alimentation, et DNB et l'AFM la finance. Les amendes atteignent 10 millions € ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et les membres de la direction peuvent être sanctionnés personnellement.

Quelle est votre autorité de supervision

Les Pays-Bas ont choisi un modèle sectoriel, coordonné par le NCTV. Le doorverwijsboom, un arbre d'orientation publié sur ncsc.nl, vous indique quelle autorité de supervision et quel CSIRT s'appliquent à votre secteur.

• RDI (Rijksinspectie Digitale Infrastructuur) : énergie, infrastructure numérique, gestion des services TIC, administration publique (sauf les waterschappen, les offices des eaux), espace, services postaux et d'expédition, industrie manufacturière (sauf les dispositifs médicaux) et fournisseurs numériques.
• IGJ : santé et fabricants de dispositifs médicaux.
• ILT : transports, eau potable, eaux usées, déchets, chimie et waterschappen.
• NVWA : alimentation.
• DNB et AFM : finance, où DORA s'applique.

Les entités essentielles font l'objet d'une supervision proactive : inspections et audits sans incident préalable. Pour les entités importantes, la supervision s'exerce principalement a posteriori, déclenchée par un incident, une notification ou un signalement. Une fois une enquête ouverte, les pouvoirs sont les mêmes.

Les amendes

Qui	Manquement	Maximum	Article de la Cbw
Entité essentielle	Devoir de diligence et obligation de notification	10 millions € ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu	80(3)(a)
Entité importante	Devoir de diligence et obligation de notification	7 millions € ou 1,4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu	87(3)(a)
Entité essentielle ou importante	Autres manquements, comme l'enregistrement	1 million €	80(3)(b), 87(3)(b)
Membre de la direction à titre individuel	Obligations de la direction prévues à l'article 24, dont la formation	25 000 €, plus une éventuelle injonction sous astreinte (last onder dwangsom)	92, 93

Source : Cyberbeveiligingswet, Staatsblad 2026, 187.

Les obligations propres à la direction

L'article 24 confie la cybersécurité au leidinggevend orgaan, l'organe de direction. La direction approuve les mesures de gestion des risques, supervise leur mise en œuvre et peut en être tenue responsable. Ses membres doivent disposer de connaissances et de compétences suffisantes, attestées par un certificat de formation, dans les deux ans suivant l'entrée en vigueur : au plus tard le 15 août 2028, ou deux ans après leur nomination pour les membres nommés plus tard. La formation n'a pas à faire des dirigeants des ingénieurs. Elle doit leur permettre d'évaluer les risques et les mesures qu'on leur propose.

Les Pays-Bas face à la Belgique

La Belgique a transposé NIS2 dans les délais, avec un cadre national unique et une voie de certification. Les Pays-Bas l'ont fait avec près de deux ans de retard, avec des autorités sectorielles et sans cadre imposé. Pour les entreprises actives dans les deux pays, les obligations se recoupent, mais les preuves attendues par chaque autorité diffèrent.

	Pays-Bas (Cbw)	Belgique (loi NIS2)
Loi	Cyberbeveiligingswet et Cyberbeveiligingsbesluit, Staatsblad 2026, 187 et 189	Loi du 26 avril 2024 et arrêté royal du 9 juin 2024
En vigueur	15 août 2026	18 octobre 2024
Coordination	NCTV ; NCSC pour l'enregistrement et la notification	Centre pour la Cybersécurité Belgique (CCB), autorité nationale et CSIRT
Supervision	Autorités sectorielles (RDI, IGJ, ILT, NVWA, DNB, AFM et autres)	CCB, avec des autorités sectorielles pour certains secteurs
Cadre	Ouvert : dix domaines, toute norme adaptée ; Control Framework ADR/NOREA comme base d'audit	CyberFundamentals (CyFun) ou ISO 27001
Preuve	L'autorité inspecte les systèmes en fonctionnement ; un certificat ne prouve pas la conformité	La certification donne une présomption de conformité ; les entités essentielles doivent être certifiées d'ici avril 2027
Enregistrement	MijnNCSC avec eHerkenning, à partir du 15 août 2026	Safeonweb@work, au plus tard le 18 mars 2025
Notification	24 heures, 72 heures, un mois, via MijnNCSC	24 heures, 72 heures, un mois, via le CCB
Formation de la direction	Certificat dans les deux ans ; amende personnelle jusqu'à 25 000 €	Formation obligatoire pour l'organe de direction

Sources : Staatsblad 2026, 187 et 189 ; NCSC ; Moniteur belge du 17 mai 2024 ; CCB.

La différence pratique tient à la question à laquelle vous devez répondre. En Belgique, c'est « quel niveau CyFun, et serons-nous certifiés dans les délais », traité dans CyFun Essential et l'échéance de 2027. Aux Pays-Bas, c'est « pouvons-nous montrer à un inspecteur que ces mesures fonctionnent réellement ». Une entreprise présente dans les deux pays peut utiliser un seul ensemble de contrôles pour les deux, et c'est là que CyFun ou ISO 27001 vous aide. Sur l'application de la loi en Belgique, voyez à quoi ressemblent les amendes NIS2 en Belgique.

Que faire dans les 90 prochains jours

Une équipe de trois à dix personnes ne peut pas bâtir un programme complet en trois mois. Elle peut combler les lacunes qu'une autorité ou un client verra en premier.

1. Semaines 1 à 2 : périmètre et enregistrement. Confirmez votre classification, sociétés du groupe comprises. Enregistrez-vous dans MijnNCSC si ce n'est pas encore fait, et trouvez votre autorité de supervision et votre CSIRT dans le doorverwijsboom.
2. Semaines 2 à 4 : préparation aux incidents. Trouvez l'arrêté ministériel de votre secteur, intégrez ses seuils dans une procédure de gestion des incidents et décidez qui dépose l'alerte des 24 heures, y compris le week-end.
3. Semaines 3 à 8 : accès. Imposez l'authentification multifacteur sur chaque point d'entrée à distance et d'administration. Vérifiez qui a accès à quoi, et supprimez ce qui ne correspond pas à l'organigramme. Remplacez l'accès large au réseau pour le personnel et les fournisseurs par un accès par application.
4. Semaines 6 à 10 : preuves. Veillez à ce que les accès, les authentifications et les actions d'administration soient journalisés de manière centralisée avec un horodatage fiable, et que vous puissiez les retrouver.
5. Semaines 8 à 12 : fournisseurs et direction. Classez vos fournisseurs selon les accès dont ils disposent, commencez par ceux qui atteignent vos systèmes à distance, et inscrivez la formation de la direction au calendrier bien avant août 2028.

Le plan NIS2 pour les équipes IT des entreprises de taille moyenne couvre le programme à plus long terme une fois ces bases en place.

Où la technologie aide, et où elle ne peut rien

Six des dix domaines relèvent de la gouvernance, des personnes et des processus : analyse des risques, continuité, gestion des fournisseurs, évaluation, formation et responsabilité de la direction. Aucun produit ne fait cela à votre place. Un outil qui prétend vous rendre conforme à la Cbw vend un document.

La technologie compte pour les mesures qu'un inspecteur testera à l'écran : contrôle d'accès, authentification multifacteur, séparation des réseaux, accès à distance sécurisé pour le personnel et les fournisseurs, et les journaux qui prouvent le tout. Ce sont aussi les mesures qui font le plus souvent défaut dans les réseaux des entreprises de taille moyenne, parce que ces réseaux se sont construits autour d'un VPN qui donne à chaque utilisateur l'accès à tout le réseau.

C'est la partie qu'une plateforme peut simplifier. Jimber est une plateforme SASE européenne qui combine l'accès réseau zero trust et l'isolation réseau avec la sécurité web et le pare-feu, avec des données traitées dans l'UE. Elle donne au personnel et aux fournisseurs l'accès à des applications précises plutôt qu'au réseau, et enregistre qui a atteint quoi. Cela aide pour plusieurs mesures techniques et pour les preuves qui s'y rapportent. Cela ne remplace ni votre analyse des risques, ni votre procédure de gestion des incidents, ni les décisions de votre direction. Si vous voulez voir ce que cela donne pour votre réseau, réservez une démo.

Les prestataires IT qui conseillent des clients néerlandais sur la Cbw peuvent aussi consulter le programme partenaires de Jimber.

Le point de vue du dirigeant sceptique

Un directeur général néerlandais au budget limité soulèvera trois objections légitimes.

« Les autorités ne peuvent pas inspecter 8 000 organisations. » C'est exact, et la RDI a indiqué que sa première année servirait à apprendre à connaître les secteurs. Pour une entité importante, une inspection inopinée est peu probable. Mais la supervision des entités importantes est déclenchée par les incidents, et c'est la notification des 24 heures qui la déclenche. Après un incident de ransomware, les premières questions porteront sur l'authentification multifacteur, l'accès à distance et la segmentation. C'est à ce moment que les mesures manquantes se transforment en amendes.

« Nos clients envoient des questionnaires, mais ils achètent sur le prix. » Parfois, pour l'instant. Mais la direction du client porte elle-même l'obligation liée à la chaîne d'approvisionnement et peut être sanctionnée pour cela, si bien que les équipes achats transforment les réponses de sécurité en critères d'entrée. Un fournisseur incapable de démontrer des contrôles de base risque de sortir de la liste restreinte avant même qu'on parle de prix.

« Nous tournons sur Microsoft 365 et Entra ID ; c'est sécurisé. » La plateforme est sécurisée ; votre configuration relève de votre responsabilité. Qui a des droits d'administration, comment les fournisseurs se connectent, si une session volée atteint plus d'une application : ce sont des paramètres du client, et c'est exactement ce qu'un inspecteur examine. Le cloud aide beaucoup. Il ne coche pas la case à lui seul.

Conclusion

La Cyberbeveiligingswet s'applique depuis le 15 août 2026. L'enregistrement, le devoir de diligence et l'obligation de notification sous 24 heures s'appliquent dès maintenant ; la formation de la direction a jusqu'en août 2028. Contrairement à la Belgique, les Pays-Bas ne vous donnent pas de cadre par rapport auquel vous certifier. L'autorité veut voir que les mesures fonctionnent, et vos clients veulent de plus en plus la même chose.

Commencez par le périmètre, l'enregistrement et la préparation aux incidents, puis traitez les accès et les preuves. Si vous souhaitez discuter de la manière de démontrer concrètement le contrôle d'accès et l'isolation réseau, réservez une démo. Si vous préférez d'abord tester par vous-même, essayez gratuitement.

Questions fréquentes

Quand la Cyberbeveiligingswet est-elle entrée en vigueur ?

Le 15 août 2026, en même temps que le Cyberbeveiligingsbesluit. Il n'y a pas de période de transition générale : l'enregistrement, le devoir de diligence et l'obligation de notification s'appliquent depuis cette date. Les membres de la direction ont jusqu'au 15 août 2028 pour suivre la formation obligatoire.

Quelle est la différence entre NIS2 et la Cyberbeveiligingswet ?

NIS2 est une directive européenne (2022/2555) que les États membres doivent transposer en droit national. La Cyberbeveiligingswet est la loi néerlandaise qui le fait. Elle remplace la Wbni et fixe les modalités néerlandaises, comme les autorités de supervision, les amendes et l'enregistrement via MijnNCSC.

Qui relève de la Cyberbeveiligingswet ?

Les moyennes et grandes organisations de 18 secteurs, soit environ 8 000 au total. Est moyenne une organisation d'au moins 50 salariés, ou dont le chiffre d'affaires et le total du bilan dépassent tous deux 10 millions €, sociétés du groupe comprises. Certaines organisations, comme les fournisseurs de services DNS et les prestataires de services de confiance qualifiés, sont concernées quelle que soit leur taille.

Qu'exige le devoir de diligence (zorgplicht) ?

Des mesures appropriées et proportionnées dans dix domaines : analyse des risques, gestion des incidents, continuité, sécurité de la chaîne d'approvisionnement, développement sécurisé et traitement des vulnérabilités, contrôle de l'efficacité, hygiène informatique et formation, cryptographie, contrôle d'accès et gestion des actifs, et authentification multifacteur avec communications sécurisées.

Dans quel délai faut-il notifier un incident selon la Cbw ?

Un incident significatif nécessite une alerte précoce dans les 24 heures après en avoir pris connaissance, une notification d'incident dans les 72 heures et un rapport final un mois après la notification, le tout via MijnNCSC. Les incidents considérés comme significatifs sont définis par secteur dans des arrêtés ministériels.

Quel est le montant des amendes prévues par la Cyberbeveiligingswet ?

Jusqu'à 10 millions € ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions € ou 1,4 % pour les entités importantes, en cas de manquement au devoir de diligence ou à l'obligation de notification. Les autres manquements peuvent coûter jusqu'à 1 million €. Les membres de la direction peuvent recevoir une amende personnelle allant jusqu'à 25 000 €.

Une certification ISO 27001 suffit-elle pour être conforme à la Cbw ?

Non. La RDI indique que respecter son propre référentiel ne signifie pas respecter le devoir de diligence. ISO 27001 offre une structure utile, mais les autorités peuvent inspecter vos systèmes sur place et regarderont comment les mesures fonctionnent réellement.

Où s'enregistrer au titre de la Cyberbeveiligingswet ?

Dans MijnNCSC (mijn.ncsc.nl), avec eHerkenning au niveau EH2+ lié à votre inscription KvK. Vous fournissez vos coordonnées, vos plages d'adresses IP publiques, vos noms de domaine, vos secteurs et les pays de l'UE où vous êtes actif, et vous signalez tout changement dans les deux semaines.

Notre prestataire IT peut-il prendre en charge l'obligation de notification ?

Il peut aider à trier l'incident et à rédiger les notifications, mais la notification est déposée au nom de votre organisation et la responsabilité juridique reste celle de votre direction. Convenez à l'avance de qui fait quoi dans la fenêtre des 24 heures.

En quoi l'approche néerlandaise diffère-t-elle de celle de la Belgique ?

La Belgique a une autorité nationale unique, le CCB, et une voie de certification via CyFun ou ISO 27001. Les Pays-Bas s'appuient sur des autorités sectorielles, n'imposent aucun cadre et inspectent le fonctionnement des mesures. Les entreprises présentes dans les deux pays s'enregistrent et notifient dans les deux systèmes.