Le 15 août 2026, les Pays-Bas ont fait entrer en vigueur la Cyberbeveiligingswet (Cbw), leur transposition nationale de la directive NIS2, sans période de grâce d'aucune sorte. Huit mille organisations sont passées du statut de non-concernées à celui d'entités obligées le même jour. Pour les organisations françaises dont une filiale, un prestataire ou un partenaire opère aux Pays-Bas, cette date a une signification immédiate. Pour celles qui attendent encore la Loi Résilience, elle en a une autre : c'est à cela que ressemble la transposition NIS2 lorsqu'elle arrive.
Huit mille organisations soumises à des obligations contraignantes dès le premier jour
Sous la première directive NIS, les Pays-Bas comptaient environ 1 000 entités régulées. La Cyberbeveiligingswet en dénombre plus de 8 000 (source : gouvernement néerlandais, communiqué du 7 juillet 2026). Cet élargissement massif de périmètre traduit l'ambition fondamentale de NIS2 : couvrir non plus seulement les opérateurs d'importance vitale classiques, mais les entreprises de taille moyenne qui structurent les chaînes de valeur sectorielles.
Le critère de taille est identique à celui de la directive européenne : au moins 50 salariés ou un chiffre d'affaires annuel ou un total de bilan supérieur à 10 millions d'euros, dans l'un des 18 secteurs listés aux annexes I et II de NIS2. Les secteurs couverts incluent l'énergie, le transport, la banque, les infrastructures de marché financier, la santé, l'eau, les infrastructures numériques, les services numériques managés, l'espace, l'administration publique, et plusieurs secteurs qualifiés d'importants.
Aucun délai d'adaptation n'a été prévu. La loi a été adoptée par le Sénat néerlandais le 7 juillet 2026, promulguée dans la foulée, et ses obligations sont entrées en vigueur le 15 août — cinq semaines plus tard. Les entités dans le champ devaient être en conformité à la date d'entrée en vigueur, pas dans les mois suivants.
Ce que la Cbw impose concrètement
La Cyberbeveiligingswet se décompose en quatre obligations que retrouvera tout lecteur familier de NIS2, puisqu'il s'agit d'une transposition fidèle de la directive.
L'obligation d'inscription. Les entités dans le champ d'application doivent s'inscrire dans un registre national géré par l'autorité de supervision compétente. Cette inscription n'est pas une démarche déclarative sans conséquence : elle atteste que l'entité a pris connaissance de ses obligations et constitue le point de départ du dialogue avec l'autorité.
L'obligation de gestion des risques. L'entité doit mettre en place des mesures de sécurité adaptées aux risques pesant sur ses systèmes d'information. La directive liste dix catégories de mesures minimales : gestion des incidents, continuité d'activité, sécurité de la chaîne logistique, sécurité des réseaux, contrôle d'accès, chiffrement, gestion des vulnérabilités, évaluation de l'efficacité des mesures, hygiène informatique et politiques de sécurité des ressources humaines.
L'obligation de notification des incidents. En cas d'incident significatif, l'entité notifie l'autorité nationale compétente sous 24 heures (alerte précoce), sous 72 heures (notification complète) et remet un rapport final dans le mois suivant. Ces délais sont identiques dans toutes les transpositions nationales, car ils sont imposés par la directive elle-même.
La responsabilité des dirigeants. La Cbw introduit explicitement la responsabilité personnelle des membres de la direction : un dirigeant peut être tenu personnellement responsable d'un manquement aux obligations de sécurité s'il est établi qu'il ne les a pas prises au sérieux. Ce mécanisme est l'un des changements les plus structurants de NIS2 par rapport à la première directive.
Ce que cette transposition révèle pour les organisations françaises
Deux populations sont directement concernées.
Les organisations françaises présentes aux Pays-Bas. Une filiale néerlandaise de taille moyenne — 50 salariés, secteur services numériques — est soumise à la Cbw depuis le 15 août. Si elle n'est pas inscrite au registre, si elle n'a pas mis en place les mesures de gestion des risques, et si elle ne dispose pas d'un processus de notification des incidents, elle est en infraction depuis cette date. La maison mère française porte souvent indirectement ce risque : les exigences de conformité groupe progressent, et l'absence de conformité d'une filiale peut peser sur des appels d'offres, des audits de prestataires ou des due diligences.
Les organisations françaises qui attendent la Loi Résilience. L'exemple néerlandais montre que NIS2 ne laisse pas de période d'adaptation après la promulgation. Lorsque la loi entre en vigueur, les obligations s'appliquent. La Loi Résilience est inscrite à l'ordre du jour de l'Assemblée nationale à partir du 7 octobre 2026 — le détail de ce calendrier est analysé dans l'article consacré à ce que les prochains jours imposent à votre programme NIS2. Si la loi est promulguée rapidement après son vote, la fenêtre entre promulgation et obligation effective sera très courte.
Un écart entre États membres qui crée de l'asymétrie opérationnelle
Un aspect rarement discuté mérite l'attention. Au 28 septembre 2026, trois États membres n'ont pas encore adopté leur transposition NIS2 : la France, l'Irlande et l'Espagne. Tous trois ont été renvoyés devant la Cour de justice de l'Union européenne par la Commission européenne le 8 juillet 2026 pour non-transposition, avec demande de sanctions financières.
Cette asymétrie crée une situation inégale pour les entreprises opérant dans plusieurs pays européens. Une ETI française présente aux Pays-Bas, en Allemagne et en Pologne — trois pays qui ont transposé NIS2 — est soumise à trois régimes nationaux distincts, avec des variations locales dans les sanctions, les autorités compétentes et les modalités de notification. Elle ne bénéficie d'aucun statut d'entité régulée en France, puisque la loi française n'existe pas encore.
Cette situation génère une charge opérationnelle réelle. Les équipes de conformité doivent surveiller non pas un régime, mais plusieurs, dont les exigences locales peuvent diverger sur les marges que la directive laisse aux États membres. La directive fixe des planchers de sanctions (10 millions d'euros ou 2 % du chiffre d'affaires pour les entités essentielles ; 7 millions d'euros ou 1,4 % pour les entités importantes), mais les États peuvent fixer des plafonds plus élevés.
Trois vérifications à conduire avant la fin du mois
La Cyberbeveiligingswet est en vigueur. La Loi Résilience française pourrait l'être d'ici la fin de l'année. Voici les points à vérifier maintenant.
Cartographier les entités du groupe soumises à une transposition NIS2 déjà en vigueur. Pays-Bas, Allemagne, Italie, Pologne, Suède, Croatie : les filiales dans ces pays sont en régime actif. Leur statut d'inscription et leur niveau de conformité aux obligations locales méritent une vérification.
Identifier le régime applicable à chaque entité. Les transpositions nationales divergent sur plusieurs points : définition précise des seuils de taille, liste des secteurs couverts, autorités de supervision compétentes, mécanismes de notification spécifiques. Un mapping pays par pays évite les angles morts.
Évaluer si vos systèmes de gestion des incidents peuvent respecter les délais NIS2. Le délai de 24 heures pour l'alerte précoce est identique dans tous les pays ayant transposé la directive. Si votre processus de détection, de qualification et de notification d'incident ne peut pas respecter ce délai, le problème n'est pas géographique : il est structurel, et il concernera votre entité française dès que la Loi Résilience sera promulguée.