que se passe-t-il si je ne respecte pas les obligations de la directive NIS2

Surveillance, remédiation et finalement une sanction

En cas de non-respect des obligations NIS2, la pratique est d'abord une surveillance et la possibilité de remédier, puis seulement ensuite — si cela ne se produit pas — une sanction de l'autorité de surveillance. La loi sur la cybersécurité, la transposition néerlandaise de NIS2, donne à l'autorité de surveillance les instruments pour vérifier si une organisation respecte l'obligation de diligence et l'obligation de notification. L'autorité de surveillance précise varie selon le secteur; cela est détaillé sur la page relative à quelle autorité de contrôle supervise mon secteur en vertu de la directive NIS2. En cas de défaillances, l'autorité de surveillance peut donner des instructions, imposer des instructions contraignantes ou, à un stade ultérieur, procéder à l'exécution.

Ce que cela signifie concrètement dépend de ce qui ne fonctionne pas : l'absence des dix mesures obligatoires de l'obligation de diligence, une notification qui arrive tard ou ne vient pas, ou une chaîne d'approvisionnement qui n'a pas été évaluée. Pour l'obligation de notification, il existe des déclencheurs spécifiques pour lesquels une notification doit être faite; cela est détaillé sur la page relative à quand dois-je signaler un incident de cybersécurité à l'autorité de contrôle. Pour l'obligation de diligence, il s'agit d'une série de mesures qui doivent être en place dans leur ensemble, décrites sur la page relative à quelles sont les dix mesures que je dois prendre selon la directive NIS2. Il y a aussi une question distincte de savoir si la direction peut être tenue personnellement responsable d'une violation, qui est traitée séparément sur la page relative à responsabilité des dirigeants en cas de violation de la Directive (EU) 2022/2555.

Fondement dans la directive et la loi nationale

Les obligations qui font l'objet d'une surveillance proviennent de l'article 21 de la Directive (EU) 2022/2555, qui établit l'obligation de diligence raisonnable avec les dix mesures, et de l'obligation de signalement qui en est distincte ; la loi néerlandaise sur la cybersécurité transpose ces obligations en droit néerlandais et définit également les pouvoirs de l'autorité de surveillance. La mise en œuvre précise de la surveillance et les sanctions découlent de cette loi nationale et des publications des autorités de surveillance elles-mêmes, dont le NCSC.