qu'est-ce que la loi sur la cybersécurité et qu'est-ce qui change

La Loi sur la cybersécurité transpose la NIS2 en droit néerlandais

La Loi sur la cybersécurité est la loi néerlandaise qui transpose la directive européenne NIS2 en règles nationales. La NIS2 est une directive européenne, et une directive ne s'applique pas automatiquement dans chaque pays — une législation nationale est nécessaire à cet effet. Aux Pays-Bas, c'est la Loi sur la cybersécurité, disponible auprès de l'autorité législative. En gros, la loi suit la directive : les mêmes secteurs, la même classification en entités essentielles et importantes, et le même ensemble d'obligations. Celui qui souhaite savoir si son secteur relève des annexesy trouvera l'aperçu qui forme la base de cette loi.

Ce qui change pour les organisations soumises à la loi, c'est principalement l'étendue des obligations. Une obligation de diligence raisonnable s'ajoute : prendre les mesures appropriées pour sécuriser ses propres systèmes numériques. Une obligation d'enregistrement auprès de l'autorité de surveillance s'ajoute. Et une obligation de notification en cas d'incident s'ajoute, accompagnée de la question de savoir quand et auprès de qui la notification doit être faite. Pour les organisations qui ne sont pas elles-mêmes soumises à la loi, quelque chose change également indirectement : les organisations soumises à l'obligation doivent évaluer leurs fournisseurs, ce qui signifie que les entreprises non soumises à l'obligation peuvent également recevoir des questionnaires et des clauses contractuelles. Celui qui se demande pourquoi ces questions arrivent malgré touty lira comment cet effet en cascade fonctionne dans la chaîne d'approvisionnement.

D'où cela découle : la transposition des articles 21 et 23

Les obligations énoncées dans la Loi sur la cybersécurité découlent directement de la directive NIS2 : l'article 21, paragraphe 2, de la Directive (UE) 2022/2555 énumère les dix mesures qui constituent la base de l'obligation de diligence raisonnable, et l'obligation de notification est également définie dans la directive. La loi néerlandaise détaille ces exigences dans les dispositions nationales, consultables auprès de l'autorité législative. L'NCSC fournit des conseils sur la manière dont l'obligation de diligence raisonnable et l'obligation de notification sont mises en œuvre dans la pratique.