mon client demande si nous sommes couverts par la NIS2 que dois-je remplir

Vous remplissez généralement « non » ou « pas directement », sauf si vous-même êtes un secteur désigné

La plupart des fournisseurs ne sont pas directement soumis à NIS2 — ils ressentent la directive indirectement, car leur client (qui, lui, est soumis à NIS2) impose des exigences via le contrat. Si votre entreprise ne figure pas dans l'un des secteurs désignés (énergie, transport, infrastructure numérique, santé, et plusieurs autres énumérés dans les annexes I et II de la directive) et ne dépasse pas la classe de taille utilisée par la directive, vous remplissez généralement « non » ou « ne s'applique pas ». Vous ne devez pas décider seul de votre propre statut en fonction d'une supposition : l'entreprise elle-même est-elle soumise à la directive NIS2 ou à sa transposition nationale expliquez comment vous vérifiez cela, y compris la Loi sur la cybersécurité qui constitue la transposition néerlandaise et entre en vigueur le 15 août 2026.

Plus important que la question « sommes-nous soumis à NIS2 » est souvent la question qui se cache derrière : votre client veut savoir si vous appliquez également les dix mesures de l'article 21 paragraphe 2 de la directive, même si vous-même n'êtes pas soumis à la loi. De nombreux questionnaires formulent cela de manière vague en tant que « êtes-vous conforme à NIS2 », alors qu'ils demandent en fait une politique de risque, une réponse aux incidents, une continuité et un contrôle d'accès. Répondez donc non seulement à la question de statut, mais vérifiez également si le questionnaire pose des questions de suivi que vous pouvez déjà couvrir avec les réponses existantes, par exemple sur politique relative à l'analyse des risques et à la sécurité des systèmes d'information.

Fondement juridique : article 21 paragraphe 2 et le statut de votre entreprise

L'article 21 paragraphe 2 de la Directive (UE) 2022/2555 énumère les dix mesures qu'une entité « essentielle » ou « importante » soumise à NIS2 doit prendre ; la question de savoir si vous avez ce statut découle des listes de secteurs dans les annexes I et II de la même directive et, pour les Pays-Bas, de la Loi sur la cybersécurité. ISO/IEC 27001 Annexe A n'est pas une source juridique mais une mise en œuvre pratique couramment utilisée des mêmes mesures — si vous êtes certifié pour cela, c'est une preuve pertinente, pas une réponse à la question de statut elle-même.