dois-je signaler une violation de données au client dont les données sont concernées

Contractuellement généralement oui, légalement pas automatiquement au client

Généralement oui, mais pas parce que NIS2 l'impose ainsi. L'article 21 alinéa 2 de la directive impose de signaler une menace ou un incident significatif à l'équipe CSIRT nationale ou à l'autorité compétente — pas directement à chaque client. L'obligation de signaler au client lui-même figure généralement dans le contrat ou l'accord de traitement des données, et elle est souvent plus stricte et plus rapide que ce que NIS2 demande. Quiconque regarde uniquement la directive et ne consulte pas ses propres contrats manque donc l'obligation qui compte le plus en pratique.

Pour le client qui pose la question dans un questionnaire, il s'agit généralement non pas de l'obligation légale de signalement, mais du processus : disposez-vous d'une procédure établie pour identifier, évaluer et signaler un incident, et cette procédure précise-t-elle quand un client sera informé ? C'est exactement ce dont la procédure de traitement des incidents de sécurité traite, et la plupart des questionnaires demandent l'existence de cette procédure, non des cas d'espèce isolés. Si l'entreprise n'a pas formalisé cette procédure, la réponse honnête ici est « non » — personne ne peut remplir ici une promesse que le client sera toujours contacté.

Sur quoi ceci est fondé : article 21 alinéa 2 de NIS2 et votre propre contrat

L'article 21 alinéa 2 de la Directive (UE) 2022/2555 énumère les dix mesures qu'une entité doit prendre, dont i) un processus de gestion des incidents ; l'obligation de signalement à une autorité figure à l'article 23, non à l'alinéa 2 lui-même, et vise l'équipe CSIRT ou l'autorité compétente. L'annexe A d'ISO/IEC 27001 contient une mesure de contrôle comparable pour la gestion des incidents, y compris la communication aux parties intéressées, mais là aussi le client n'est pas automatiquement le destinataire standard — cela est défini par chaque organisation. La Loi sur la cybersécurité, la transposition néerlandaise qui entre en vigueur le 15 août 2026, suit la même structure. Quiconque souhaite vérifier si sa propre entreprise est soumise à ces règles doit vérifier cela auprès de la question de savoir si l'entreprise est une entité NIS2; le signalement au client lui-même reste dans tous les cas une question de contrat applicable.