le questionnaire demande si nous avons signalé des incidents à une autorité de contrôle

L'obligation de signalement ne s'applique que si vous êtes vous-même soumis à la NIS2

Cette question n'est pertinente que si votre entreprise est elle-même une entité NIS2 — essentielle ou importante. Si vous n'en faites pas partie, la réponse est généralement « non applicable » et vous pouvez le noter ainsi, avec une brève explication des raisons. Si vous hésitez sur ce statut, il faut d'abord le clarifier via si l'entreprise relève de la directive NIS2 — la réponse à cette question en dépend directement.

Si vous êtes soumis à la NIS2, la question porte sur le fait que vous ayez effectivement signalé auprès du CSIRT ou de l'autorité de surveillance compétente les incidents qui répondent aux critères de signalement, dans les délais impartis (signalement initial, signalement intermédiaire, rapport final). Si c'est le cas, le « oui » peut être étayé par la confirmation de signalement ou le registre des incidents comme élément de preuve. Si vous n'avez tout simplement pas eu d'incident soumis à notification au cours de la période demandée, « non » est la réponse factuellement correcte — ce n'est pas un manquement, et vous pouvez le préciser ainsi dans le champ de texte libre. Le problème ne se pose vraiment que s'il y a bien eu un incident répondant aux critères et qu'aucun signalement n'a été effectué ; c'est un fait que votre dossier doit simplement refléter, ce n'est pas quelque chose à reformuler autrement. Cette question est d'ailleurs liée à la procédure de traitement des incidents de cybersécurité: sans une procédure fonctionnelle, il n'y a généralement pas non plus de processus de signalement probant.

D'où cela découle : article 21 paragraphe 2 point b et la Loi sur la cybersécurité

L'obligation de signalement elle-même ne figure pas à l'article 21 paragraphe 2 — cet article décrit les dix mesures, dont au point b la gestion des incidents en tant que mesure de contrôle. L'obligation de signalement proprement dite avec les délais est réglementée séparément dans la directive et est transposée aux Pays-Bas par la Loi sur la cybersécurité, qui entrera en vigueur le 15 août 2026. Jusqu'à cette date, il n'existe pas d'obligation légale néerlandaise de signalement fondée sur la NIS2 ; ce qu'un client demande maintenant dans un questionnaire est souvent une anticipation de cette obligation ou une question ISO 27001 concernant l'enregistrement des incidents à l'annexe A.