Les entreprises du port de Rotterdam soumises aux obligations néerlandaises NIS2 à partir du 15 août

Image d’illustration : opérations de terminal à conteneurs au port de Rotterdam, où de nouvelles obligations néerlandaises de cybersécurité entrent en vigueur le 15 août 2026.

**Évolution vérifiée**

La loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet, Cbw) et la loi sur la résilience des entités critiques entreront en vigueur le **15 août 2026**. Le gouvernement néerlandais indique que la Cbw transpose la directive européenne NIS2 et impose aux organisations concernées de s’inscrire au registre national des entités, administré par l’intermédiaire du Centre national de cybersécurité (NCSC). L’Autorité portuaire de Rotterdam a par ailleurs déclaré que, à compter de la même date, des centaines d’entreprises du port seront soumises à de nouvelles obligations de cybersécurité, notamment l’enregistrement, un devoir de diligence et le signalement des incidents cyber significatifs.

Cette évolution est immédiatement opérationnelle dans un écosystème portuaire où les systèmes d’exploitation des terminaux, la coordination des navires et du trafic, les processus de mainlevée des marchandises, les systèmes de contrôle industriel, les interfaces douanières et les communications navire-terre dépendent de plus en plus d’infrastructures numériques connectées. La mise à jour de juillet de l’Autorité portuaire a également relié les obligations à venir aux travaux de FERM Zeehavens, la plateforme de cybersécurité des ports maritimes néerlandais d’importance nationale.

Les documents officiels examinés ne recensent pas toutes les entreprises portuaires concernées et ne publient pas de liste de contrôles techniques propres au port. Ils établissent toutefois que la date est arrêtée et que le régime dépasse une initiative volontaire de cyber-résilience. Le NCSC confirme l’entrée en vigueur de la loi le 15 août et met à disposition un canal de signalement des incidents.

**Pourquoi cela compte**

Pour les armateurs, gestionnaires, affréteurs et intérêts cargaison utilisant Rotterdam, l’exposition principale ne se limite pas à la conformité juridique d’un terminal ou d’un prestataire. Un incident cyber peut perturber la planification des postes à quai, les mouvements aux portes, les données d’arrimage et de suivi de cargaison, les flux documentaires, la coordination du soutage ou la disponibilité des technologies opérationnelles. Ces défaillances peuvent rapidement entraîner des retards et des questions de manutention, d’exécution contractuelle et de notification de sinistres.

Les opérateurs et leurs contreparties devraient donc déterminer qui pilote l’escalade d’un incident pendant l’escale, quels prestataires numériques sont essentiels à des opérations sûres et ponctuelles et comment les preuves seront préservées si un événement cyber affecte la visibilité de la cargaison ou l’escale du navire. Les contrats et procédures d’escale devraient être revus pour les circuits de notification, l’autorité décisionnelle, les solutions de continuité d’accès aux données et les interfaces avec assureurs, correspondants P&I et experts.

Il s’agit également d’un enjeu de visibilité de la chaîne logistique. Un transporteur ou un chargeur peut ne pas être directement soumis au régime néerlandais, tout en dépendant d’un terminal, agent, prestataire de remorquage, fournisseur de soutage, plateforme logistique ou installation industrielle concerné. La valeur pratique des nouvelles règles dépendra de la capacité des plans de résilience et des signalements d’incidents à fournir une information opérationnelle rapide et exploitable aux parties qui gèrent le navire et la cargaison, plutôt que de simples notifications réglementaires après une perturbation.