Comment signaler à NCSC-NL au titre du CRA

1. Qui reçoit votre notification : NCSC-NL

Le Nationaal Cyber Security Centrum (NCSC-NL) réunit dans un seul organisme l’autorité et l’équipe opérationnelle. Le NCSC-NL opère depuis La Haye et entretient une tradition de publication technique ouverte supérieure à la moyenne européenne.

La chaîne est exactement celle-ci : l'autorité comme institution, NCSC-NL comme équipe opérationnelle qui lit votre notification et qui, avec l'ENISA, forme le destinataire prévu par l'art. 14.

Le NCSC-NL siège à La Haye et opère sous le ministère de la Justice et de la Sécurité. Historiquement il servait l’administration et les infrastructures critiques, tandis que les entreprises avaient des interlocuteurs distincts — le Digital Trust Center et le CSIRT pour les fournisseurs de services numériques.

2. Le canal national, en pratique

La langue de la notification peut être le néerlandais ou l’anglais : le NCSC-NL travaille couramment dans les deux et publie une grande partie de son matériel technique en anglais.

Les Pays-Bas ont entamé la consolidation de ces organisations en un centre national unique. C’est un mouvement en cours : vérifiez quel guichet est actif au moment où vous en avez besoin, plutôt que de vous fier à une référence trouvée dans un document vieux de deux ans.

NCSC-NL · site officiel

3. Le paysage dans lequel il s’inscrit

La transposition de la NIS2 accompagne cette consolidation et élargit le nombre d’entités tenues de notifier. Le modèle néerlandais reste pragmatique et fortement orienté vers le partage d’informations avec le secteur privé.

Pour le CRA, la désignation du CSIRT destinataire des notifications des fabricants suit la mise en œuvre nationale du règlement. En phase de réorganisation, cette vérification vaut double : faites-la avant de déposer, pas pendant.

Un dernier point pratique : les Pays-Bas ont une tradition établie de divulgation coordonnée des vulnérabilités, avec des lignes directrices nationales antérieures au CRA et largement adoptées. Si votre politique de divulgation suit ce modèle, vous êtes déjà proche de ce que le règlement demande à l’annexe I.

4. Comment se fait le dépôt, en bref

Le dépôt n’est pas un courriel à l’autorité : il passe par la plateforme de signalement unique instituée par l’art. 16, et l’accès exige des identifiants EU Login validés au préalable.

La chaîne des délais — 24 heures, 72 heures, rapport final — est la même dans toute l’Union et figure en entier sur la page consacrée à l’art. 14. Pour l’autre déclencheur de l’article, le délai final change : il est sur la page incident grave.

5. Ce qu'il faut préparer avant un incident

Cinq choses, mises en place calmement, font la différence entre un signalement déposé à temps et un signalement déposé trop tard. La première est le point de contact vers NCSC-NL, désigné et validé, avec un suppléant nommé : le jour du cas, on ne cherche pas qui détient les identifiants.

Aux Pays-Bas, il est utile de noter la date à laquelle vous avez vérifié le canal et le nom du contact : dans un écosystème en réorganisation, une référence contrôlée il y a six mois peut ne plus être la bonne.

Et une note sur le temps : les Pays-Bas sont en CET/CEST. Les vingt-quatre heures courent aussi la nuit et le week-end. Dans un écosystème en réorganisation, un canal vérifié et un suppléant nommé comptent davantage que la connaissance personnelle d’un contact susceptible de changer de poste.

Ce guide expose notre lecture du texte réglementaire et des procédures publiques ; il ne constitue pas un conseil juridique, et les détails opérationnels de la plateforme peuvent évoluer.