NIS2 et immobilier : votre bâtiment est-il résilient ?

Le pare-feu est en ordre. Le MFA est activé. Les collaborateurs suivent chaque année une formation à la sécurité. Mais la porte de la salle des serveurs ? Elle reste tout simplement ouverte, et trois parties différentes y entrent et en sortent pour des raisons diverses. Dans de nombreux bâtiments, ce n'est pas l'exception, c'est la norme.

La cybersécurité est presque toujours abordée sous l'angle logiciel : pare-feu, mots de passe, environnements cloud et comportement des collaborateurs. C'est justifié, mais ce n'est pas toute l'histoire. L'infrastructure numérique d'une organisation se trouve, littéralement, quelque part. Dans une baie de brassage, un local technique, un faisceau de câbles et un raccordement qui entre dans le bâtiment. Cette couche physique reçoit rarement la même attention.

Avec l'arrivée de la loi néerlandaise sur la cybersécurité, cet angle mort devient pertinent. La question centrale de cet article est donc simple : NIS2 ne s'arrête pas à votre ordinateur portable, mais quelle est la résilience numérique du bâtiment dans lequel travaille votre organisation ?

Ce que demande la loi sur la cybersécurité, en grandes lignes

La loi néerlandaise sur la cybersécurité est la transposition nationale de la directive européenne NIS2 et est en vigueur depuis le 15 août 2026. Elle vise les organisations appartenant à des secteurs qualifiés d'essentiels ou d'importants. Toutes les entreprises n'y sont pas soumises, et il est conseillé de se référer aux informations officielles du gouvernement néerlandais et du NCSC pour déterminer si votre organisation entre dans son champ d'application.

Pour les organisations concernées, plusieurs obligations centrales entrent en jeu. En résumé, il s'agit d'une obligation de vigilance, d'une obligation d'enregistrement, d'une obligation de notification en cas d'incident et d'une responsabilité de gouvernance. Ce dernier point est notable : la résilience numérique devient ainsi explicitement un sujet pour la direction, et pas seulement pour le service informatique.

Le NCSC mentionne, dans le cadre de l'obligation de vigilance, entre autres l'analyse des risques, la réponse aux incidents, la préparation aux pannes, la sécurisation des chaînes d'approvisionnement, la protection des réseaux et systèmes d'information, le contrôle d'accès et la gestion des actifs. Et c'est précisément là que se situe le point central pour le secteur immobilier : le NCSC ne parle pas seulement des systèmes eux-mêmes, mais aussi de l'environnement physique dans lequel ces systèmes se trouvent.

Où la loi touche le bâtiment

Vous pouvez configurer votre pare-feu à la perfection, mais à quoi cela sert-il si quelqu'un peut accéder physiquement à votre commutateur, votre serveur, votre connexion fibre optique ou votre baie de brassage ? Le contrôle d'accès et la gestion des actifs concernent plus qu'un écran de connexion. Ils concernent aussi qui peut ouvrir une porte et quel équipement se trouve exactement dans un local technique.

Dans la pratique, nous rencontrons dans les bâtiments des situations qui, sous cet angle, prennent soudain un tout autre poids :

• Une salle des serveurs accessible à plusieurs parties, sans qu'aucun registre ne soit tenu de qui s'y est rendu et quand.
• Des baies de brassage non verrouillables, ou dont la clé est accessible à tout le monde.
• D'anciens commutateurs, routeurs ou modems 4G/5G dont plus personne ne connaît le propriétaire.
• Des systèmes de gestion technique du bâtiment et des caméras accessibles depuis l'extérieur et présents sur le même réseau que l'activité de l'entreprise.
• Des équipements IoT non enregistrés qui communiquent discrètement avec internet.
• Une seule connexion internet sans redondance, un câblage CAT obsolète ou une structure réseau que plus personne ne peut schématiser.
• Des raccordements en fibre optique dont on ignore qui en est le propriétaire ou le gestionnaire.

Ce que ces exemples ont en commun, c'est qu'ils apparaissent rarement dans la documentation. Il n'existe pas de plan actualisé des composants réseau, et les responsabilités entre bailleur, locataire, property manager et fournisseur informatique ne sont pas clairement réparties. Un local technique dans lequel une personne malveillante peut facilement accéder au matériel réseau n'est alors pas un risque théorique, mais une porte dérobée grande ouverte.

Le meilleur pare-feu des Pays-Bas n'arrête personne qui peut simplement pousser la porte de la salle des serveurs.

Pourquoi c'est un enjeu immobilier

Lors de la location ou de l'achat d'un bâtiment, des examens approfondis sont menés. L'étiquette énergétique, la sécurité incendie, les installations, la construction et l'état technique sont tous passés en revue. Ce qui n'est presque jamais examiné, c'est ce que le bâtiment peut supporter sur le plan numérique. Pourtant, une organisation qui ne peut plus se connecter aux applications cloud, à la téléphonie, aux systèmes de paiement ou aux environnements de production s'arrête, partiellement ou totalement, en quelques minutes.

Internet et l'infrastructure numérique sont désormais, pour de nombreuses organisations, aussi essentiels que l'électricité et l'eau. Pourtant, la salle des serveurs figure rarement sur la liste de contrôle de la due diligence technique. Il en résulte un fossé entre ce dont une organisation a besoin, sur le plan juridique et opérationnel, et ce qui se trouve réellement dans le bâtiment.

IT-Label estime donc que l'infrastructure numérique devrait faire partie de la due diligence technique lors de l'achat, de la location et du réaménagement d'un bien immobilier commercial. Cela met en avant plusieurs questions qui restent autrement sans réponse :

• Qu'achetez-vous ou louez-vous réellement sur le plan numérique, et que peut supporter le bâtiment sur le plan numérique ?
• Le bâtiment est-il prêt pour l'IA et l'infrastructure peut-elle soutenir la consommation de données future de l'organisation ?
• À quelle vitesse une entreprise redevient-elle opérationnelle lorsque le matériel réseau, le câblage ou les connexions internet tombent en panne ou sont sabotés ?
• Qui est responsable de quelle partie de l'infrastructure numérique : le locataire ou le bailleur ?

Cette dernière question a sa place dans la liste de démarcation entre les parties. Dans de nombreux contrats de bail, cependant, la répartition des responsabilités liées à l'informatique n'est pas explicitement réglée, ce qui crée de l'incertitude précisément au moment où cela compte.

La continuité comme composante de l'obligation de vigilance

L'obligation de vigilance demande entre autres une préparation aux pannes et une réponse aux incidents. Traduit à l'échelle d'un bâtiment, cela signifie : si l'unique connexion internet tombe en panne, ou si quelqu'un peut accéder physiquement au matériel réseau, combien de temps l'organisation reste-t-elle à l'arrêt ? Et le savez-vous à l'avance, ou ne le découvrez-vous qu'au moment de l'incident ?

La continuité n'est pas un concept abstrait. C'est la différence entre une panne absorbée en quelques minutes grâce à une seconde connexion, et une panne qui coûte une demi-journée de production ou de service. La redondance, un câblage documenté et des locaux techniques verrouillables ne sont donc pas seulement des questions informatiques, mais aussi des questions immobilières.

La gestion des actifs, également une composante de l'obligation de vigilance, commence par savoir ce que l'on possède. Tant que personne ne peut indiquer quel équipement est connecté en permanence à internet et à qui il appartient, il est difficile d'établir une analyse de risques sérieuse. La couche physique du bâtiment en constitue le point de départ.

Rendre visible ce qui est aujourd'hui invisible

L'IT-Label est une méthodologie de classification indépendante qui rend visible la qualité numérique d'un bâtiment. On peut le comparer à un contrôle technique numérique du bâtiment : une manière structurée de consigner ce qui est présent, ce que cela peut supporter et où se situent les points d'attention. Le résultat est un niveau de livraison numérique, exprimé par une classification allant de IT1+ PREMIUM à IT5 SHELL.

Lors de l'évaluation, IT-Label examine entre autres la fibre optique et les connexions internet, la redondance, le câblage réseau, l'infrastructure Wi-Fi, les locaux de brassage et les salles des serveurs, la sécurité physique, le matériel réseau, le contrôle d'accès, les caméras, les systèmes numériques liés au bâtiment, la documentation, la répartition des responsabilités et la pérennité. Précisément les éléments qui, dans la pratique quotidienne, sont rarement consignés en un seul endroit.

Il est important d'être clair : l'IT-Label n'est pas une certification NIS2 et ne garantit pas qu'une organisation est conforme à la loi sur la cybersécurité. La conformité légale relève de la responsabilité de l'organisation elle-même, à vérifier auprès des sources officielles. Ce que fait l'IT-Label, en revanche, c'est rendre visibles les risques numériques liés au bâtiment, afin que bailleurs, locataires et conseillers puissent conclure de meilleurs accords à ce sujet. Ainsi, la couche numérique du bâtiment devient un sujet sur lequel les parties peuvent décider en connaissance de cause.

À qui cela s'adresse

Ce n'est pas, et il faut le souligner, un sujet réservé au responsable informatique. Propriétaires immobiliers, asset managers, property managers, responsables techniques, agents immobiliers, facility managers, locataires, directions et conseillers sont tous concernés. Quelques questions le rendent concret : qui contrôle réellement l'infrastructure numérique avant qu'un locataire ne signe ? Le propriétaire sait-il quels systèmes numériques sont connectés en permanence à internet ? Et peut-on encore, en 2026, parler d'un bâtiment pérenne sans se pencher sur sa résilience numérique ?

Questions fréquentes

L'IT-Label rend-il mon organisation conforme à NIS2 ?

Non. L'IT-Label n'est pas une certification NIS2 et ne garantit pas que votre organisation est conforme à la loi sur la cybersécurité. Il rend en revanche visibles les risques numériques liés au bâtiment, afin que vous puissiez prendre de meilleurs accords à ce sujet.

Depuis quand la loi sur la cybersécurité s'applique-t-elle ?

La loi néerlandaise sur la cybersécurité s'applique depuis le 15 août 2026. Elle est la transposition néerlandaise de la directive européenne NIS2.

Mon organisation relève-t-elle de la loi sur la cybersécurité ?

Toutes les entreprises n'y sont pas soumises. La loi vise les organisations de secteurs désignés comme essentiels ou importants. Vérifiez-le à l'aide des informations officielles du gouvernement néerlandais et du NCSC.

L'obligation de vigilance NIS2 concerne-t-elle aussi la sécurité physique de la salle des serveurs ?

Oui. Dans le cadre de l'obligation de vigilance, le NCSC mentionne aussi l'environnement physique dans lequel se trouvent les réseaux et les systèmes d'information. La sécurité d'accès concerne donc aussi la question de savoir qui peut ouvrir la porte de la salle des serveurs ou de l'armoire de brassage.

Comment faire contrôler la sécurité IT physique de mon bureau ?

Avec l'IT-Label Security Audit, un spécialiste contrôle sur place le Wi-Fi, les équipements réseau, la salle des serveurs et l'armoire de brassage, le raccordement et le câblage. L'audit coûte à partir de 750 € HT par site et ne donne pas lieu à un certificat.

L'étape suivante

NIS2 fait de la résilience numérique un enjeu de gouvernance. IT-Label y ajoute une question immobilière : quelle est la résilience numérique du bâtiment dans lequel cette organisation doit fonctionner ? Les deux questions se renforcent mutuellement, et toutes deux commencent par la connaissance de la situation.

Une bonne première étape consiste en une Pré-inspection IT-Label ou une Digital Due Diligence, qui vous permet de cartographier l'infrastructure numérique liée au bâtiment avant de signer, d'acheter ou de réaménager. Propriétaires immobiliers, locataires et conseillers trouveront davantage d'informations sur l'IT-Label, la pré-inspection et la Digital Due Diligence sur www.it-label.com.

Ensemble, nous rendons visible ce qui reste aujourd'hui invisible.