Guide NIS2 · 11 min
NIS2 pour les fournisseurs : vous n'êtes pas désigné, mais vos clients le sont
La plupart des entreprises ne sont jamais formellement désignées comme entités essentielles ou importantes au titre de NIS2. Beaucoup doivent pourtant s'y conformer. Si vos clients relèvent de NIS2, la directive les rend responsables de la sécurité de leur chaîne d'approvisionnement, et cette responsabilité vous atteint par les contrats, les questionnaires et une surveillance continue. Ce guide explique comment l'obligation se répercute sur un fournisseur non désigné, ce que vos clients vont demander, et comment répondre de façon crédible et en faire un avantage commercial.
Points clés
- NIS2 n'a pas besoin de vous nommer. Si vos clients sont dans le champ, leur obligation de sécurité de la chaîne d'approvisionnement (article 21, paragraphe 2, point d) devient votre réalité contractuelle.
- Attendez-vous à des questionnaires de sécurité, à des preuves des mesures de l'article 21, paragraphe 2, à une clause de notification d'incident et, de plus en plus, à l'acceptation d'une surveillance continue.
- Les fournisseurs capables de démontrer leur sécurité sur demande conservent leurs contrats et en gagnent de nouveaux ; ceux qui ne le peuvent pas sont remplacés en silence.
Comment NIS2 atteint un fournisseur jamais désigné
NIS2 s'applique directement uniquement aux organisations qu'elle classe comme entités essentielles ou importantes, selon le secteur et la taille. Si vous n'en êtes pas, aucune autorité nationale ne vous adressera d'injonction. C'est là que beaucoup de fournisseurs cessent de lire, et là que naît le malentendu.
La directive ne régule pas directement les fournisseurs de vos fournisseurs. Elle rend plutôt chaque entité concernée responsable du risque de cybersécurité dans sa propre chaîne d'approvisionnement (article 21, paragraphe 2, point d). Pour s'acquitter de cette obligation, vos clients doivent évaluer, encadrer et surveiller la sécurité des fournisseurs dont ils dépendent. Si vous êtes l'un d'eux, leur obligation juridique devient votre obligation commerciale. Vous êtes impliqué indirectement, par la relation et non par une désignation.
Ce que votre client concerné doit faire, et pourquoi cela retombe sur vous
L'article 21, paragraphe 2, point d exige des entités essentielles et importantes qu'elles gèrent la sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité de la relation entre chaque entité et ses fournisseurs ou prestataires directs. En pratique, votre client doit :
- Identifier les fournisseurs critiques pour ses services et évaluer le cyber-risque que chacun introduit.
- Fixer des exigences de sécurité pour ces fournisseurs et les inscrire dans les contrats et les accords de traitement des données.
- Vérifier que les exigences sont respectées, non pas une fois à l'intégration mais en continu.
- Assumer les incidents qui trouvent leur origine chez un fournisseur, car au titre de NIS2 une perturbation causée par un fournisseur reste l'incident que le client doit traiter et notifier.
- Démontrer à son autorité de contrôle que cette supervision des fournisseurs a réellement lieu.
Ce que vos clients vous demanderont
À mesure que cette supervision mûrit, les demandes adressées aux fournisseurs convergent vers un ensemble reconnaissable :
- Un questionnaire de sécurité ou une auto-évaluation, souvent rattaché aux mesures de l'article 21, paragraphe 2 ou à une norme comme ISO 27001.
- Des preuves derrière les réponses : politiques, certificats et résultats récents de tests ou d'analyses, plutôt que des affirmations non étayées.
- Une clause de notification d'incident vous engageant à alerter rapidement le client lorsque quelque chose le concerne, afin qu'il respecte ses propres délais de notification.
- Des exigences de sécurité contractuelles et, pour les fournisseurs critiques, un droit d'audit ou de demander une assurance indépendante.
- L'acceptation d'une surveillance externe continue, car un questionnaire ponctuel rempli l'an dernier ne satisfait plus une obligation continue.
Les mesures de l'article 21, paragraphe 2 que vos clients attendent de vous
Même si l'article 21, paragraphe 2 lie votre client et non vous, ses dix mesures sont le modèle que la plupart des acheteurs réutilisent pour fixer les exigences à leurs fournisseurs. Mieux vaut pouvoir montrer, à votre échelle, que vous traitez chacune :
Gestion des risques et politiques
Une approche documentée et régulièrement revue du risque de sécurité de l'information, portée au niveau de la direction. (art. 21, § 2, a)
Gestion des incidents
Un processus défini pour détecter les incidents de sécurité, y répondre et en tirer des leçons. (art. 21, § 2, b)
Continuité d'activité et sauvegardes
Sauvegardes, plans de reprise et gestion de crise pour que le service survive à une perturbation. (art. 21, § 2, c)
Sécurité de la chaîne d'approvisionnement
Votre propre supervision des sous-traitants et prestataires dont vous dépendez ; l'obligation se propage le long de la chaîne. (art. 21, § 2, d)
Acquisition, développement et maintenance sécurisés
La sécurité intégrée à la façon dont vous achetez, construisez et corrigez vos systèmes, y compris la gestion et la divulgation des vulnérabilités. (art. 21, § 2, e)
Évaluation de l'efficacité
Tests et revues périodiques pour confirmer que les mesures fonctionnent réellement. (art. 21, § 2, f)
Cyberhygiène et formation
Pratiques de base et sensibilisation du personnel, tenues à jour. (art. 21, § 2, g)
Cryptographie et chiffrement
Usage approprié de la cryptographie pour protéger les données en transit et au repos. (art. 21, § 2, h)
Contrôle d'accès et gestion des actifs
Connaître vos actifs et contrôler qui peut accéder à quoi. (art. 21, § 2, i)
Authentification multifacteur et communications sécurisées
MFA, et communications vocales, vidéo, texte et d'urgence sécurisées le cas échéant. (art. 21, § 2, j)
La notification d'incident circule dans les deux sens
NIS2 impose aux entités concernées un calendrier serré : une alerte précoce sous 24 heures, une notification plus complète sous 72 heures et un rapport final sous un mois (article 23). Elles ne peuvent pas le respecter si un fournisseur garde une mauvaise nouvelle pour lui. Leurs contrats exigent donc de plus en plus que vous les informiez sans délai lorsqu'un incident affecte, ou pourrait affecter, les services que vous leur fournissez.
Pour un fournisseur non désigné, la conséquence pratique est simple : il vous faut votre propre processus d'incident, avec une escalade interne claire et une manière définie d'informer les clients concernés, afin qu'un problème de votre côté ne devienne pas un délai manqué du leur. Un fournisseur qui détecte, contient et communique bien est bien plus facile à conserver que celui qui se tait.
Une exigence à traiter comme un avantage
Il est facile de lire tout cela comme une charge imposée par la réglementation d'un autre. Les meilleurs fournisseurs le lisent à l'inverse. À mesure que davantage d'acheteurs relèvent de NIS2 et resserrent leurs contrôles, la capacité à répondre vite et avec des preuves à un questionnaire de sécurité devient une raison de gagner et de garder des marchés, plutôt qu'un obstacle à franchir.
L'inverse est tout aussi vrai et plus discret : les fournisseurs incapables de démontrer leur posture sont de plus en plus écartés aux achats, souvent sans qu'on leur en dise la raison. Devancer les questions, avant qu'un client ne les pose, transforme NIS2 d'un coût de conformité en un argument de vente.
Comment répondre de façon crédible
Vous n'avez pas à devenir une entité essentielle du jour au lendemain. Vous devez être prêt pour les questions et pouvoir étayer vos réponses. Une voie proportionnée :
- Connaissez d'abord votre propre posture externe : domaines, certificats, authentification des e-mails, services exposés et vulnérabilités connues, c'est-à-dire ce que l'évaluation d'un client examinera.
- Comblez les lacunes courantes que signalent questionnaires et analyses : imposez TLS 1.2+, publiez SPF, DKIM et DMARC, corrigez rapidement, exigez la MFA et supprimez les interfaces d'administration exposées.
- Mettez par écrit l'essentiel : une courte politique de sécurité de l'information, un processus d'incident et un relevé de qui est responsable de la sécurité. La preuve l'emporte sur l'affirmation.
- Gardez vos réponses à jour. Traitez l'assurance comme continue, car c'est de plus en plus ainsi que vos clients la traitent.
- Si vous servez des acheteurs plus grands ou réglementés, envisagez ISO 27001 ou un équivalent comme raccourci reconnu, mais n'attendez pas pour commencer.
Source : Directive (UE) 2022/2555 (NIS2), article 21, paragraphe 2 Les États membres transposent NIS2 dans leur droit national ; confirmez donc les attentes exactes envers les fournisseurs auprès de vos clients et, au besoin, de votre autorité compétente.
Comment norppa.io aide
norppa.io donne à un fournisseur non désigné la même vision continue et étayée de sa sécurité que celle qu'un client NIS2 s'attend désormais à voir. Vos domaines sont contrôlés sur plus de cent points de contrôle chaque jour, les plus sensibles toutes les six heures, et chaque constatation est rattachée à l'article NIS2 concerné, afin que vous puissiez répondre à un questionnaire avec des preuves actuelles plutôt que des affirmations.
Le questionnaire d'auto-évaluation saisit vos contrôles de processus et contractuels, et chaque réponse est confrontée au profil technique en direct, de sorte que lorsque l'équipe achats d'un client demande des preuves, vous pouvez remettre une image claire et corroborée au lieu d'un tableur qui était exact au printemps dernier.