NIS2 pour les fournisseurs : vous n'êtes pas désigné, mais vos clients le sont

Comment NIS2 atteint un fournisseur jamais désigné

NIS2 s'applique directement uniquement aux organisations qu'elle classe comme entités essentielles ou importantes, selon le secteur et la taille. Si vous n'en êtes pas, aucune autorité nationale ne vous adressera d'injonction. C'est là que beaucoup de fournisseurs cessent de lire, et là que naît le malentendu.

La directive ne régule pas directement les fournisseurs de vos fournisseurs. Elle rend plutôt chaque entité concernée responsable du risque de cybersécurité dans sa propre chaîne d'approvisionnement (article 21, paragraphe 2, point d). Pour s'acquitter de cette obligation, vos clients doivent évaluer, encadrer et surveiller la sécurité des fournisseurs dont ils dépendent. Si vous êtes l'un d'eux, leur obligation juridique devient votre obligation commerciale. Vous êtes impliqué indirectement, par la relation et non par une désignation.

Ce que votre client concerné doit faire, et pourquoi cela retombe sur vous

L'article 21, paragraphe 2, point d exige des entités essentielles et importantes qu'elles gèrent la sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité de la relation entre chaque entité et ses fournisseurs ou prestataires directs. En pratique, votre client doit :

• Identifier les fournisseurs critiques pour ses services et évaluer le cyber-risque que chacun introduit.
• Fixer des exigences de sécurité pour ces fournisseurs et les inscrire dans les contrats et les accords de traitement des données.
• Vérifier que les exigences sont respectées, non pas une fois à l'intégration mais en continu.
• Assumer les incidents qui trouvent leur origine chez un fournisseur, car au titre de NIS2 une perturbation causée par un fournisseur reste l'incident que le client doit traiter et notifier.
• Démontrer à son autorité de contrôle que cette supervision des fournisseurs a réellement lieu.

Ce que vos clients vous demanderont

À mesure que cette supervision mûrit, les demandes adressées aux fournisseurs convergent vers un ensemble reconnaissable :

• Un questionnaire de sécurité ou une auto-évaluation, souvent rattaché aux mesures de l'article 21, paragraphe 2 ou à une norme comme ISO 27001.
• Des preuves derrière les réponses : politiques, certificats et résultats récents de tests ou d'analyses, plutôt que des affirmations non étayées.
• Une clause de notification d'incident vous engageant à alerter rapidement le client lorsque quelque chose le concerne, afin qu'il respecte ses propres délais de notification.
• Des exigences de sécurité contractuelles et, pour les fournisseurs critiques, un droit d'audit ou de demander une assurance indépendante.
• L'acceptation d'une surveillance externe continue, car un questionnaire ponctuel rempli l'an dernier ne satisfait plus une obligation continue.

Les mesures de l'article 21, paragraphe 2 que vos clients attendent de vous

Même si l'article 21, paragraphe 2 lie votre client et non vous, ses dix mesures sont le modèle que la plupart des acheteurs réutilisent pour fixer les exigences à leurs fournisseurs. Mieux vaut pouvoir montrer, à votre échelle, que vous traitez chacune :

La notification d'incident circule dans les deux sens

NIS2 impose aux entités concernées un calendrier serré : une alerte précoce sous 24 heures, une notification plus complète sous 72 heures et un rapport final sous un mois (article 23). Elles ne peuvent pas le respecter si un fournisseur garde une mauvaise nouvelle pour lui. Leurs contrats exigent donc de plus en plus que vous les informiez sans délai lorsqu'un incident affecte, ou pourrait affecter, les services que vous leur fournissez.

Pour un fournisseur non désigné, la conséquence pratique est simple : il vous faut votre propre processus d'incident, avec une escalade interne claire et une manière définie d'informer les clients concernés, afin qu'un problème de votre côté ne devienne pas un délai manqué du leur. Un fournisseur qui détecte, contient et communique bien est bien plus facile à conserver que celui qui se tait.

Une exigence à traiter comme un avantage

Il est facile de lire tout cela comme une charge imposée par la réglementation d'un autre. Les meilleurs fournisseurs le lisent à l'inverse. À mesure que davantage d'acheteurs relèvent de NIS2 et resserrent leurs contrôles, la capacité à répondre vite et avec des preuves à un questionnaire de sécurité devient une raison de gagner et de garder des marchés, plutôt qu'un obstacle à franchir.

L'inverse est tout aussi vrai et plus discret : les fournisseurs incapables de démontrer leur posture sont de plus en plus écartés aux achats, souvent sans qu'on leur en dise la raison. Devancer les questions, avant qu'un client ne les pose, transforme NIS2 d'un coût de conformité en un argument de vente.

Comment répondre de façon crédible

Vous n'avez pas à devenir une entité essentielle du jour au lendemain. Vous devez être prêt pour les questions et pouvoir étayer vos réponses. Une voie proportionnée :

• Connaissez d'abord votre propre posture externe : domaines, certificats, authentification des e-mails, services exposés et vulnérabilités connues, c'est-à-dire ce que l'évaluation d'un client examinera.
• Comblez les lacunes courantes que signalent questionnaires et analyses : imposez TLS 1.2+, publiez SPF, DKIM et DMARC, corrigez rapidement, exigez la MFA et supprimez les interfaces d'administration exposées.
• Mettez par écrit l'essentiel : une courte politique de sécurité de l'information, un processus d'incident et un relevé de qui est responsable de la sécurité. La preuve l'emporte sur l'affirmation.
• Gardez vos réponses à jour. Traitez l'assurance comme continue, car c'est de plus en plus ainsi que vos clients la traitent.
• Si vous servez des acheteurs plus grands ou réglementés, envisagez ISO 27001 ou un équivalent comme raccourci reconnu, mais n'attendez pas pour commencer.

Comment norppa.io aide

norppa.io donne à un fournisseur non désigné la même vision continue et étayée de sa sécurité que celle qu'un client NIS2 s'attend désormais à voir. Vos domaines sont contrôlés sur plus de cent points de contrôle chaque jour, les plus sensibles toutes les six heures, et chaque constatation est rattachée à l'article NIS2 concerné, afin que vous puissiez répondre à un questionnaire avec des preuves actuelles plutôt que des affirmations.

Le questionnaire d'auto-évaluation saisit vos contrôles de processus et contractuels, et chaque réponse est confrontée au profil technique en direct, de sorte que lorsque l'équipe achats d'un client demande des preuves, vous pouvez remettre une image claire et corroborée au lieu d'un tableur qui était exact au printemps dernier.