Guide · 11 min de lecture
Sécurité de la chaîne d'approvisionnement NIS2 : ce que l'article 21(2)(d) exige réellement
Vos propres défenses peuvent être irréprochables et pourtant sans objet si le fournisseur disposant d'un tunnel VPN vers votre réseau est compromis un mardi tranquille. C'est précisément la faille que comble l'article 21(2)(d) de NIS2 : il vous rend responsable du cyberrisque porté par vos fournisseurs, et pas seulement du risque à l'intérieur de vos propres murs. Le délai de transposition du 17 octobre 2024 est écoulé, les États membres finalisent leurs lois nationales à des rythmes différents, et les premières mesures d'application ont commencé. Voici la version pratique de la règle : qui est concerné, ce que l'article exige concrètement, et comment produire des preuves qu'une autorité de contrôle acceptera réellement.
À retenir
- L'article 21(2)(d) fait du cyberrisque de vos fournisseurs votre problème, et de sa gestion votre responsabilité.
- Un questionnaire rempli une fois par an décrit une seule journée. Un fournisseur peut être frappé par un rançongiciel, compromis ou exposé par une vulnérabilité critique le lendemain de l'envoi.
- Quand l'autorité demande, la réponse tient en documents : qui vous surveillez, ce que vous avez trouvé, ce que vous avez fait et le risque que vous avez sciemment accepté, chacun daté.
Qui est concerné ?
NIS2 classe les organisations couvertes en deux niveaux, par secteur et par taille. L'obligation de gérer le risque fournisseur est identique pour les deux. Ce qui diffère, c'est l'intensité de la surveillance et le montant des amendes possibles.
Entités essentielles
Énergie, transports, infrastructures bancaires et de marché financier, santé, eau potable et eaux usées, infrastructures numériques, gestion des services TIC (B2B), administration publique et espace. Surveillance proactive : audits et demandes d'information peuvent survenir sans aucun incident.
Entités importantes
Services postaux et de messagerie, gestion des déchets, produits chimiques, alimentation, fabrication de certains produits (dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques et organismes de recherche. Surveillance réactive : les autorités interviennent lorsqu'il y a un motif.
En règle générale, le seuil commence à 50 employés, ou 10 millions d'euros de chiffre d'affaires annuel ou de total de bilan. Atteignez ce seuil dans un secteur couvert et vous êtes généralement concerné. Certaines entités le sont quelle que soit leur taille, dont les opérateurs DNS et de registres de domaines de premier niveau, les prestataires de services de confiance et de communications publiques, ainsi que l'unique fournisseur d'un service essentiel dans un pays.
Il existe une seconde voie, plus discrète. Vendez un service critique à un client soumis à NIS2, et ses obligations atterrissent généralement sur votre bureau via le contrat : clauses de sécurité, questionnaire et droit permanent de demander des preuves. Beaucoup de petits fournisseurs rencontrent NIS2 dans leur boîte de réception bien avant qu'une autorité ne leur écrive.
Source officielle : Directive NIS2 sur EUR-Lex — article 21, la justification sur la chaîne d'approvisionnement figurant aux considérants 85 à 90.
Ce que l'article 21(2)(d) exige, concrètement
L'article lui-même tient en une phrase : prendre des mesures appropriées pour la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité de la relation avec vos fournisseurs directs. Lue avec les orientations de l'ENISA et la manière dont les autorités nationales l'appliquent, cette phrase se décompose en quatre choses que vous devez pouvoir démontrer.
Évaluez un fournisseur avant de signer
Un questionnaire signé est un point de départ, pas une réponse : il consigne ce que le fournisseur dit de lui-même, pas ce qui est vrai. Mettez-le en regard de ce que vous pouvez vérifier de l'extérieur. L'entreprise est-elle apparue dans des données de fuites ou de rançongiciels ? Y a-t-il des vulnérabilités non corrigées, exposées sur Internet ? Les bases sont-elles en place, comme un certificat TLS valide et une authentification e-mail saine ? Et regardez au-delà de la porte d'entrée évidente. L'exposition d'un fournisseur couvre toute son empreinte externe : pas seulement le domaine inscrit au contrat, mais aussi la passerelle VPN, les relais de messagerie et l'hôte de préproduction oublié sur une autre plage d'adresses IP.
Inscrivez l'obligation de notification dans le contrat
Si l'incident d'un fournisseur peut arrêter votre service, vous devrez peut-être le signaler à l'autorité en quelques heures (voir l'article 23 ci-dessous). Vous ne le pouvez que si le fournisseur vous prévient rapidement. L'obligation doit donc figurer par écrit : un délai défini pour vous notifier un incident de sécurité, un contact nommé qui répond, et le droit de demander des preuves par la suite. Une promesse de bonne volonté ne vaut rien à deux heures du matin un samedi.
Continuez à surveiller pendant toute la relation
C'est la partie que la plupart des programmes ratent encore, parce que c'est une habitude permanente et non une tâche ponctuelle. La norme des mesures appropriées n'est pas une liste figée ; elle s'adapte au risque, et le risque ne reste pas immobile. Le fournisseur qui a passé l'évaluation en mars peut figurer sur un site de fuite de rançongiciel en avril et voir les identifiants de ses employés mis en vente en mai. Un instantané annuel n'en voit rien. Continu, en pratique, signifie que vous l'apprenez en quelques jours.
Conservez les preuves, datées
Tôt ou tard, quelqu'un vous demandera de prouver ce qui précède : un auditeur, l'équipe sécurité d'un client, votre propre conseil après un incident évité de justesse. « Nous gardons un œil sur les choses » n'est pas une preuve. Ce qui compte, c'est une trace datée de ce que vous avez vérifié, trouvé et corrigé, ainsi que des risques que vous avez examinés et choisi d'accepter délibérément.
Pourquoi une évaluation annuelle ne suffit pas
Un audit fournisseur annuel, un questionnaire et peut-être un certificat au dossier, constitue un plancher raisonnable. Ce n'est pas une surveillance continue, et l'écart entre les deux est précisément là où vivent les incidents. Trois manières ordinaires dont cela échoue :
Un fournisseur est frappé par un rançongiciel en janvier. Votre évaluation a été faite en mars et paraissait nette. Vous découvrez la vérité en juin, lorsqu'une livraison glisse discrètement.
Des identifiants d'employés d'un fournisseur apparaissent dans une fuite d'infostealer. Personne ne le remarque jusqu'à ce qu'ils servent à atteindre un système auquel le fournisseur a accès, et par là le vôtre.
Le certificat TLS d'un fournisseur expire et l'intégration se rompt. Votre première alerte est une réclamation client.
Rien de tout cela n'est exotique. C'est la forme quotidienne du risque de la chaîne d'approvisionnement. Le rôle de la surveillance n'est pas de les prédire, mais de les remarquer en quelques jours plutôt que de les reconstituer dans un post-mortem.
Voyez comment vos fournisseurs se situent réellement
7 jours gratuits · sans carte bancaire · annulez à tout moment
Hiérarchisation : placez votre attention là où elle compte
Surveiller chaque fournisseur avec la même intensité n'est ni réaliste ni attendu. Les trier selon l'accès et l'impact qu'ils portent réellement est à la fois pratique et pleinement conforme au sens des mesures appropriées.
Niveau 1 : critiques
Un accès direct à vos systèmes, vos données ou votre production. Ceux-là méritent le traitement complet : un questionnaire détaillé et une surveillance technique continue. Fournisseurs de cloud et d'hébergement, votre ERP, partenaires d'infogérance ou de sécurité.
Niveau 2 : importants
Essentiels aux opérations, mais sans accès profond aux joyaux de la couronne. Une surveillance technique régulière et un questionnaire allégé sont généralement proportionnés. Plateformes RH et marketing, partenaires logistiques.
Niveau 3 : faible risque
Peu ou pas d'accès à quoi que ce soit de sensible. Une revue périodique suffit. Fournitures de bureau, nettoyage, restauration.
Risque de quatrième partie : la couche derrière la couche
Votre exposition ne s'arrête pas aux fournisseurs que vous avez signés. Les leurs peuvent vous atteindre aussi. Si votre fournisseur de cloud s'appuie sur un seul sous-traitant pour le stockage et que ce sous-traitant est attaqué, la perturbation descend directement la chaîne jusqu'à vous, alors que vous n'avez jamais eu de contrat avec l'entreprise qui l'a causée.
Vous ne pouvez pas surveiller une entreprise avec laquelle vous n'avez aucune relation ; le levier est donc la question que vous posez à votre fournisseur direct : savez-vous lesquels de vos propres sous-traitants sont critiques, et leur appliquez-vous la norme que vous acceptez avec nous ? Un fournisseur incapable de nommer ses quatrièmes parties critiques vient de vous apprendre quelque chose d'utile.
Article 23 : quand l'incident d'un fournisseur devient votre délai
Si l'incident d'un fournisseur cause une perturbation importante des services que vous fournissez, l'horloge de notification est la vôtre, pas la sienne. Elle déclenche une alerte précoce de 24 heures à votre CSIRT ou autorité compétente, puis une notification d'incident plus complète sous 72 heures et un rapport final sous un mois, ou un rapport d'étape à l'échéance du mois si vous traitez encore l'incident.
Le piège, c'est le délai. L'horloge court à partir du moment où vous avez connaissance de l'incident, pas du moment où le fournisseur finit par vous prévenir, et une divulgation qui arrive avec une semaine de retard a déjà consumé votre délai. La seule vraie défense est une visibilité indépendante sur les ennuis d'un fournisseur critique : une mise en liste de rançongiciel, une fuite d'identifiants, un service qui s'éteint, sans attendre son e-mail.
Orientations de l'ENISA : Ressources de mise en œuvre NIS2 de l'ENISA — sur la notification d'incident et les mesures de sécurité ; confirmez le canal exact auprès de votre CSIRT national.
Ce qu'un auditeur veut réellement voir
Les autorités pèsent ce que vous pouvez montrer, pas ce que vous affirmez. Les éléments qui font généralement la différence :
- Un registre des fournisseurs : qui ils sont, leur niveau, leur classification de risque
- Les réponses aux questionnaires : chacune avec sa date
- Les relevés de surveillance. Ce qui a été vérifié, quand et ce qui a été trouvé
- Les décisions de risque accepté : un choix écrit et assumé pour chaque risque que vous avez relevé et décidé d'accepter
- Une trace des réponses. Ce que vous avez fait des constats, et pour quand
Le test implicite est de savoir si ces éléments existent déjà. Un dossier constitué la semaine suivant l'appel de l'autorité se lit généralement exactement comme un dossier constitué la semaine suivant l'appel de l'autorité.
Application, et pourquoi le conseil est en première ligne
NIS2 place délibérément le cyberrisque à l'ordre du jour de la direction. L'organe de direction doit approuver les mesures de gestion des risques et en superviser la mise en œuvre, et ses membres peuvent être tenus personnellement responsables lorsque cette supervision échoue (art. 20). Les amendes ne sont pas symboliques : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et jusqu'à 7 millions d'euros ou 1,4 % pour les importantes (art. 34) ; pour les entités essentielles, une autorité peut même suspendre des fonctions de direction jusqu'à régularisation. Le risque de la chaîne d'approvisionnement fait explicitement partie des mesures que la direction doit superviser, ce qui explique pourquoi une preuve à jour et documentée de la surveillance des fournisseurs a sa place en conseil, et pas seulement dans les notes de l'équipe sécurité.
Source officielle : Directive NIS2 sur EUR-Lex — article 20 (gouvernance) et article 34 (sanctions).
Où norppa.io intervient
C'est ce travail que norppa.io est conçu pour porter. Chaque domaine fournisseur que vous ajoutez est vérifié sur plus de cent contrôles externes chaque jour, les sources de rançongiciels et du dark web étant revérifiées environ toutes les six heures, avec une alerte dès qu'un élément critique apparaît. Chaque constat est rattaché à l'article NIS2 pertinent au moment de son enregistrement, le rapport est écrit pour la direction autant que pour les ingénieurs, et tout l'historique s'exporte en CSV quand un auditeur le demande.
Le questionnaire d'auto-évaluation part vers les fournisseurs depuis le même endroit, et leurs réponses côtoient les constats techniques. Ainsi, lorsqu'un fournisseur affirme que tout le trafic est chiffré et que l'analyse révèle un certificat expiré, la contradiction est devant vous plutôt qu'enfouie.