NIS2 et sous-traitants : êtes-vous concerné par ricochet ?

· Mis à jour le · Par Bertrand BucelleBertrand Bucelle · 5 min de lecture

NIS2 et sous-traitants : êtes-vous concerné par ricochet ?

En bref

  • Oui, très probablement. Même si votre entreprise n'entre pas dans le périmètre direct de NIS2, l'article 21 impose à vos clients régulés de sécuriser leur chaîne d'approvisionnement, c'est-à-dire leurs fournisseurs directs. Concrètement, ils vont vous imposer par contrat des exigences de sécurité, des clauses de notification d'incident et des droits d'audit. Refuser peut coûter le contrat ; anticiper peut en gagner.

Pourquoi NIS2 vous atteint sans vous nommer

La directive (UE) 2022/2555 ne régule directement que les entités essentielles et importantes (voir le test en 5 questions). Mais son article 21, paragraphe 2, point d, impose à ces entités de prendre des mesures couvrant « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». Le paragraphe 3 ajoute qu'elles doivent tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité globale de ses pratiques de cybersécurité.

La mécanique est donc contractuelle : l'obligation pèse sur votre client, qui la répercute sur vous. C'est exactement le schéma qu'a connu le RGPD avec les sous-traitants de données en 2018, à une différence près : NIS2 vise la sécurité de toute la relation de service, pas seulement les données personnelles.

Qui est touché par ricochet, concrètement ?

Trois profils de fournisseurs sont en première ligne :

  1. Les prestataires numériques des entités régulées : infogérance, maintenance applicative, éditeurs SaaS métier, hébergeurs non couverts directement, intégrateurs. Attention : certains de ces métiers sont en réalité dans le périmètre direct de NIS2 (fournisseurs de services gérés et de services de sécurité gérés, cloud, centres de données relèvent de l'annexe I) ; vérifiez d'abord votre propre assujettissement.
  2. Les fournisseurs critiques pour la continuité : logistique, maintenance industrielle, laboratoires, fournisseurs de composants, dès lors que leur défaillance perturberait le service de l'entité régulée.
  3. Les sous-traitants ayant un accès au système d'information du client : télémaintenance, support, développeurs, prestataires RH ou paie connectés. L'accès distant est le premier vecteur d'attaque par la chaîne d'approvisionnement.

Ce que vos clients vont vous demander

Les pratiques se standardisent vite. Attendez-vous à recevoir, souvent dès l'appel d'offres :

  • Un questionnaire de sécurité (50 à 300 questions) couvrant les 10 familles de mesures de l'article 21 : gouvernance, gestion des incidents, continuité, contrôle d'accès, chiffrement, MFA, formation, gestion des vulnérabilités.
  • Des clauses contractuelles : obligation de notifier tout incident de sécurité affectant le service dans un délai court (souvent 24 à 72 heures), engagement sur des mesures minimales, droit d'audit, plan de réversibilité, assurance cyber.
  • Des preuves : politique de sécurité, attestations de tests d'intrusion, certifications (ISO 27001, SecNumCloud pour le cloud de confiance, HDS en santé), résultats d'audit.
  • Une réévaluation périodique : la conformité fournisseur n'est plus un contrôle à la signature mais un suivi annuel.

La check-list du fournisseur prévoyant

  1. Clarifiez votre statut : êtes-vous dans le périmètre direct (auquel cas vos obligations vont bien au-delà du contractuel) ou uniquement par ricochet ? Le test en 5 questions prend dix minutes.
  2. Faites l'état des lieux des 10 mesures de l'article 21 sur votre propre SI : c'est le référentiel sur lequel vos clients vous évalueront. L'autodiagnostic NIS2 en donne une première mesure.
  3. Préparez un dossier de confiance réutilisable : politique de sécurité datée, organisation (responsable nommé, même externalisé), procédure d'incident avec engagement de notification, sauvegardes testées, MFA généralisée, preuve de sensibilisation des équipes.
  4. Encadrez vos propres fournisseurs critiques : la cascade ne s'arrête pas à vous, et vos clients vérifient de plus en plus le rang 2.
  5. Négociez des clauses tenables : un délai de notification de 24 heures se négocie (nature des incidents couverts, point de départ du délai, canal) ; un engagement intenable se retourne contre vous au premier incident.

La contrainte qui devient un argument commercial

Dans les secteurs régulés, la capacité à répondre en 48 heures à un questionnaire sécurité avec un dossier propre fait désormais gagner des appels d'offres. Les acheteurs écartent silencieusement les fournisseurs incapables de produire une politique de sécurité ou une preuve de MFA. À l'inverse, afficher un référentiel de conformité et un score de maturité à jour raccourcit les cycles de vente. Les fournisseurs qui ont industrialisé leur dossier de confiance transforment une contrainte subie en avantage concurrentiel mesurable.

Passez à l’action

Pilotez votre conformité avec Data Comply One : logiciel tout-en-un et experts DPO/RSSI externalisés.

Découvrir le logiciel NIS2 →Tester ma conformité NIS2 →

Sources

  • Directive (UE) 2022/2555 (NIS2), article 21, paragraphes 2 et 3, et article 22 (évaluations coordonnées des risques des chaînes d'approvisionnement critiques), EUR-Lex.
  • ANSSI, MesServicesCyber, « Directive NIS 2 » et Référentiel Cyber France (ReCyF).
  • ENISA, Good Practices for Supply Chain Cybersecurity.

Questions fréquentes

Un sous-traitant RGPD est-il automatiquement concerné par NIS2 ?

Non, ce sont deux logiques distinctes : le sous-traitant RGPD traite des données personnelles pour le compte d'un client ; le fournisseur NIS2 est évalué sur la sécurité de sa prestation, données personnelles ou non. En pratique, les deux statuts se cumulent souvent et les clauses se négocient ensemble.

Mon client peut-il m'imposer un audit de sécurité ?

Oui, si le contrat le prévoit, et il le prévoira : l'article 21 impose au client de tenir compte de la qualité de vos pratiques. Négociez le périmètre, le préavis, la fréquence et la prise en charge des coûts.

Une TPE de 8 personnes peut-elle être concernée ?

Par ricochet, oui, dès lors qu'elle fournit une entité régulée sur une prestation sensible ou avec un accès au SI. Les exigences seront proportionnées, mais pas nulles.

Dois-je m'enregistrer sur MonEspaceNIS2 en tant que fournisseur ?

Non, l'enregistrement auprès de l'ANSSI concerne les entités du périmètre direct. Un fournisseur par ricochet répond à ses clients, pas au régulateur.

Quelles certifications rassurent le plus les donneurs d'ordre ?

ISO 27001 reste la référence généraliste ; SecNumCloud pour l'hébergement de confiance, HDS pour la santé. À défaut de certification, un rapport d'audit récent et un plan d'action daté font souvent l'affaire pour une PME.