Suis-je concerné par NIS2 si mon client l'est ?

Indirectement, oui. L’article 21 de NIS2 demande aux entités régulées de tenir compte de la sécurité de leurs fournisseurs. Un client soumis à la directive vous demandera donc probablement des éléments : clauses contractuelles, questionnaires, preuves de mesures, engagement de signaler vos incidents. La directive ne vous fait pas entrer dans son périmètre pour autant ; c’est votre propre activité et votre taille qui déterminent si vous y êtes directement. En cas de doute sur votre situation, votre conseil juridique est le bon interlocuteur.

Cet article prend le point de vue du fournisseur. Côté client, voir Mes sous-traitants sont-ils soumis à NIS2 ?. Pour la méthode générale, voir NIS2 : qui est concerné ?.

D’abord, vérifiez que vous n’êtes pas concerné directement

Avant de raisonner « par ricochet », vérifiez votre propre statut. C’est particulièrement important si vous êtes :

• infogérant, MSP ou MSSP : la « gestion des services TIC » figure dans l’annexe I. Selon les critères de taille de la directive, les entités de ce secteur comptant au moins 50 salariés relèvent en règle générale des entités importantes ;
• hébergeur, fournisseur cloud ou de centre de données : également dans l’annexe I ;
• fabricant d’équipements électriques, électroniques, de machines ou de dispositifs médicaux : annexe II.

Dans ces situations, la directive peut s’appliquer à vous directement, en plus des demandes que vos clients vous transmettront. La qualification exacte dépend de votre activité et de votre taille, et mérite d’être vérifiée avec votre conseil juridique.

Pourquoi votre client va vous solliciter

L’article 21 de la directive (UE) 2022/2555 prévoit que les entités régulées gèrent la sécurité de leur chaîne d’approvisionnement, en tenant compte des vulnérabilités propres à chaque fournisseur direct et de ses pratiques de cybersécurité. L’article 20 confie cette responsabilité à leurs organes de direction. C’est pourquoi votre client cherchera des preuves de votre côté.

De plus, l’article 23 prévoit une alerte précoce sous 24 heures pour les incidents importants des entités régulées. Si un incident chez vous peut affecter votre client, il voudra donc en être informé très vite.

Ce qui vous sera probablement demandé

Demande	Ce que cela recouvre en général
Questionnaire de sécurité	Gouvernance, gestion des accès, authentification multifacteur, mises à jour, sauvegardes, gestion des incidents
Clauses contractuelles	Mesures minimales, délai de notification des incidents, droit d’audit, encadrement de la sous-traitance, confidentialité
Preuves	Politique de sécurité, résultats d’audit, certification éventuelle, attestations
Point de contact	Un interlocuteur joignable pour la sécurité et les incidents

Les exigences sont proportionnées à votre criticité pour le client. Un fournisseur qui a accès au système d’information ou qui héberge des données sera plus sollicité qu’un fournisseur de fournitures de bureau.

Comment s’y préparer sans se disperser

1. Faire l’inventaire de vos mesures existantes, même informelles. Vous en avez probablement plus que vous ne le pensez.
2. Préparer un dossier de sécurité standard que vous pourrez transmettre à tous vos clients, plutôt que de répondre au cas par cas.
3. Vous doter d’une capacité de détection et de réponse aux incidents. C’est l’exigence la plus fréquente et la plus difficile à improviser : savoir qu’un incident a lieu, et prévenir votre client dans le délai convenu.
4. Relire les clauses avant de signer. Un délai de notification irréaliste, ou un droit d’audit illimité, se négocie.

Une contrainte, mais aussi un argument commercial

Les entités régulées vont privilégier les fournisseurs capables de prouver leur niveau de sécurité. Un dossier solide raccourcit les cycles de vente et vous distingue lors des appels d’offres. Les PME dans cette situation trouveront d’autres repères dans NIS2 PME : une PME est-elle concernée par NIS2 ?.

Faire le point avec un expert

Un client vous demande de prouver votre capacité à détecter et signaler un incident ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous : nous vous orienterons vers un partenaire.

Questions fréquentes

Mon client peut-il m'imposer un délai de notification de quelques heures ?

Il peut le demander, et c'est cohérent avec son propre délai de 24 heures. Avant de signer, il est utile de vérifier que ce délai peut être tenu réellement, y compris la nuit et le week-end.

Dois-je être certifié pour continuer à travailler avec un client régulé ?

Le texte de NIS2 ne prévoit pas d'obligation de certification pour les fournisseurs d'une entité régulée. Certains clients en demanderont une, d'autres se contenteront de preuves de mesures. Un dossier de sécurité clair suffit souvent pour les fournisseurs non critiques.

Mes propres fournisseurs sont-ils concernés par ricochet ?

Indirectement, cela peut arriver : si votre client vous demande d'encadrer votre sous-traitance, vous serez probablement amené à répercuter certaines de ses demandes. Voir Mes sous-traitants sont-ils soumis à NIS2 ?.

Que faire si plusieurs clients régulés ont des exigences différentes ?

Une approche courante consiste à organiser son dossier de sécurité autour des mesures listées à l'article 21 de NIS2, dont découlent la plupart des demandes. Il devient ensuite possible de répondre à chaque client en rattachant ses questions au dossier existant.

Dois-je signaler tous mes incidents à mon client ?

Pas forcément. Les contrats précisent généralement quels incidents doivent être signalés, souvent ceux qui peuvent toucher les données, les systèmes ou les services du client. Des critères clairs évitent à la fois le silence et le bruit.