Mes sous-traitants sont-ils soumis à NIS2 ?

Non, pas automatiquement. Un sous-traitant n’est soumis à NIS2 que s’il remplit lui-même les critères de secteur et de taille, comme un infogérant ou un hébergeur cloud qui atteint les seuils de taille. En revanche, pour les entités concernées, l’article 21 de NIS2 range la sécurité de la chaîne d’approvisionnement parmi les mesures attendues : en pratique, elles évaluent la sécurité de leurs fournisseurs et l’encadrent par contrat.

Cet article prend le point de vue de l’entité régulée. Si vous êtes vous-même fournisseur, lisez plutôt Suis-je concerné par NIS2 si mon client l’est ?. Pour la méthode générale, voir NIS2 : qui est concerné ?.

Deux questions distinctes

Il faut séparer deux sujets que l’on confond souvent.

1. Votre sous-traitant est-il régulé en propre ? Il l’est si son activité figure dans les annexes de la directive et s’il dépasse les seuils de taille. Parmi les prestataires les plus courants, plusieurs sont directement visés par l’annexe I :

• les fournisseurs de services gérés (infogérants, MSP) et de services de sécurité gérés (MSSP) ;
• les fournisseurs de services d’informatique en nuage et de centres de données ;
• les opérateurs de communications électroniques et les fournisseurs DNS.

Un cabinet comptable, une agence web ou un transporteur local ne le sont généralement pas.

2. NIS2 traite-t-elle le risque qu’il représente ? Pour les entités concernées, l’article 21 couvre la sécurité de la chaîne d’approvisionnement, que le sous-traitant soit régulé ou non.

Ce que dit NIS2 sur la chaîne d’approvisionnement

L’article 21 de la directive (UE) 2022/2555 cite, parmi les mesures de gestion des risques en matière de cybersécurité, « la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs » (paragraphe 2, point d).

Le paragraphe 3 précise que les entités tiennent compte :

• des vulnérabilités propres à chaque fournisseur et prestataire direct ;
• de la qualité globale de leurs produits et de leurs pratiques de cybersécurité, y compris leurs procédures de développement sécurisé.

Point clé : la directive présente ces mesures comme celles de l’entité régulée elle-même. L’article 20 prévoit que les organes de direction approuvent les mesures de gestion des risques et supervisent leur mise en oeuvre, et la sécurité de la chaîne d’approvisionnement fait partie de ces mesures. L’application à une organisation donnée relève de son conseil juridique.

En pratique : la démarche en cinq étapes

1. Cartographier vos fournisseurs et prestataires directs, en priorité ceux qui ont un accès à votre système d’information ou qui hébergent vos données.
2. Classer chaque fournisseur selon sa criticité : qu’arrive-t-il à votre activité s’il est compromis ou indisponible ?
3. Vérifier le statut NIS2 de vos fournisseurs critiques. Un fournisseur régulé a ses propres obligations, ce qui est un élément de confiance, pas une garantie.
4. Contractualiser les exigences de sécurité. Les contrats abordent couramment les mesures minimales, notification rapide des incidents qui vous concernent, droit d’audit ou de demande de preuves, conditions de sous-traitance en cascade, réversibilité.
5. Suivre dans le temps : revue annuelle des fournisseurs critiques, mise à jour des clauses, tests du processus de notification.

Le cas de votre infogérant

Votre infogérant occupe une place particulière : il dispose souvent d’accès étendus à votre système d’information. S’il atteint les seuils de taille, son secteur figurant à l’annexe I, il peut être concerné en propre ; son statut exact dépend de la transposition nationale. Il est aussi un allié naturel pour mettre en place les mesures techniques, notamment la détection et la gestion des incidents.

Pour comprendre les implications côté infogérant, voir Directive NIS2 : obligations, risques et leviers de croissance.

Erreurs fréquentes

• Envoyer le même questionnaire à 200 fournisseurs. Concentrez l’effort sur les fournisseurs critiques.
• Exiger une certification comme seule preuve. Une certification ISO 27001 est un bon indicateur, mais NIS2 ne l’impose pas : ce sont les mesures effectives qui comptent.
• Oublier la notification. L’article 23 de NIS2 prévoit une alerte précoce dans les 24 heures suivant la prise de connaissance d’un incident important. Si l’incident part d’un fournisseur et que rien ne prévoit qu’il vous prévienne vite, ce délai est difficile à tenir.

Faire le point avec un expert

Vous voulez savoir comment vos prestataires contribuent à la détection des incidents ? Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center. Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Dois-je auditer tous mes fournisseurs ?

La directive ne le demande pas : elle décrit des mesures fondées sur les risques et proportionnées. Beaucoup d'organisations concentrent les audits et les demandes de preuves sur les fournisseurs critiques, et s'appuient sur des clauses types et une déclaration pour les autres.

Puis-je imposer NIS2 à un fournisseur qui n'y est pas soumis ?

La loi ne peut pas lui être imposée, mais les contrats prévoient couramment des exigences de sécurité proportionnées. L'article 21 de NIS2 vise les aspects de sécurité des relations avec les fournisseurs directs ; votre conseil juridique peut vous aider à déterminer ce qui convient à votre situation.

Que faire si un fournisseur critique refuse de s'engager ?

Documentez le risque, recherchez des mesures compensatoires de votre côté (cloisonnement, surveillance renforcée de ses accès) et envisagez une alternative à moyen terme. L'important est de pouvoir montrer que le risque a été identifié et traité.

Les fournisseurs hors UE sont-ils concernés ?

L'article 21 vise les fournisseurs directs sans distinction de pays. L'article 26 de NIS2 prévoit en outre que certains fournisseurs extra-européens de services numériques qui proposent leurs services dans l'UE y désignent un représentant.