NIS 2 et vos fournisseurs : sécuriser la chaîne d'approvisionnement sans tout auditer
NIS 2 n'oblige pas à auditer tous vos fournisseurs : elle demande de sécuriser la relation avec vos fournisseurs et prestataires directs, par des mesures « appropriées et proportionnées ». La démarche tient en quatre outils : un registre des fournisseurs, une grille de criticité, des clauses contractuelles et une liste de preuves à recueillir, revue chaque année. L'audit peut être réservé aux fournisseurs critiques. La responsabilité reste la vôtre : la directive ne rend pas vos fournisseurs conformes à votre place.
Ce que demande l'article 21 sur les fournisseurs
La directive (UE) 2022/2555 du 14 décembre 2022 (EUR-Lex, consultée le 20 octobre 2026) inclut parmi les dix mesures minimales « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs » (article 21, paragraphe 2, point d). Le paragraphe 3 précise les éléments à prendre en compte : les vulnérabilités propres à chaque fournisseur direct, la qualité globale de leurs produits et de leurs pratiques de cybersécurité, y compris leurs procédures de développement sécurisé, et les évaluations coordonnées des risques menées au niveau de l'Union (article 22).
La version de travail du Référentiel Cyber France (ReCyF), publiée par l'ANSSI sur MesServicesCyber et consultée le 20 octobre 2026, traduit cette exigence en quatre mesures applicables aux entités essentielles et importantes :
- tenir une cartographie de l'écosystème, avec la liste des prestataires et fournisseurs informatiques et celle des interconnexions avec vos systèmes (mesure 3.A.1) ;
- disposer d'au moins un point de contact à jour pour chacun (mesure 3.A.2) ;
- s'assurer que la prestation respecte vos obligations, notamment en gestion des risques et en notification des incidents importants, et en obtenir des « assurances contractuelles », par exemple un plan d'assurance sécurité, une charte de télémaintenance ou des indicateurs de suivi (mesure 3.B.1) ;
- vérifier périodiquement cette conformité, éventuellement par des audits (mesure 3.B.2).
Inventorier et classer les fournisseurs par criticité
Le registre part des contrats, des factures et des comptes d'accès existants. Pour chaque fournisseur, cinq questions permettent de le classer. La grille ci-dessous est une méthode de travail, non un barème réglementaire :
| Question | Réponse qui rend le fournisseur critique |
|---|---|
| A-t-il un accès à vos systèmes ? | Accès distant, comptes à privilèges, administration de vos serveurs ou de votre réseau |
| Héberge-t-il vos données ou vos applications ? | Hébergement, messagerie, sauvegardes, logiciel en ligne essentiel |
| Que se passe-t-il s'il s'arrête une semaine ? | Arrêt de la production ou du service rendu à vos clients ou usagers |
| Combien de temps pour le remplacer ? | Plusieurs mois, pas d'alternative identifiée |
| Traite-t-il des données personnelles pour votre compte ? | Oui, en volume ou sur des données sensibles |
La grille propose trois niveaux : critique (au moins une réponse forte), important, standard. Exemple fictif : une PME de 120 salariés recense 40 fournisseurs ; 6 sont critiques (l'infogérant, l'hébergeur de l'ERP, l'éditeur de paie, le fournisseur de sauvegarde externalisée, l'opérateur réseau, le mainteneur des automates), 11 importants et 23 standards. Dans cet exemple, seuls les 6 premiers reçoivent un questionnaire détaillé.
Les clauses à insérer dans les contrats
- Exigences de sécurité : renvoi à votre politique de sécurité et aux mesures attendues, plutôt qu'une formule générale.
- Notification des incidents : le fournisseur vous alerte sans délai, dans un délai compatible avec votre propre alerte précoce de 24 heures (directive, article 23), et vous transmet les informations utiles à vos notifications.
- Accès distants : moyens imposés (chiffrement, authentification), comptes individuels, traçabilité ; le ReCyF prévoit des accès distants chiffrés et authentifiés (mesures 8.1 et 8.2).
- Vulnérabilités et correctifs : délais de correction et information sur les failles, en lien avec l'article 21, paragraphe 2, point e.
- Sous-traitance ultérieure : accord préalable ; pour les données personnelles, l'article 28, paragraphe 2, du RGPD exige une autorisation écrite du responsable du traitement.
- Audit et preuves : droit de demander des informations et de faire auditer ; le RGPD prévoit ce droit pour les sous-traitants de données personnelles (article 28, paragraphe 3, point h).
- Réversibilité : restitution des données et des accès en fin de contrat.
La rédaction de ces clauses est détaillée dans les clauses d'un contrat de prestation informatique, et leur mesure dans l'exemple de SLA avec pénalités.
Les preuves à demander, et celles qu'on ne peut pas exiger
Pour un fournisseur critique, une demande raisonnable comprend : son plan d'assurance sécurité, ses certifications ou attestations de sécurité s'il en détient, la description de sa procédure d'incident, la liste de ses propres sous-traitants intervenant sur votre périmètre, la preuve de l'authentification à plusieurs facteurs sur les accès à vos systèmes et, le cas échéant, une synthèse de son dernier audit.
Deux limites existent. D'abord, vos exigences envers un fournisseur viennent de son contrat : une exigence nouvelle passe par un avenant, d'où l'intérêt de profiter des renouvellements. Ensuite, certains documents peuvent légitimement rester confidentiels, comme un rapport complet de test d'intrusion ; une synthèse ou une attestation de l'auditeur peut suffire. Certains prestataires relèvent par ailleurs eux-mêmes de NIS 2 : les fournisseurs de services gérés et de services de sécurité gérés figurent à l'annexe I de la directive, sous réserve de leur taille.
Suivre dans le temps
- Une revue annuelle du registre, à l'image de la vérification périodique prévue par la mesure 3.B.2.
- Un point sécurité dans les comités de suivi des fournisseurs critiques : incidents, vulnérabilités, changements de sous-traitants.
- Une mise à jour à chaque renouvellement : nouvelles clauses, nouvelles preuves.
- Une remontée vers la direction, qui approuve les risques acceptés, comme le prévoit le plan d'action NIS 2 sur 90 jours.
Sources consultées
- Directive (UE) 2022/2555 du 14 décembre 2022, articles 21, 22 et 23, annexe I, EUR-Lex, consultée le 20 octobre 2026.
- ANSSI, MesServicesCyber, page NIS 2 et version de travail du ReCyF, consultées le 20 octobre 2026.
- Règlement (UE) 2016/679 (RGPD), article 28, EUR-Lex ; CNIL, Guide du sous-traitant, édition de septembre 2017.
Questions fréquentes
Faut-il auditer tous ses fournisseurs ?
Non. L'article 21 demande des mesures proportionnées à l'exposition aux risques et à la taille de l'entité ; le ReCyF permet de s'appuyer sur des audits sans les imposer à chaque fournisseur. Les audits se concentrent sur les fournisseurs critiques.
Mon infogérant doit-il être lui-même conforme à NIS 2 ?
Il peut l'être s'il est fournisseur de services gérés et atteint au moins la taille d'une entreprise moyenne : il entre alors dans le champ de la directive (article 2 et annexe I). Sinon, au titre de NIS 2, ses obligations envers vous viennent de votre contrat.
Que doit prévoir le contrat en cas d'incident chez le fournisseur ?
Une alerte sans délai, les informations nécessaires à vos notifications de 24 et 72 heures, la coopération pendant le traitement et la remise d'un rapport, ainsi que la conservation des traces utiles à l'analyse.