NIS2 fait de la sécurité de la chaîne d’approvisionnement l’une des dix mesures minimales de l’article 21, paragraphe 2, point d). Lorsque vous décidez de ces mesures, vous devez tenir compte du risque que présente chaque fournisseur et prestataire de services direct : ses vulnérabilités propres, la qualité de ses produits et de ses pratiques de sécurité, y compris le développement sécurisé, et les résultats des évaluations coordonnées des risques menées au niveau de l’UE (article 21, paragraphe 3). Ces évaluations de l’UE, prévues à l’article 22, sont un exercice distinct, conduit par le groupe de coopération, la Commission et l’ENISA.
Ce guide présente ce qu’exige NIS2, qui est considéré comme fournisseur, les étapes de l’évaluation, ce que doit contenir le contrat, à quel rythme réviser, ce qu’apporte l’article 22, ce qui change si vous êtes vous-même fournisseur, et une liste de contrôle.
| Étape | Ce qu’il faut faire | Fondement |
|---|---|---|
| 1. Recenser | Lister chaque fournisseur et prestataire de services direct et ce qu’il fournit | Article 21, paragraphe 2, point d) ; point 5.2 de l’annexe du règlement 2024/2690 |
| 2. Classer | Les classer selon le degré de dépendance de vos services à leur égard | Article 21, paragraphe 1, proportionnalité |
| 3. Évaluer | Examiner les vulnérabilités, la qualité des produits, les pratiques de sécurité et le développement sécurisé | Article 21, paragraphe 3 |
| 4. Contractualiser | Mettre par écrit les exigences de sécurité, la notification des incidents et les droits d’audit | Considérant 85 ; point 5.1.4 de l’annexe |
| 5. Réviser | Réexaminer à intervalles prédéfinis et après des changements ou des incidents | Points 5.1.6 et 5.1.7 de l’annexe |
| 6. Aligner | Tenir compte des évaluations coordonnées de l’UE | Article 21, paragraphe 3, et article 22 |
Qu’exige NIS2 en matière de sécurité de la chaîne d’approvisionnement ?
La sécurité de la chaîne d’approvisionnement est l’une des dix mesures de l’article 21, et le texte est bref. L’article 21, paragraphe 2, point d), exige « la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ».
L’article 21, paragraphe 3, précise ce que recouvre ici le mot « appropriées ». Lorsque vous décidez des mesures relatives à la chaîne d’approvisionnement, vous devez tenir compte :
- des vulnérabilités propres à chaque fournisseur et prestataire de services direct ;
- de la qualité globale de leurs produits et de leurs pratiques de cybersécurité, y compris de leurs procédures de développement sécurisé ;
- des résultats des évaluations coordonnées des risques pour la sécurité des chaînes d’approvisionnement critiques effectuées conformément à l’article 22, paragraphe 1.
« Chaque » compte. Un questionnaire générique unique envoyé à tous les fournisseurs ne montre pas que vous avez tenu compte des vulnérabilités propres à chaque fournisseur.
Qui est considéré comme fournisseur au sens de NIS2 ?
NIS2 ne définit pas le terme « fournisseur ». Le texte parle de vos fournisseurs et prestataires de services directs, et il ne se limite pas aux TIC. Un point de départ pratique consiste à retenir tout acteur qui vous fournit des produits ou services TIC, ou qui a accès à vos systèmes, puis tout autre acteur dont la défaillance affecterait les services entrant dans le champ d’application. Le considérant 85 donne des exemples : les fournisseurs de services de stockage et de traitement des données, les fournisseurs de services de sécurité gérés et les éditeurs de logiciels. Il encourage les entités à intégrer des mesures de cybersécurité dans leurs contrats avec leurs fournisseurs directs, et indique que les entités « pourraient prendre en considération » les risques découlant d’autres niveaux de fournisseurs et de prestataires de services.
Le considérant 86 cite en particulier les fournisseurs de services de sécurité gérés, qui interviennent dans la réaction aux incidents, les tests d’intrusion, les audits de sécurité et le conseil. Parce qu’ils sont étroitement intégrés à vos opérations, il demande de faire preuve d’une « diligence renforcée » lorsque vous en choisissez un. Beaucoup d’entre eux sont eux-mêmes réglementés, comme l’explique NIS2 pour les MSP et les MSSP.
Comment mener une évaluation du risque fournisseurs au titre de NIS2 ?
De manière proportionnée. Un prestataire de nettoyage et votre fournisseur cloud ne reçoivent pas le même traitement.
- Constituez le registre. Chaque fournisseur et prestataire de services direct, avec un point de contact et les produits, services ou processus TIC qu’il fournit. Le règlement d’exécution (UE) 2024/2690 exige exactement cela des prestataires qu’il couvre, et c’est une base raisonnable pour tous.
- Classez selon la dépendance. Quels fournisseurs pourraient interrompre un service entrant dans le champ d’application, accéder à vos données ou détenir des accès à privilèges ? Ce sont vos fournisseurs critiques.
- Évaluez, de manière proportionnée. Chaque fournisseur direct est pris en compte ; la profondeur de l’examen dépend de sa criticité. Pour un fournisseur critique, examinez les vulnérabilités connues et l’historique des incidents, la qualité et la résilience de ce qu’il vend, ses pratiques de sécurité et la façon dont il développe ses logiciels. Un certificat ISO 27001 en cours de validité, avec un périmètre pertinent, ou un rapport SOC 2 répond à une partie de ces questions. Il ne répond pas aux questions propres à votre utilisation du service.
- Décidez et consignez. Accepter, atténuer (clauses contractuelles, contrôles supplémentaires de votre côté, second fournisseur) ou remplacer. Notez pourquoi.
- Anticipez la défaillance. Pour chaque fournisseur critique, que se passe-t-il s’il est compromis ou s’il disparaît ? Le règlement d’exécution cite, parmi les critères de sélection, la capacité à diversifier les sources d’approvisionnement et à limiter l’effet de verrouillage lié à un fournisseur.
Que doivent prévoir les contrats avec les fournisseurs ?
Le règlement d’exécution (UE) 2024/2690 s’applique aux fournisseurs de services DNS, aux registres des noms de domaine de premier niveau, aux fournisseurs de services d’informatique en nuage, de services de centres de données et de réseaux de diffusion de contenu, aux fournisseurs de services gérés, aux fournisseurs de services de sécurité gérés, aux fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux, et aux fournisseurs de services de confiance. Pour eux, le point 5.1.4 de son annexe énumère ce que les contrats avec les fournisseurs doivent préciser, le cas échéant :
- les exigences de cybersécurité applicables au fournisseur, y compris pour les produits ou services TIC qu’il fournit ;
- les exigences en matière de sensibilisation, de compétences, de formation et, le cas échéant, de certifications de son personnel ;
- la vérification des antécédents de son personnel ;
- l’obligation de vous notifier, sans retard injustifié, les incidents qui présentent un risque pour vos systèmes ;
- le droit d’effectuer des audits ou de recevoir des rapports d’audit ;
- l’obligation de gérer les vulnérabilités qui présentent un risque pour vos systèmes ;
- des règles de sous-traitance, avec les mêmes exigences de sécurité pour les sous-traitants ;
- les obligations à la fin du contrat, comme la récupération et la destruction de vos informations.
Si vous ne faites pas partie de ces prestataires, cette liste ne vous lie pas, mais c’est la lecture officielle la plus concrète de l’article 21, paragraphe 2, point d), dont on dispose. Une autorité la reconnaîtra.
À quel rythme faut-il réexaminer les fournisseurs ?
À intervalles prédéfinis, et lorsqu’un changement important survient. Pour les prestataires qu’il couvre, le règlement d’exécution exige de réexaminer la politique de sécurité de la chaîne d’approvisionnement et de réagir à l’évolution des pratiques de cybersécurité des fournisseurs lorsque surviennent des changements majeurs concernant les opérations ou les risques, ou des incidents importants impliquant un fournisseur. Cela comprend le suivi des rapports de niveau de service, l’examen des incidents liés aux fournisseurs et l’analyse des risques liés aux changements dans ce que livrent les fournisseurs.
Dans la pratique : les fournisseurs critiques une fois par an et à chaque événement déclencheur, comme une compromission, une acquisition ou un nouveau sous-traitant. Les autres selon un cycle plus long.
Qu’est-ce qu’une évaluation coordonnée des risques de la chaîne d’approvisionnement à l’échelle de l’UE ?
C’est l’article 22, et ce n’est pas à vous de la réaliser. Le groupe de coopération, en coopération avec la Commission et l’ENISA, peut procéder à des évaluations coordonnées des risques pour la sécurité des chaînes d’approvisionnement de services TIC, de systèmes TIC ou de produits TIC critiques spécifiques. La Commission détermine lesquelles, après consultation du groupe de coopération et de l’ENISA.
Les considérants décrivent la démarche. L’évaluation 5G réalisée à la suite de la recommandation (UE) 2019/534 de la Commission sert de modèle (considérant 90). Les évaluations examinent des facteurs de risque techniques et non techniques. Les facteurs non techniques comprennent « l’influence injustifiée d’un pays tiers sur des fournisseurs et prestataires de services », les vulnérabilités cachées ou portes dérobées, et les ruptures d’approvisionnement dues au verrouillage technologique ou à la dépendance à l’égard de fournisseurs. Pour choisir les chaînes d’approvisionnement à évaluer, le considérant 91 énumère des critères tels que la mesure dans laquelle les entités dépendent d’un produit, la disponibilité d’alternatives et la résilience de la chaîne d’approvisionnement.
Votre obligation est de tenir compte des résultats (article 21, paragraphe 3). Si une évaluation porte sur un produit dont vous dépendez, votre registre des risques et vos décisions relatives aux fournisseurs doivent montrer que vous l’avez lue.
La Commission a proposé un cadre plus large en janvier 2026. La révision du règlement sur la cybersécurité mettrait en place un cadre de l’UE pour la sécurité des chaînes d’approvisionnement TIC de confiance. Dans ce cadre, les opérateurs de réseaux de communications électroniques ne pourraient pas s’appuyer sur des fournisseurs à haut risque pour leurs actifs critiques. Il s’agit d’une proposition, pas encore d’un texte en vigueur.
Qu’est-ce qui change si vous êtes le fournisseur ?
Si vos clients entrent dans le champ d’application, NIS2 vous atteint par leur intermédiaire, même si vous n’êtes pas vous-même réglementé. Attendez-vous à davantage de questionnaires de sécurité, de clauses de sécurité dans les contrats, de demandes de rapports d’audit et d’engagements de notification des incidents. Répondre une fois, avec des preuves réutilisables, coûte moins cher que de reprendre chaque questionnaire de zéro. Comment répondre à un questionnaire de sécurité explique la méthode. Si vos clients demandent la preuve d’un système de management de la sécurité de l’information, ISO 27001 et NIS2 montre jusqu’où va un certificat.
Où les programmes de gestion du risque fournisseurs échouent
Un programme fournisseurs échoue généralement de la même façon : un tableur de réponses à des questionnaires, recueillies il y a un an. Ces réponses décrivent ce que le fournisseur a déclaré, pas ce qui est vrai aujourd’hui. Le fournisseur qui a changé d’hébergeur, perdu son responsable sécurité ou subi une compromission le mois dernier apparaît toujours en vert.
La solution consiste à conserver moins de papier et plus de signaux. Tenez le registre à jour en le reliant aux achats et à la finance, pour que les nouveaux fournisseurs y apparaissent automatiquement. Suivez les quelques faits qui modifient le risque : dates d’expiration des certificats, compromissions rendues publiques, accès que les fournisseurs conservent à vos systèmes. Faites examiner les exceptions par une personne, pas toute la liste. C’est l’approche que la plateforme CloudSoul applique aux preuves. Pour savoir où en est votre propre chaîne d’approvisionnement au regard de NIS2, commencez par un audit de sécurité. Le programme d’ensemble est présenté sur la page conformité NIS2.
Liste de contrôle NIS2 pour la chaîne d’approvisionnement
- Tenez un registre de tous les fournisseurs et prestataires de services directs, avec ce que chacun fournit.
- Identifiez les fournisseurs critiques selon la dépendance, l’accès aux données et les accès à privilèges.
- Prenez en compte chaque fournisseur direct, et évaluez en profondeur les fournisseurs critiques : vulnérabilités, qualité des produits, pratiques de sécurité.
- Ajoutez aux contrats critiques des exigences de sécurité, la notification des incidents, des droits d’audit et des clauses de sortie.
- Réexaminez les fournisseurs critiques au moins une fois par an et après tout changement ou incident important.
- Consignez un plan de continuité en cas de perte ou de compromission de chaque fournisseur critique.
- Vérifiez si une évaluation coordonnée de l’UE porte sur des produits dont vous dépendez.
- Faites preuve d’une diligence renforcée lors du choix d’un fournisseur de services de sécurité gérés.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 21 et 22 et considérants 85, 86, 90 et 91, EUR-Lex.
- Règlement d’exécution (UE) 2024/2690 de la Commission, annexe, section 5, EUR-Lex.
- Commission européenne, questions et réponses sur le paquet cybersécurité, 20 janvier 2026, Shaping Europe’s digital future.
Questions fréquentes
Qu'exige NIS2 en matière de sécurité de la chaîne d'approvisionnement ?
L'article 21, paragraphe 2, point d), fait de la sécurité de la chaîne d'approvisionnement l'une des dix mesures minimales. Elle couvre les aspects liés à la sécurité de la relation avec chaque fournisseur et prestataire de services direct. L'article 21, paragraphe 3, vous impose de tenir compte des vulnérabilités propres à chaque fournisseur, de la qualité de ses produits et de ses pratiques de sécurité, y compris le développement sécurisé, ainsi que des résultats des évaluations coordonnées des risques menées au niveau de l'UE.
NIS2 couvre-t-elle les fournisseurs de mes fournisseurs ?
L'obligation porte sur vos fournisseurs et prestataires de services directs. Les considérants indiquent que les entités pourraient prendre en considération les risques découlant d'autres niveaux de la chaîne d'approvisionnement. Les fournisseurs de rang 2 relèvent donc de la bonne pratique plutôt que d'une exigence stricte, sauf si votre droit national ou les règles de votre secteur en disposent autrement.
Qu'est-ce qu'une évaluation des risques de la chaîne d'approvisionnement NIS2 ?
Ce nom désigne deux exercices différents. Au niveau de l'entité, c'est votre propre évaluation du risque que présente chaque fournisseur direct. Au niveau de l'UE, l'article 22 permet au groupe de coopération, avec la Commission et l'ENISA, de mener des évaluations coordonnées des risques pour la sécurité de chaînes d'approvisionnement TIC critiques spécifiques, comme cela a été fait pour les réseaux 5G.
Que doit contenir un contrat fournisseur au titre de NIS2 ?
Pour les fournisseurs de services d'informatique en nuage, de centres de données, de DNS, de services gérés et les autres prestataires qu'il couvre, le règlement d'exécution (UE) 2024/2690 énumère les points à prévoir au contrat : exigences de sécurité, compétences et vérification des antécédents du personnel, notification des incidents sans retard injustifié, droit d'audit ou rapports d'audit, gestion des vulnérabilités, règles de sous-traitance et obligations à la fin du contrat. Les autres entités peuvent utiliser la même liste comme référence.
Mes fournisseurs sont-ils directement soumis à NIS2 ?
Seulement s'ils entrent eux-mêmes dans le champ d'application, par exemple un fournisseur de services gérés ou un fournisseur cloud de taille moyenne. Sinon, NIS2 les atteint par vos contrats et vos évaluations. C'est pourquoi les fournisseurs d'entreprises réglementées reçoivent davantage de questionnaires de sécurité.
