Qui devrait lire ceci : un fournisseur de vingt à deux cents personnes qui vient de recevoir un projet de contrat d’un maître d’œuvre, d’un opérateur satellite ou d’une agence, avec une annexe sécurité jointe et une signature attendue sous quinze jours.
Le questionnaire et l’annexe sont deux instruments différents, constamment confondus. Un questionnaire est un filtre : il décide si vous passez. L’annexe est un contrat : elle décide de ce dont vous répondez ensuite. Les fournisseurs passent des semaines sur le questionnaire et signent l’annexe en supposant qu’elle dit la même chose.
Ce n’est pas le cas. Le questionnaire demande si vous avez une mesure. L’annexe dit ce qui se passe quand vous ne l’avez pas, et y attache une horloge, un droit d’audit et un motif de résiliation. L’expérience de ne pas savoir répondre au premier document est traitée dans le questionnaire de sécurité auquel vous ne savez pas répondre. Il s’agit ici du second.
Pourquoi l’annexe s’est allongée
Deux choses ont changé, et toutes deux poussent les obligations vers le bas de la chaîne.
Au titre de NIS2, la sécurité de la chaîne d’approvisionnement n’est pas facultative. Le règlement d’exécution (UE) 2024/2690 prévoit, au point 5 de son annexe, qu’une entité applique une politique de sécurité de la chaîne d’approvisionnement régissant ses relations avec ses fournisseurs directs : critères de sélection, exigences contractuelles, et répertoire de fournisseurs tenu à jour et suivi tout au long de la relation. Le guide technique d’implémentation de l’ENISA du 26 juin 2025 détaille les exigences de sécurité qu’un contrat doit porter, et elles ressemblent presque mot pour mot à l’annexe que vous venez de recevoir : engagements de confidentialité, d’intégrité et de disponibilité, notification d’incident, droits d’audit et de vérification, divulgation et traitement des vulnérabilités, et procédures de fin de relation.
Dans le spatial s’ajoute une seconde source. La proposition de règlement spatial européen de juin 2025 place les obligations de chaîne d’approvisionnement à l’article 92 et au point 6 de l’annexe VII : les opérateurs doivent inscrire des exigences contractuelles de sécurité de l’information à l’égard des fabricants et prestataires, réduire le risque de chaîne d’approvisionnement, et inventorier les actifs critiques d’origine non européenne. Le Conseil et le Parlement divergent sur la question de savoir s’il faut un régime distinct ou un rattachement à NIS2, et le trilogue n’est pas conclu, donc rien de tout cela ne vous lie encore. Commercialement, cela ne change rien. Votre client rédige pour le régime qu’il anticipe, pas pour celui en vigueur, et les quatre régimes qui se superposent aujourd’hui pour un fournisseur spatial sont cartographiés dans les fournisseurs spatiaux et les quatre régimes.
Clause un : conformité à une norme nommée, ou équivalent
La clause cite ISO 27001, ou une norme sectorielle, ou NIST, et ajoute « ou équivalent ». C’est sur ce mot que les fournisseurs se détendent, à tort.
Équivalent signifie que le client décidera, plus tard, généralement pendant un audit, si ce que vous avez est équivalent. Un fournisseur non certifié peut satisfaire cette clause, mais seulement en sachant montrer son dispositif de contrôle et les preuves associées à la demande. S’il y a un certificat, la conversation s’arrête ; sans certificat, elle devient une démonstration, à chaque fois.
Ce que cela coûte : rien à la signature, beaucoup à satisfaire sans certificat. C’est la clause qui se transforme en charge annuelle.
Clause deux : notification d’incident dans un délai fixe
En général vingt-quatre heures à compter de la connaissance, parfois douze, occasionnellement quatre pour tout ce qui touche l’environnement du client. De plus en plus, la clause définit l’incident assez largement pour inclure une compromission suspectée, pas seulement confirmée.
Deux pièges. Le premier : l’horloge démarre à la connaissance, et la connaissance dépend d’une détection que vous n’avez peut-être pas. Le second : la plupart des annexes exigent la notification d’incidents touchant votre propre parc même lorsque les systèmes du client ne sont pas atteints, obligation bien plus large que ce que supposent les fournisseurs. Les horloges réglementaires que ces clauses reproduisent sont détaillées dans le calendrier de notification des incidents NIS2.
Ce que cela coûte : un contact nommé et joignable, un déclencheur interne écrit définissant ce qui compte, et une journalisation dont la rétention permet de répondre aux questions qui suivent la notification. Une horloge de douze heures ne veut rien dire si les journaux disparaissent au bout de sept jours.
Clause trois : droits d’audit et d’inspection
Le client se réserve le droit de vous auditer, sur préavis, parfois avec un tiers, parfois sur site. Certaines annexes étendent ce droit à vos sous-traitants.
La plupart des maîtres d’œuvre ne l’exercent jamais. Ceux qui l’exercent le font après un incident survenu ailleurs dans leur chaîne, ce qui signifie que l’audit arrive au pire moment et avec un préavis court.
Ce que cela coûte : la capacité à produire les preuves dans le préavis indiqué. Si le préavis est de dix jours ouvrés et que vos preuves demandent trois semaines à assembler, vous êtes en défaut sur une clause que vous pensiez satisfaire.
Clause quatre : divulgation des vulnérabilités et engagements de correction
L’obligation d’accepter des signalements de vulnérabilité, d’offrir une voie de contact à un chercheur ou au client, et de corriger dans des délais fixés par gravité. Critique sous sept jours est courant, élevée sous trente.
Le délai court à compter de la divulgation, pas du moment où vous l’avez remarquée. Si vous ne savez pas ce que vous exécutez, vous ne pouvez pas savoir si l’horloge tourne.
Ce que cela coûte : un contact publié, un responsable du tri, et un inventaire des dépendances de tout ce que vous livrez.
Clause cinq : contrôle du personnel et accès nominatifs
Vérifications d’antécédents à un niveau indiqué, exigences de nationalité ou de résidence sur certains programmes, et une liste nominative des personnes ayant accès plutôt qu’un effectif. Les changements doivent être notifiés et parfois approuvés.
Ce que cela coûte : une liste d’accès qui soit vraie. C’est la clause la plus souvent prise en défaut, et le défaut est structurel plutôt que négligent, car l’accès est accordé avec précision et révoqué de mémoire. Ce qu’un opérateur vérifie, et comment la liste est testée, figure dans l’accès au segment sol et ce que vérifient les opérateurs.
Clause six : répercussion et divulgation des sous-traitants
Vous devez imposer des conditions équivalentes à quiconque vous emploie, les déclarer à l’avance, et souvent obtenir un accord écrit avant d’en ajouter un. Certaines annexes donnent au client un droit de veto.
Lisez celle-ci attentivement, car « sous-traitant » est fréquemment rédigé de manière à inclure les fournisseurs cloud et SaaS. Un fournisseur qui n’a pas listé son hébergeur, son service d’intégration continue et son outil de tickets est déjà en défaut à la signature. La vision côté acheteur de la même obligation, celle dont part votre client, est exposée dans la sécurité de la chaîne d’approvisionnement et le risque fournisseur au titre de NIS2.
Ce que cela coûte : un registre fournisseurs tenu à jour, avec conditions de sécurité et dates de revue, dont vous aviez besoin de toute façon.
Clause sept : localisation des données, souveraineté et contrôle des exportations
Où les données peuvent être stockées et traitées, quelles juridictions sont exclues, et qui peut y accéder depuis où. Sur les programmes de défense et institutionnels, cela s’étend aux classifications de contrôle des exportations et à la nationalité du personnel.
Ce que cela coûte : savoir lesquels de vos outils stockent quoi et où, y compris les copies de sauvegarde et de journaux, faciles à oublier.
Clause huit : restitution et destruction en fin de contrat
À la fin du contrat, restituer ou détruire toutes les données du client dans un délai indiqué et le certifier par écrit.
Le certificat est le problème. Certifier une destruction suppose de connaître chaque copie : production, sauvegardes, entrepôt analytique, portable d’un ingénieur, ticket de support avec pièce jointe.
Ce que cela coûte : une cartographie des données. La plupart des fournisseurs signent cette clause sans pouvoir l’honorer aujourd’hui.
Clause neuf : responsabilité, indemnisation et assurance
Une exclusion du plafond général de responsabilité pour les violations de sécurité, une indemnisation des amendes réglementaires et des réclamations de tiers, et l’obligation de porter une assurance cyber à un montant indiqué.
Ce que cela coûte : de l’argent réel, et c’est la clause que votre assureur et votre avocat doivent voir. C’est aussi celle qui se négocie le plus souvent avec succès, parce que les maîtres d’œuvre s’y attendent.
Clause dix : résiliation sur incident de sécurité significatif
Le droit de résilier, parfois immédiatement, sur un incident significatif ou un manquement à l’annexe. Parfois assorti d’un droit de suspendre les accès le temps de l’enquête.
Ce que cela coûte : rien jusqu’à ce que cela arrive, et tout ensuite. « Significatif » n’est presque jamais défini, et le définir vaut plus que de gagner un jour sur l’horloge de notification.
Les trois clauses réellement négociables
Les maîtres d’œuvre attendent de la résistance sur certaines clauses et pas sur d’autres. Pousser sur les mauvaises vous fait passer pour mal préparé.
- Responsabilité et indemnisation. Une indemnisation non plafonnée des amendes réglementaires est une rédaction standard, couramment ramenée à un multiple de la valeur du contrat.
- La définition d’un incident significatif, et de l’incident tout court. Faire inscrire un seuil est généralement accepté, et convertit une obligation ouverte en obligation bornée.
- Les préavis et la fréquence d’audit. Dix jours ouvrés plutôt que cinq, une fois par an plutôt qu’à la demande, à distance plutôt que sur site pour les contrôles de routine.
Ce qui est rarement négociable : l’horloge de notification, l’obligation de répercussion et la norme nommée. Elles découlent de l’obligation réglementaire du client, qui n’a aucune marge pour y renoncer en votre faveur.
Ce qu’il faut construire une fois pour que la prochaine annexe soit gratuite
D’un maître d’œuvre à un opérateur ou une agence, ces annexes posent des questions qui se recoupent avec des mots différents. Le noyau commun est réduit.
Une liste d’accès générée depuis les systèmes et rapprochée des contrats et de la paie. Un registre fournisseurs avec conditions de sécurité et dates de revue. Une journalisation dont la rétention survit à une investigation plutôt qu’une rétention qui satisfait un réglage par défaut. Un inventaire des dépendances de tout ce que vous livrez. Une cartographie des données qui rend honnête un certificat de destruction. Un contact nommé avec un déclencheur écrit de ce qui compte comme incident.
Construisez cela et l’annexe suivante devient un exercice de correspondance plutôt qu’un projet. Construisez-le par client et vous referez le même travail trois fois, argument développé plus généralement dans la preuve qui s’assemble toute seule. Si vous voulez mesurer l’écart avant qu’un maître d’œuvre ne le mesure pour vous, un audit de sécurité indépendant commence là, et la page du secteur spatial expose l’empilement des obligations.
La réalité technique : l’annexe interroge un état, vos documents décrivent une intention
Chaque clause ci-dessus est écrite au présent, à propos d’une condition vivante. Qui a accès en ce moment. Ce qui tourne en ce moment. Quels fournisseurs touchent aux données clients en ce moment.
Ce qu’un fournisseur apporte à la conversation, c’est un ensemble de documents décrivant ce qui a été décidé. La liste d’accès était vraie quand elle a été écrite. Le registre fournisseurs était exact à la dernière revue. L’inventaire des dépendances a été généré à la dernière livraison. Chacun est la photographie d’une intention, et l’annexe interroge le présent.
Cet écart explique pourquoi l’accès fournisseur revient sans cesse dans les rapports d’incident alors que les questionnaires fournisseurs reviennent propres. Le questionnaire demande si vous avez un processus de départ et vous répondez oui, sincèrement. Personne ne demande si le processus a tourné le mois dernier, et la réponse est souvent non.
Refermer cet écart est un travail précis : la liste d’accès générée en continu depuis vos systèmes d’identité et rapprochée des données RH et des fins de contrat, les comptes orphelins remontés comme constats plutôt que découverts en audit, les dépendances et leurs vulnérabilités connues suivies par rapport à ce que vous livrez réellement, et la preuve demandée par un maître d’œuvre produite par le travail plutôt qu’assemblée la quinzaine d’avant. Cela fonctionne en continu et automatiquement, sans rien à installer chez vous. Ce que cela change pour une annexe, c’est que les réponses restent vraies entre deux revues, seule version de la conformité qu’un maître d’œuvre achète réellement.
