Annexe sécurité des contrats fournisseurs : ce que demande chaque clause et comment y répondre

Une annexe sécurité est la partie d’un contrat fournisseur qui transforme les exigences de sécurité de votre client en obligations, chacune assortie d’un délai, d’un droit d’audit et d’une conséquence. Son noyau reprend en général les huit points contractuels relatifs aux fournisseurs du règlement d’exécution (UE) 2024/2690, auxquels s’ajoutent la localisation des données, la responsabilité et la résiliation. Le questionnaire sert de filtre. L’annexe, c’est le contrat.

Ce guide explique ce qu’est une annexe sécurité, d’où viennent ses clauses, les dix clauses, celles qui se négocient, comment y répondre et ce qu’il faut construire une fois pour toutes.

Clause	Ce qu’elle demande	D’où elle vient
1. Exigences de sécurité	Une norme nommée « ou équivalent »	Règl. 2024/2690, point 5.1.4 a)
2. Personnel	Formation, vérification des antécédents, accès nominatifs	Point 5.1.4 b) et c)
3. Notification des incidents	Un avis dans un délai fixé	Point 5.1.4 d) ; RGPD art. 33, par. 2
4. Droits d’audit	Audit sur préavis, ou rapports d’audit	Point 5.1.4 e) ; RGPD art. 28, par. 3, h)
5. Gestion des vulnérabilités	Recevoir les signalements, corriger selon la gravité	Point 5.1.4 f)
6. Sous-traitance	Déclarer, obtenir l’accord, répercuter les exigences	Point 5.1.4 g) ; RGPD art. 28, par. 2
7. Restitution et destruction	Restituer ou détruire les données, et le certifier	Point 5.1.4 h) ; RGPD art. 28, par. 3, g)
8. Localisation des données	Où se trouvent les données et qui y accède	Conditions du client
9. Responsabilité et assurance	Plafond distinct ou indemnisation pour les violations de sécurité	Conditions du client
10. Résiliation sur incident	Sortie en cas d’incident majeur	Conditions du client

Qu’est-ce qu’une annexe sécurité dans un contrat ?

Une annexe sécurité, parfois appelée plan d’assurance sécurité (PAS), fixe les obligations de sécurité de l’information que le fournisseur accepte en signant. Lorsque des données à caractère personnel sont traitées, elle s’ajoute à un accord de traitement des données (DPA).

On la confond sans cesse avec le questionnaire de sécurité. Le questionnaire demande si vous disposez d’une mesure. L’annexe dit ce qui se passe si vous n’en disposez pas, et attache à chaque obligation un délai, un droit d’audit et un motif de résiliation. Les fournisseurs passent des semaines sur le questionnaire, puis signent l’annexe en pensant qu’elle dit la même chose. Ce n’est pas le cas. Le premier document est traité dans comment répondre à un questionnaire de sécurité.

D’où viennent les exigences de sécurité dans les contrats fournisseurs ?

Votre client vous répercute ses propres obligations.

NIS2. L’article 21, paragraphe 2, point d), fait de la sécurité de la chaîne d’approvisionnement une mesure minimale, y compris « les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». L’article 21, paragraphe 3, impose au client de tenir compte des vulnérabilités propres à chaque fournisseur direct, ainsi que de la qualité de ses produits et de ses pratiques de cybersécurité, y compris le développement sécurisé. Le considérant 85 encourage les entités à intégrer des mesures de cybersécurité dans leurs contrats avec leurs fournisseurs directs. Le point de vue du client est traité dans la sécurité de la chaîne d’approvisionnement selon NIS2.

Règlement d’exécution (UE) 2024/2690. Il couvre les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les fournisseurs de services d’informatique en nuage, de centres de données et de réseaux de diffusion de contenu, les fournisseurs de services gérés et de services de sécurité gérés, les places de marché en ligne, les moteurs de recherche, les réseaux sociaux et les prestataires de services de confiance. Le point 5.1.4 de son annexe impose que leurs contrats avec leurs fournisseurs précisent, « le cas échéant », les huit points du tableau. Le point 5.2 impose un registre des fournisseurs directs. Les autres entités ne sont pas liées par cette liste. Elle reste une lecture officielle et concrète de l’article 21, paragraphe 2, point d) : attendez-vous à la retrouver, quel que soit votre client.

ISO/IEC 27001:2022. Son annexe A comporte cinq mesures relatives aux fournisseurs : 5.19 Sécurité de l’information dans les relations avec les fournisseurs, 5.20 La sécurité de l’information dans les accords conclus avec les fournisseurs, 5.21 Gestion de la sécurité de l’information dans la chaîne d’approvisionnement TIC (technologies de l’information et de la communication), 5.22 Surveillance, révision et gestion des changements des services fournisseurs, et 5.23 Sécurité de l’information dans l’utilisation de services en nuage. Pour un client certifié, votre annexe est en général le moyen de montrer à son auditeur que la mesure 5.20 fonctionne.

Dans le spatial, la proposition de règlement européen sur l’espace (EU Space Act) présentée par la Commission en juin 2025 ajouterait des exigences de sécurité de la chaîne d’approvisionnement pour les opérateurs. Ce n’est encore qu’une proposition : en septembre 2026, ni le Parlement ni le Conseil n’ont adopté de position. Les clients rédigent souvent en fonction du régime qu’ils attendent : voir les fournisseurs du spatial et les quatre régimes.

Que demande chaque clause d’une annexe sécurité ?

Les sept premières clauses correspondent au point 5.1.4. Les trois dernières sont commerciales. Les délais indiqués ci-dessous sont ceux que les annexes contiennent couramment en pratique, pas des exigences légales.

1. Exigences de sécurité : une norme nommée, « ou équivalent »

La clause cite ISO 27001, une norme sectorielle ou le NIST, et ajoute « ou équivalent ». C’est sur ce mot que les fournisseurs baissent la garde, à tort. Équivalent signifie que le client décidera, plus tard, en général lors d’un audit, si ce que vous avez est équivalent.

Ce qu’elle coûte : rien à la signature, beaucoup pour la respecter sans certificat. Un certificat clôt la discussion si son périmètre couvre le service que vous fournissez. Sans certificat, il faut en faire la démonstration, à chaque fois. Dans les deux cas, le certificat ne répond pas aux clauses sur les délais de notification, les accès nominatifs, les sous-traitants ou la restitution des données. La portée réelle d’un certificat est détaillée dans ISO 27001 et NIS2.

2. Personnel : formation, vérification des antécédents et accès nominatifs

Le point 5.1.4 couvre la sensibilisation, les compétences, la formation et la vérification des antécédents du personnel. Les annexes y ajoutent une liste nominative des personnes ayant accès, plutôt qu’un effectif, et parfois des conditions de nationalité.

Ce qu’elle coûte : une liste d’accès exacte. En pratique, c’est la clause la plus souvent en défaut, et le défaut est structurel plutôt que dû à la négligence : les accès sont accordés avec précision et retirés de mémoire. La façon dont les opérateurs vérifient cette liste est décrite dans l’accès au segment sol.

3. Notification des incidents dans un délai fixé

Le règlement dit « sans retard injustifié ». Les annexes traduisent cela en heures : 24 heures à compter de la prise de connaissance est courant, parfois 12, occasionnellement 4. Le client a son propre délai : une entité concernée doit transmettre une alerte précoce dans les 24 heures après avoir eu connaissance d’un incident important (article 23 de NIS2). Pour les données à caractère personnel, l’article 33, paragraphe 2, du RGPD impose au sous-traitant de notifier toute violation au responsable du traitement dans les meilleurs délais.

Deux pièges. Le délai court à partir de la prise de connaissance, et celle-ci dépend d’une capacité de détection que vous n’avez peut-être pas. Et beaucoup d’annexes couvrent les incidents survenus dans votre propre environnement, même lorsque les systèmes du client ne sont pas touchés.

Ce qu’elle coûte : un contact nommé et joignable, une règle écrite qui définit ce qui compte comme incident, et des journaux conservés assez longtemps pour répondre aux questions qui suivent. Un délai de douze heures ne veut rien dire si les journaux sont écrasés au bout de sept jours.

4. Droits d’audit et d’inspection

Un audit sur préavis, parfois par un tiers, sur site ou chez vos sous-traitants. Le point 5.1.4 e) admet à la place des rapports d’audit. L’article 28, paragraphe 3, point h), du RGPD impose au sous-traitant de permettre la réalisation d’audits, y compris des inspections, et d’y contribuer. En pratique, les clients qui exercent ce droit le font plutôt après un incident survenu ailleurs dans leur chaîne d’approvisionnement, avec un préavis court.

Ce qu’elle coûte : des preuves disponibles dans le délai de préavis. Si le préavis est de dix jours ouvrés et que vos preuves demandent trois semaines à rassembler, vous êtes en défaut sur une clause que vous pensiez respecter.

5. Gestion des vulnérabilités et correctifs

Un canal pour vous signaler des vulnérabilités, une obligation de les traiter, et souvent des délais de correction selon la gravité : sept jours pour une vulnérabilité critique et trente pour une vulnérabilité élevée sont courants. Le délai court à partir de la divulgation, pas du moment où vous l’avez remarquée. Si vous ne suivez pas ce que vous exploitez, vous ne pouvez pas savoir si le délai court.

Ce qu’elle coûte : un contact publié, un responsable du tri et un inventaire des dépendances pour tout ce que vous livrez.

6. Sous-traitance et répercussion des exigences

Déclarer les sous-traitants à l’avance, leur imposer des conditions équivalentes, et souvent obtenir un accord écrit avant d’en ajouter un. Pour les données à caractère personnel, l’article 28, paragraphe 2, du RGPD interdit déjà au sous-traitant de recruter un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement.

Lisez la définition. « Sous-traitant » est souvent défini de façon à inclure les fournisseurs de cloud et de SaaS. Un fournisseur qui n’a pas déclaré son hébergeur, son service d’intégration continue et son outil de ticketing est non conforme dès la signature.

Ce qu’elle coûte : un registre des fournisseurs tenu à jour, avec les conditions de sécurité et les dates de revue, dont vous aviez besoin de toute façon.

7. Restitution et destruction en fin de contrat

Restituer ou détruire les données du client dans un délai fixé, et le certifier par écrit. Le point 5.1.4 h) mentionne la récupération et l’élimination des informations obtenues par le fournisseur. L’article 28, paragraphe 3, point g), du RGPD prévoit une obligation similaire pour les données à caractère personnel, au choix du responsable du traitement.

Le certificat est le problème. Il suppose de connaître chaque copie : production, sauvegardes, entrepôt de données analytiques, ordinateur portable de l’ingénieur, ticket de support avec une pièce jointe. La plupart des fournisseurs signent cette clause et ne pourraient pas la respecter aujourd’hui.

Ce qu’elle coûte : une cartographie des données. Un point de rédaction raisonnable : les sauvegardes expirent selon leur rotation normale, dont la durée est précisée.

8. Localisation des données, souveraineté et contrôle des exportations

Où les données peuvent être stockées, quelles juridictions sont exclues, qui peut y accéder et depuis où. Ce qu’elle coûte : savoir où chaque outil stocke les données, y compris les copies de sauvegarde et de journaux, faciles à oublier.

9. Responsabilité, indemnisation et assurance

Une exclusion du plafond de responsabilité pour les violations de sécurité, une indemnisation pour les amendes réglementaires et les réclamations de tiers, et une cyberassurance à un montant fixé. Ce qu’elle coûte : de l’argent, bien réel. Votre avocat et votre assureur doivent la lire avant que vous ne signiez.

10. Résiliation en cas d’incident de sécurité majeur

Le droit de résilier, parfois avec effet immédiat, en cas d’incident majeur. Ce qu’elle coûte : rien tant que cela n’arrive pas, et tout le jour où cela arrive. « Majeur » est rarement défini, et le définir vaut plus que de gagner un jour sur le délai de notification.

Quelles clauses d’une annexe sécurité peut-on négocier ?

En pratique, les clients s’attendent à de la résistance sur certaines clauses et pas sur d’autres. Insistez sur les mauvaises et vous paraîtrez mal préparé.

• Responsabilité et indemnisation. Une indemnisation illimitée des amendes réglementaires est une formulation courante dans les premiers projets, souvent ramenée par la négociation à un plafond lié à la valeur du contrat.
• Définitions. Un seuil pour « incident » et « incident majeur » est généralement accepté, et il transforme une obligation ouverte en obligation bornée.
• Modalités d’audit. Dix jours ouvrés de préavis plutôt que cinq, une fois par an plutôt qu’à la demande, à distance pour les contrôles de routine. Des rapports d’audit à la place d’un audit, ce que le point 5.1.4 e) admet lui-même.

Plus difficiles à faire bouger : l’obligation de notification, la répercussion aux sous-traitants et les exigences de sécurité, parce que le client doit pouvoir les montrer à sa propre autorité ou à son auditeur. Négociez le détail (le délai, la définition, la liste), pas l’obligation.

Comment répondre à une annexe sécurité ?

1. Lisez d’abord les définitions : incident, incident majeur, sous-traitant, données du client.
2. Classez chaque obligation : respectée aujourd’hui avec preuves, respectée à une date donnée, ou à amender.
3. Confrontez chaque délai à votre temps de détection réel et à la durée de conservation de vos journaux.
4. Amendez en proposant une autre rédaction, pas une suppression.
5. Après la signature, donnez un responsable à chaque obligation, pour qu’elle soit appliquée plutôt qu’archivée.

LISTE DE CONTRÔLE : RÉPONSE À UNE ANNEXE SÉCURITÉ
Client : ____________  Version de l'annexe : ______  Responsable : __________
Statut par ligne : RESPECTÉ / RESPECTÉ AU (date) / À AMENDER

DÉFINITIONS
[ ] « Incident » : suspecté ou confirmé ? Chez nous ou seulement chez eux ?
[ ] « Incident majeur » défini ? Sinon, proposer un seuil
[ ] « Sous-traitant » inclut cloud et SaaS ? Liste jointe ?

CLAUSES
[ ] 1  Norme : ________  Le périmètre du certificat couvre ce service ?
[ ] 2  Niveau de vérification : ______  Liste d'accès issue des systèmes ?
[ ] 3  Notifier sous ___ heures. Journaux conservés ___ jours. Contact nommé ?
[ ] 4  Préavis d'audit ___ jours. Preuves prêtes à temps ? Rapports acceptés ?
[ ] 5  Correction : critique ___ jours, élevée ___ jours. Inventaire à jour ?
[ ] 6  Accord requis pour un nouveau sous-traitant ? Exigences répercutées ?
[ ] 7  Restituer ou détruire sous ___ jours. Rotation des sauvegardes ___ jours
[ ] 8  Lieux autorisés : ________  Outils, sauvegardes et journaux vérifiés ?
[ ] 9  Plafond de responsabilité (violations) : ______  Assurance : ______
[ ] 10 Motif de résiliation défini ? Droit de suspension ? Délai pour remédier ?
[ ] Après signature : chaque obligation a un responsable et une date de revue

La réalité technique : l’annexe porte sur un état, vos documents décrivent une intention

Chaque clause est rédigée au présent et porte sur une situation réelle. Qui a accès en ce moment. Ce qui tourne en ce moment. Quels fournisseurs touchent aux données du client en ce moment.

Ce qu’un fournisseur apporte, ce sont des documents qui décrivent ce qui a été décidé. La liste d’accès était exacte au moment de sa rédaction. Le registre des fournisseurs était juste lors de la dernière revue. Chacun est la photographie d’une intention. Cet écart explique en partie pourquoi les accès des fournisseurs reviennent sans cesse dans les rapports d’incident alors que les questionnaires reviennent sans réserve. Le questionnaire demande si vous avez un processus de départ des collaborateurs, et vous répondez oui en toute honnêteté. Personne ne demande s’il a fonctionné le mois dernier.

Ni le point 5.1.4 ni l’annexe A ne disent comment garder les réponses exactes entre deux revues. En pratique, cela veut dire générer la liste d’accès à partir des systèmes d’identité, la rapprocher des données RH et des dates de fin de contrat, signaler les comptes orphelins comme des constats, et laisser le travail produire lui-même les preuves. La plateforme CloudSoul fonctionne ainsi : collecte automatisée depuis vos systèmes, avec une personne qui examine les exceptions. Pour mesurer l’écart avant qu’un client ne le fasse, commencez par un audit de sécurité. Le programme dans son ensemble est présenté sur la page NIS2, et la vue sectorielle sur la page espace.

Liste de contrôle pour l’annexe sécurité : ce qu’il faut construire une fois pour toutes

Les annexes posent des questions qui se recoupent, avec des mots différents. Construisez le socle une fois, et l’annexe suivante devient un exercice de correspondance, pas un projet.

• Une liste d’accès générée à partir des systèmes d’identité, rapprochée des données RH et des contrats.
• Un registre des fournisseurs, cloud et SaaS compris, avec les conditions de sécurité et les dates de revue.
• Une durée de conservation des journaux qui tient face à une investigation, et pas seulement un réglage par défaut.
• Un inventaire des dépendances pour ce que vous livrez, et un contact vulnérabilités avec un responsable.
• Une cartographie des données couvrant production, sauvegardes, journaux, tickets et ordinateurs portables.
• Un contact incident nommé et une règle écrite qui définit ce qui compte comme incident.
• Une réponse à « ou équivalent » : un certificat au bon périmètre, ou des mesures avec leurs preuves.

Sources

• Directive (UE) 2022/2555 (NIS2), article 21, paragraphe 2, point d), article 21, paragraphe 3, article 23 et considérant 85, EUR-Lex.
• Règlement d’exécution (UE) 2024/2690 de la Commission, annexe, points 5.1.4 et 5.2, EUR-Lex.
• Règlement (UE) 2016/679 (RGPD), articles 28 et 33, EUR-Lex.
• ISO/IEC 27001:2022, mesures 5.19 à 5.23 de l’annexe A, ISO.
• Commission européenne, proposition de règlement relatif à la sécurité, à la résilience et à la durabilité des activités spatiales dans l’Union (EU Space Act), COM(2025) 335, EUR-Lex ; Parlement européen, Observatoire législatif, procédure 2025/0335(COD) ; Conseil de l’UE, rapport sur l’état d’avancement 8861/26 du 8 mai 2026, registre du Conseil.

Questions fréquentes