Qui devrait lire ceci : une entreprise qui vend de la connectivité, du logiciel réseau, des services gérés, des équipements de segment sol ou de l’ingénierie de terrain à des opérateurs télécoms ou satellitaires, et qui voit apparaître des clauses de sécurité dans ses renouvellements de contrat.
Deux voies distinctes permettent à NIS2 de vous atteindre. La plupart des fournisseurs connaissent la première et supposent que c’est la seule. La seconde est plus précise, plus prescriptive, et elle s’applique qu’un client vous le demande ou non.
Voie une : l’obligation de votre client, répercutée sur vous
Les fournisseurs de réseaux et de services de communications électroniques publics figurent à l’annexe I de NIS2. Les opérateurs sont des entités essentielles. Cette partie est bien comprise.
Vient ensuite l’article 21(2)(d), qui impose aux entités concernées de gérer les risques de sécurité dans leur chaîne d’approvisionnement et dans leurs relations avec leurs fournisseurs directs. L’opérateur ne peut pas s’en acquitter en espérant. Il s’en acquitte en plaçant des clauses dans votre contrat, en vous envoyant des questionnaires et en se réservant des droits d’audit.
L’obligation est donc juridiquement la sienne et commercialement la vôtre. Vous n’êtes pas régulé, vous êtes évalué. Le mécanisme est décrit dans la sécurité de la chaîne d’approvisionnement sous NIS2, et la forme concrète de ce qui arrive dans le questionnaire de sécurité auquel vous ne pouvez pas répondre.
Cette voie a une propriété utile : elle se négocie. Ce que vous devez faire, c’est satisfaire une contrepartie commerciale, pas un régulateur, et la norme appliquée est sa propre appréciation des risques.
Voie deux : vous êtes vous-même concerné, et plus précisément qu’eux
Voici la partie qui surprend.
L’annexe I de NIS2 ne couvre pas seulement les opérateurs télécoms. Elle couvre aussi l’infrastructure numérique et la gestion des services TIC, et plusieurs des catégories qui s’y trouvent décrivent des activités ordinaires de fournisseur :
- Fournisseurs de services d’informatique en nuage
- Fournisseurs de services de centres de données
- Fournisseurs de réseaux de diffusion de contenu
- Fournisseurs de services DNS et registres de noms de domaine de premier niveau
- Fournisseurs de services gérés
- Fournisseurs de services de sécurité gérés
- Prestataires de services de confiance
Comparez cette liste à ce que fait réellement un fournisseur télécom. Une entreprise qui exploite les opérations réseau d’un opérateur est un fournisseur de services gérés. Une entreprise qui héberge un composant de plateforme est probablement un fournisseur de services en nuage. Une entreprise qui exploite un téléport ou un centre de données est nommée directement. Les catégories sont exposées dans entités essentielles et importantes comparées, et le cas des services gérés en particulier dans les MSP et MSSP sous NIS2.
Si vous relevez de l’une de ces catégories et atteignez les seuils de taille, vous êtes une entité à part entière. Personne n’a besoin de vous envoyer une clause contractuelle pour que l’obligation existe.
L’instrument qui rend la voie deux différente
C’est le détail qu’il faut connaître, car il change la marge d’interprétation dont vous disposez.
Pour ces catégories d’infrastructure numérique et de gestion des services TIC, la Commission a adopté le règlement d’exécution (UE) 2024/2690, en vigueur depuis octobre 2024. Il fixe en détail les exigences techniques et méthodologiques, sur treize sections d’annexe : politique de sécurité, gestion des risques, traitement des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, acquisition et maintenance des systèmes, évaluation de l’efficacité, hygiène et formation, cryptographie, sécurité des ressources humaines, contrôle d’accès, gestion des actifs et sécurité physique.
Il définit également ce qui constitue un incident important pour chaque catégorie, ce qui compte puisque c’est ce qui déclenche le compteur décrit dans le calendrier de notification des incidents NIS2.
La conséquence pratique inverse le schéma habituel. NIS2 en général vous donne les dix mesures de l’article 21 et vous laisse le détail, raison pour laquelle les dix mesures se lisent comme des principes. Si vous relevez de 2024/2690, vous recevez une spécification à la place. Moins de place pour interpréter, et moins de place pour en faire trop peu.
Il y a un bénéfice symétrique. Une spécification est quelque chose contre quoi on peut construire et se démontrer, plutôt que de discuter de proportionnalité avec une autorité après coup.
Sur quelle voie êtes-vous
Trois questions tranchent dans la plupart des cas.
Exploitez-vous ou gérez-vous des systèmes pour votre client, ou lui vendez-vous un produit ? Exploiter et gérer oriente vers le fournisseur de services gérés. Vendre un boîtier ou une licence, généralement non.
Où est votre établissement principal, et où fournissez-vous le service ? Pour la plupart de ces catégories, la compétence suit l’établissement principal, ce qui compte si vous opérez dans plusieurs pays. C’est exposé dans quelle juridiction NIS2 s’applique.
Quels sont vos effectifs et votre chiffre d’affaires ? Les seuils de taille jouent un vrai rôle ici. Beaucoup de fournisseurs de 20 à 250 personnes se situent sous le seuil direct et ne sont atteints que par la voie une. Beaucoup non.
En cas de doute, le vérificateur de périmètre NIS2 prend quelques minutes, et le test complet figure dans le guide de périmètre et d’applicabilité NIS2.
Ce que les opérateurs demandent réellement
Indépendamment de la voie applicable, les questions issues des achats des opérateurs sont assez constantes pour être anticipées.
Des preuves, pas des affirmations. De plus en plus, la clause demande un certificat ou un rapport d’audit plutôt qu’un questionnaire rempli. ISO 27001 est ce qui est habituellement nommé.
Une notification d’incident vers eux, avec un délai. Parce que leur propre compteur démarre quand ils apprennent, et ils apprennent par vous. Convenez du canal et du délai dans le contrat plutôt que pendant un incident.
La visibilité sur vos sous-traitants. L’article 21 les pousse à considérer les dépendances derrière leurs fournisseurs directs, donc ils vous poussent à nommer les vôtres. La mécanique figure dans l’appréciation des risques de la chaîne d’approvisionnement.
Des précisions sur le chiffrement et les accès. Les achats télécoms posent des questions techniques plus dures que la plupart des secteurs, en particulier sur le chiffrement en transit et les accès d’administration aux systèmes portant le trafic client, un domaine traité dans le chiffrement dans les télécoms sous NIS2.
Ce qu’il faut construire
La réponse efficace est la même quelle que soit la voie, et c’est ce qui est utile.
Construisez un système de management aligné ISO 27001, cadré sur les services que vous fournissez à des clients régulés, et projetez NIS2 et le règlement d’exécution sur le même référentiel de mesures. Le faire une fois plutôt que deux est l’argument de faire ISO 27001 et NIS2 une fois plutôt que deux, et il tient encore plus fortement ici, car 2024/2690 est assez prescriptif pour se projeter proprement.
Trois ajouts propres à cette position :
- Déterminez votre voie explicitement et écrivez pourquoi. Savoir si vous êtes directement concerné est une question que vous poseront des clients, des assureurs et peut-être une autorité. Avoir une réponse raisonnée au dossier vaut un après-midi.
- Traitez le canal de notification comme une mesure. Qui prévient le client, en combien de temps, par quel canal, avec quelles informations. La plupart des fournisseurs n’ont cela nulle part.
- Tenez à jour le registre des sous-traitants. C’est la question à laquelle vous ne pourrez pas répondre vite si vous ne l’avez pas maintenu, et elle est désormais posée systématiquement.
Pour les entreprises dont le métier principal est d’exploiter des services informatiques et logiciels, la page IT et logiciel couvre la position d’ensemble, et un audit de sécurité indépendant est le moyen le moins cher de mesurer l’écart avec ce que demandera le prochain renouvellement.
La réalité technique : une spécification s’arrête tout de même avant l’efficacité
2024/2690 est plus détaillé que tout le reste de NIS2, et il reste une spécification de ce qui doit exister plutôt qu’un test de ce qui fonctionne.
Son annexe demande le traitement des vulnérabilités, la journalisation, la surveillance et les sauvegardes. Chacun peut être satisfait par une procédure documentée et une trace de son exécution. Un scanner produisant des rapports mensuels satisfait l’exigence de vulnérabilités pendant que les constats critiques vieillissent. La rétention des journaux satisfait l’exigence de journalisation pendant que personne ne les interroge. Une sauvegarde testée satisfait l’exigence de continuité pendant que personne n’a chronométré une restauration complète face à l’objectif de reprise inscrit au contrat.
Cet écart compte davantage pour un fournisseur télécom que pour la plupart des entreprises, car de l’autre côté de votre interface se trouve un réseau dont d’autres dépendent, et parce que le régulateur de l’opérateur le juge sur des résultats et non sur votre documentation. Si un problème dans vos systèmes atteint les siens, la question posée ensuite sera combien de temps il est resté là avant que quiconque le remarque.
L’investissement qui paie n’est donc pas un dossier de conformité plus épais. C’est une détection et une gestion de l’exposition qui tournent en continu sur les systèmes qui touchent ceux de votre client, produisant des constats qui portent un propriétaire et une échéance, et des preuves qui s’accumulent au fil de l’eau. C’est le même argument que certifié n’est pas sécurisé, pointé vers un secteur où les conséquences voyagent plus loin.
