NIS2 pour les fournisseurs télécom : les deux voies par lesquelles les obligations vous atteignent, et ce que les opérateurs vont demander

NIS2 atteint les fournisseurs télécom de deux façons : par les contrats de l’opérateur, et directement si votre propre activité est d’un type réglementé. Tout fournisseur de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public relève de NIS2 et doit gérer les risques de sécurité liés à ses fournisseurs directs. Un fournisseur de services gérés, de cloud ou de centre de données au moins de taille moyenne est en outre réglementé à titre propre.

Ce guide présente la place des opérateurs, la voie contractuelle, le champ d’application direct, ce que demandent les opérateurs, les fournisseurs à haut risque, ce qu’il faut mettre en place, ce que les règles laissent ouvert, et une liste de contrôle.

	Voie 1 : par le contrat	Voie 2 : vous relevez vous-même de NIS2
Qui est concerné	Tout fournisseur d’un opérateur	MSP, MSSP, fournisseurs de cloud, de centres de données et autres types des annexes I ou II, au moins de taille moyenne
Base juridique	Article 21, paragraphe 2, point d), et paragraphe 3, contraignant pour l’opérateur	Articles 2 et 3, annexes I et II, contraignants pour vous
Niveau de détail	L’évaluation des risques de l’opérateur	Article 21, plus le règlement (UE) 2024/2690 pour les MSP, les fournisseurs de cloud et assimilés
Qui contrôle	L’opérateur	Votre autorité compétente
Notification des incidents	À l’opérateur, selon le contrat	À votre CSIRT ou à votre autorité : 24 heures, 72 heures, un mois

Les opérateurs télécom relèvent-ils de NIS2 ?

Oui, tous. Les fournisseurs de réseaux de communications électroniques publics et de services de communications électroniques accessibles au public figurent à l’annexe I, et l’article 2, paragraphe 2, point a) i), les inclut « quelle que soit leur taille ». Les opérateurs de taille moyenne ou plus grande sont des entités essentielles (article 3, paragraphe 1, points a) et c)). Les fournisseurs qui sont de petites entreprises ou des microentreprises sont des entités importantes, sauf si un État membre les identifie comme entités essentielles.

La sécurité des télécoms relevait auparavant des articles 40 et 41 du code des communications électroniques européen (directive (UE) 2018/1972), qui fixaient des exigences de sécurité et de notification d’incidents. NIS2 les a supprimés avec effet au 18 octobre 2024 (article 43) et a intégré ces fournisseurs dans son propre cadre (considérant 92). Selon le considérant 95, les États membres peuvent conserver le régulateur des télécoms comme autorité compétente.

Comment NIS2 atteint-elle les fournisseurs télécom par les contrats ?

Par l’article 21. La sécurité de la chaîne d’approvisionnement fait partie des dix mesures minimales, « y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs » (article 21, paragraphe 2, point d)). L’article 21, paragraphe 3, impose à l’opérateur de tenir compte des vulnérabilités propres à chaque fournisseur direct, de la qualité de ses produits et de ses pratiques en matière de cybersécurité, ainsi que des résultats des évaluations coordonnées des risques de la chaîne d’approvisionnement menées au niveau de l’UE.

L’opérateur ne peut pas s’en acquitter en espérant que tout ira bien. Le considérant 85 l’encourage à intégrer des mesures de cybersécurité dans les contrats avec ses fournisseurs. En pratique, il ajoute des clauses contractuelles, envoie des questionnaires et se réserve des droits d’audit.

L’obligation est donc juridiquement la sienne et commercialement la vôtre. Vous n’êtes pas réglementé, vous êtes évalué. Le côté de l’opérateur est traité dans l’évaluation des risques de la chaîne d’approvisionnement sous NIS2, et ce qui arrive sur votre bureau dans comment répondre à un questionnaire de sécurité.

Cette voie a un avantage : elle se négocie. Vous devez satisfaire un partenaire commercial, pas un régulateur, et une clause que vous ne pouvez pas respecter relève de la négociation, pas de l’infraction.

Quand un fournisseur télécom relève-t-il directement de NIS2 ?

Quand votre propre activité correspond à un type d’entité visé à l’annexe I ou II et que vous êtes au moins de taille moyenne. C’est la voie que l’on oublie. Outre les opérateurs, l’annexe I vise les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, les fournisseurs de services d’informatique en nuage, de services de centres de données et de réseaux de diffusion de contenu, les fournisseurs de points d’échange internet, ainsi que les fournisseurs de services DNS, les registres de noms de domaine de premier niveau et les prestataires de services de confiance, ces trois derniers quelle que soit leur taille. Ce sont des activités de fournisseur tout à fait ordinaires.

NIS2 définit le fournisseur de services gérés comme une entité qui fournit des services liés à l’installation, à la gestion, à l’exploitation ou à l’entretien de produits, de réseaux, d’infrastructures ou d’applications TIC ou de tout autre réseau et système d’information, dans les locaux du client ou à distance (article 6, point 39). Les réseaux figurent dans la définition. Une entreprise qui assure l’exploitation du réseau d’un opérateur, ou la maintenance de ses équipements, peut en relever. Celle qui héberge un composant de plateforme est probablement un fournisseur de cloud ou de centre de données. Les règles applicables aux MSP sont détaillées dans NIS2 pour les MSP et les MSSP.

Si vous vendez vous-même de la connectivité, vous êtes peut-être un fournisseur de réseaux ou de services de communications électroniques publics, et la taille ne compte alors plus.

La taille vous met-elle hors champ ?

Seulement si vous êtes une petite entreprise ou une microentreprise : moins de 50 personnes, et un chiffre d’affaires annuel ou un total du bilan annuel de 10 millions d’euros au plus (recommandation 2003/361/CE). Les données des entreprises partenaires et liées, comme votre groupe, sont en général prises en compte elles aussi : un fournisseur de 40 personnes au sein d’un grand groupe peut donc relever de NIS2. Un MSP ou un fournisseur de cloud de taille moyenne est une entité importante ; au-delà des seuils des moyennes entreprises, il est une entité essentielle.

Pourquoi la voie 2 est-elle plus prescriptive ?

Pour les MSP, les MSSP, les fournisseurs de cloud, de centres de données, de CDN et de services DNS, les registres TLD et les prestataires de services de confiance, ainsi que certaines plateformes en ligne, le règlement d’exécution (UE) 2024/2690 (adopté le 17 octobre 2024, en vigueur depuis le 7 novembre 2024) fixe des exigences techniques et méthodologiques dans 13 sections de son annexe. Il définit aussi quand un incident chez ces fournisseurs est important, ce qui déclenche le délai de notification de l’article 23.

Ici, le schéma habituel s’inverse. L’opérateur télécom n’est pas couvert par ce règlement : il applique les dix mesures de l’article 21, telles que les transpose son droit national. Un MSP ou un fournisseur de cloud reçoit, lui, un cahier des charges. Moins de marge d’interprétation, et moins de marge pour en faire trop peu. L’avantage : vous pouvez construire et démontrer votre conformité par rapport à ce texte, au lieu de plaider la proportionnalité après coup. Un MSP ou un fournisseur de cloud est supervisé là où se trouve son établissement principal (article 26, paragraphe 1, point b)), qui n’est pas forcément le pays de l’opérateur.

Et si vous vendez des produits plutôt que des services ?

Vendre un équipement ou une licence ne fait en général pas de vous un fournisseur de services gérés. Les équipements de réseau et les logiciels sont en général des produits comportant des éléments numériques au sens du règlement sur la cyberrésilience (CRA) (règlement (UE) 2024/2847). Depuis le 11 septembre 2026, les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves, en commençant par une alerte précoce dans les 24 heures ; les principales obligations s’appliquent à partir du 11 décembre 2027. Voir l’obligation de signalement du CRA.

Vous ne savez pas sur quelle voie vous êtes ? Le vérificateur de périmètre NIS2 prend quelques minutes.

Que vont demander les opérateurs télécom à leurs fournisseurs ?

Quelle que soit la voie, les achats des opérateurs demandent à peu près la même chose. Il s’agit de pratique, pas d’une liste juridique.

Des preuves, pas des affirmations. De plus en plus, la clause exige un certificat ou un rapport d’audit plutôt qu’un questionnaire rempli, et c’est généralement ISO 27001 qui est cité. Le règlement 2024/2690 range les droits d’audit ou les rapports d’audit parmi les points que les contrats avec les fournisseurs devraient couvrir : ce n’est pas contraignant pour les opérateurs, mais c’est un modèle tout trouvé.

Une notification des incidents, dans un délai fixé. Un opérateur doit envoyer une alerte précoce dans les 24 heures après avoir pris connaissance d’un incident important (article 23). Son délai court à partir du moment où il l’apprend, et il l’apprend souvent par vous. Convenez du circuit et du délai dans le contrat, pas pendant un incident.

Une visibilité sur vos propres fournisseurs. L’article 21 vise les fournisseurs directs, mais selon le considérant 85, les entités pourraient prendre en considération les risques provenant d’autres niveaux de la chaîne d’approvisionnement, et beaucoup d’opérateurs le font. Attendez-vous à devoir nommer vos propres fournisseurs et sous-traitants critiques.

Des précisions sur le chiffrement et les accès. Dans les télécoms, les achats posent des questions plus pointues que dans la plupart des secteurs sur le chiffrement en transit et l’accès administratif aux systèmes qui transportent le trafic des clients. Voir le chiffrement sous NIS2 dans les télécoms.

L’origine de vos composants. Cette question a sa propre histoire politique.

Que signifient les fournisseurs à haut risque et la boîte à outils 5G pour les fournisseurs ?

La recommandation (UE) 2019/534 de la Commission du 26 mars 2019 a conduit à une évaluation coordonnée des risques des réseaux 5G à l’échelle de l’UE en octobre 2019. Le 29 janvier 2020, les États membres, par l’intermédiaire du groupe de coopération NIS, ont adopté la boîte à outils de l’UE de mesures d’atténuation des risques. Ils se sont engagés à restreindre le recours aux fournisseurs considérés comme à haut risque, y compris par des exclusions pour les actifs clés comme les fonctions du cœur de réseau, et à diversifier leurs fournisseurs. Les États membres l’appliquent par des mesures nationales.

NIS2 s’appuie sur ce travail : le considérant 90 cite l’évaluation 5G comme modèle pour les évaluations coordonnées des risques de la chaîne d’approvisionnement prévues à l’article 22, dont les opérateurs doivent prendre en compte les résultats (article 21, paragraphe 3).

Le 20 janvier 2026, la Commission a proposé une révision du règlement sur la cybersécurité (COM(2026) 11). Selon ce texte, les opérateurs de réseaux de communications électroniques ne pourraient pas dépendre de fournisseurs à haut risque pour leurs actifs critiques, avec une période de transition pouvant aller jusqu’à 36 mois pour les réseaux mobiles. Ce n’est qu’une proposition : le Parlement européen et le Conseil doivent l’approuver, et elle peut encore changer.

Pour un fournisseur, l’effet se fait sentir avant toute loi. Attendez-vous à ce que les opérateurs demandent ce que contient votre offre et qui l’a fabriqué : une réponse peu coûteuse avec un inventaire des composants tenu à jour, coûteuse s’il faut partir de zéro.

Que doit mettre en place un fournisseur télécom ?

La même chose sur les deux voies, et c’est là l’intérêt : un système de management aligné sur ISO 27001, dont le périmètre couvre les services que vous fournissez aux opérateurs, avec une mise en correspondance avec l’article 21 et, s’il s’applique, avec l’annexe du règlement 2024/2690. Puis trois ajouts :

1. Décidez explicitement de votre voie et consignez pourquoi. Clients, assureurs et peut-être une autorité vous poseront la question. Une réponse motivée et archivée vaut bien un après-midi de travail.
2. Traitez le circuit de notification comme une mesure de sécurité. Qui prévient le client, en combien de temps, par quel canal, avec quelles informations. La plupart des fournisseurs ne l’ont écrit nulle part.
3. Tenez à jour le registre de vos sous-traitants. Vous ne pourrez pas répondre vite à cette question si vous ne l’avez pas entretenu.

Une fiche d’une page pour les trois :

FICHE DE POSITION NIS2 DU FOURNISSEUR
Services fournis aux opérateurs télécom : ...
Taille avec les données du groupe (effectif, CA, total du bilan) : ...

Décision sur la voie
  Directement concerné ?          oui / non
  Type d'entité (annexe I/II) :   ex. fournisseur de services gérés
  Catégorie de taille :           petite (hors champ) / moyenne / grande
  Établissement principal :       ...
  Autorité compétente :           ...
  Motifs, date, approbateur :     ...

Dossier de preuves pour les opérateurs
  Certificat ou rapport d'audit : périmètre, émetteur, date d'expiration
  Notification des incidents :    contact, canal, délai selon le contrat
  Registre des sous-traitants :   nom, service, accès détenus, date de revue
  Inventaire des composants :     produit, fabricant, origine

Que laisse ouvert NIS2 pour un fournisseur télécom ?

Le règlement 2024/2690 va beaucoup plus loin dans le détail que l’article 21, mais il reste une spécification de ce qui doit exister, pas un test de ce qui fonctionne.

Son annexe exige la gestion des vulnérabilités, la surveillance et la journalisation, ainsi que des sauvegardes. Chacune peut être satisfaite par une procédure documentée et la trace de son exécution. Un rapport de scan mensuel satisfait l’exigence sur les vulnérabilités pendant que les constats critiques vieillissent. La conservation des journaux satisfait l’exigence de journalisation pendant que personne ne les interroge. Une sauvegarde testée satisfait la continuité alors que personne n’a chronométré une restauration complète par rapport à l’objectif de reprise fixé dans le contrat.

Cet écart compte davantage pour un fournisseur télécom, car de l’autre côté de votre interface se trouve un réseau dont d’autres entreprises dépendent. Si un problème dans vos systèmes atteint ceux de l’opérateur, la question sera ensuite de savoir depuis combien de temps il était là avant que quelqu’un s’en aperçoive.

L’investissement rentable n’est pas un dossier de conformité plus épais. C’est la détection continue et la gestion de l’exposition sur les systèmes en contact avec ceux de l’opérateur, avec des constats qui ont un responsable et une échéance, et des preuves qui s’accumulent au fil de l’eau. C’est l’approche de la plateforme CloudSoul : une collecte automatisée des preuves, avec une expertise humaine dans la boucle pour les décisions qui demandent du jugement. Un audit de sécurité montre l’écart entre votre situation et ce que demandera le prochain renouvellement de contrat. Le programme complet est présenté sur la page NIS2, la vue sectorielle sur la page IT et télécoms.

Liste de contrôle NIS2 pour les fournisseurs télécom

• Déterminez si vous relevez directement de NIS2, en utilisant les chiffres du groupe pour la taille, et consignez pourquoi.
• Si c’est le cas, identifiez votre établissement principal, votre autorité et votre obligation d’enregistrement.
• Mettez vos mesures en correspondance avec l’article 21 et, le cas échéant, avec l’annexe du règlement 2024/2690.
• Convenez avec chaque opérateur du circuit et du délai de notification des incidents.
• Tenez un registre de vos propres fournisseurs et sous-traitants critiques.
• Tenez un inventaire des composants que vous fournissez et de leurs fabricants.
• Préparez un dossier de preuves réutilisable pour les questionnaires et les audits des opérateurs.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 6, 21, 22, 23, 26 et 43, annexes I et II, et considérants 85, 90, 92 et 95, EUR-Lex.
• Directive (UE) 2018/1972 (code des communications électroniques européen), EUR-Lex.
• Règlement d’exécution (UE) 2024/2690 de la Commission, article 16 et annexe, EUR-Lex.
• Recommandation 2003/361/CE de la Commission, définition des PME, EUR-Lex.
• Recommandation (UE) 2019/534 de la Commission sur la cybersécurité des réseaux 5G, EUR-Lex.
• Commission européenne, communiqué de presse sur la boîte à outils de l’UE pour la sécurité de la 5G, 29 janvier 2020, IP/20/123.
• Commission européenne, proposition de révision du règlement sur la cybersécurité, COM(2026) 11, EUR-Lex ; communiqué de presse du 20 janvier 2026, IP/26/105 ; questions et réponses sur le paquet cybersécurité.
• Règlement (UE) 2024/2847 (règlement sur la cyberrésilience), EUR-Lex ; Commission européenne, des produits numériques plus sûrs et mieux sécurisés, 11 septembre 2026.

Questions fréquentes