L’essentiel
Le dossier NIS2 explique qui est concerné. Cette page s’adresse aux entreprises qui vendent à des entités concernées et reçoivent leurs premières demandes.
Ce que la directive impose à vos clients
Parmi les dix familles de mesures de l’article 21 figure la sécurité de la chaîne d’approvisionnement, « y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». Pour choisir ses mesures, l’entité tient compte des vulnérabilités propres à chaque fournisseur direct, de la qualité globale de ses produits et de ses pratiques de cybersécurité, procédures de développement sécurisé comprises.
Le considérant 85 encourage les entités à inscrire ces mesures dans les contrats passés avec leurs fournisseurs directs, et envisage qu’elles prennent en considération les risques venant des autres niveaux de la chaîne. C’est par cette voie que les exigences descendent jusqu’à des entreprises hors périmètre.
Concerné directement ou par contrat : la différence
| Fournisseur dans le périmètre | Fournisseur hors périmètre | |
|---|---|---|
| Origine de l’exigence | La loi de transposition | Le contrat avec le client |
| Interlocuteur | L’autorité nationale | Le client |
| Signalement d’un incident | À l’autorité, dans les délais de la directive | Au client, dans le délai prévu au contrat |
| Vérification | Supervision par l’autorité | Questionnaires et audits prévus au contrat |
| En cas de manquement | Sanctions administratives | Conséquences prévues au contrat |
Les prestataires visés directement
Plusieurs métiers de fournisseur figurent eux-mêmes à l’annexe I : services d’informatique en nuage, centres de données, réseaux de diffusion de contenu, services gérés et services de sécurité gérés. La directive définit le fournisseur de services gérés comme l’entité qui fournit des services liés à l’installation, à la gestion, à l’exploitation ou à l’entretien de produits, de réseaux, d’infrastructures ou d’applications informatiques, par une assistance ou une administration active, dans les locaux du client ou à distance. Un infogérant, un intégrateur qui assure la maintenance ou un prestataire de supervision répondent à cette description. Ils entrent dans le périmètre à partir de la taille moyenne.
Pour un éditeur de logiciel, la question est celle du service d’informatique en nuage, dont le considérant 33 précise qu’il inclut les logiciels fournis en tant que service. La vente de licences d’un logiciel que le client installe et exploite lui-même n’en est pas un.
Ce que vous allez recevoir, et quoi préparer
| Demande du client | Ce qu’elle recouvre | Ce qu’il faut pouvoir montrer |
|---|---|---|
| Questionnaire de sécurité | Gouvernance, accès, sauvegardes, correctifs, sous-traitance | Des réponses datées, identiques d’un client à l’autre, appuyées sur des pièces |
| Clause de signalement | Le client doit alerter l’autorité dans les 24 heures après avoir eu connaissance d’un incident important : il a besoin d’être prévenu sans attendre | Une procédure d’incident et un contact joignable |
| Clause d’audit | Le droit de vérifier, sur pièces ou sur site | Un périmètre, un préavis et des règles de confidentialité convenus |
| Exigences d’accès | Authentification à plusieurs facteurs, comptes nominatifs, trace des interventions à distance | La liste des accès détenus chez le client et la façon dont ils sont protégés |
| Développement sécurisé | La directive cite expressément les procédures de développement sécurisé des fournisseurs | Revue de code, suivi des dépendances, traitement des vulnérabilités |
Tenir un dossier de preuves plutôt que répondre au cas par cas
Reprendre chaque questionnaire depuis le début prend du temps et produit des réponses qui divergent. Un dossier tenu à jour sert tous les clients :
- le périmètre des services fournis et des accès détenus chez les clients ;
- la politique de sécurité et le nom de son responsable ;
- la gestion des accès et l’authentification à plusieurs facteurs ;
- les sauvegardes et la date du dernier test de restauration ;
- la gestion des correctifs et des vulnérabilités ;
- la procédure d’incident et le délai de notification proposé aux clients ;
- la liste de vos propres sous-traitants et hébergeurs ;
- les certifications et rapports d’audit existants, avec leur périmètre exact.
Les points à préciser avant de signer une clause NIS2
- Ce qui déclenche la notification : tout événement de sécurité, ou les incidents qui touchent le service rendu au client.
- Le point de départ du délai et sa durée.
- Le périmètre et la fréquence des audits, et qui en supporte le coût.
- Ce que la clause demande pour vos propres sous-traitants.
Questions fréquentes
Un client peut-il m’imposer NIS2 alors que je ne suis pas dans le périmètre ?
Dois-je signaler un incident à l’autorité ?
Une certification ISO 27001 suffit-elle à répondre aux clients ?
Mes propres sous-traitants sont-ils concernés ?
Nous travaillons pour une banque : NIS2 ou DORA ?
Vérifier votre situation
L’évaluation guidée NIS2 commence par établir si vous êtes concerné directement : entité, secteur, taille. Elle aborde ensuite la gouvernance, les fournisseurs et les incidents, et restitue une première lecture en six minutes environ. Pour le calcul de taille, voir NIS2 et PME.