Ce que vous allez découvrir :
- Les entités concernées par la directive NIS 2 et la définition de son périmètre
- Ce qu’exige précisément l’article 21 en matière de sécurité de la chaîne d’approvisionnement
- Les secteurs soumis aux contraintes les plus fortes
- Les lacunes les plus souvent relevées par les auditeurs NIS 2
- La méthode pour combler ces écarts au sein de votre programme de sécurité des fournisseurs
La directive européenne sur la sécurité des réseaux et des systèmes d’information, NIS 2, constitue l’une des évolutions réglementaires les plus majeures de ces dernières années en matière de cybersécurité.
L’essentiel des débats autour de NIS 2 et de la gestion des risques liés aux tiers (TPRM) se concentre sur les obligations internes des organisations : mesures de gestion des risques, notification des incidents et exigences de gouvernance.
Pourtant, un volet fondamental de NIS 2 reste bien moins visible et prend de court de nombreuses entreprises lorsqu’elles examinent le texte en détail.
NIS 2 vous tient directement responsable de la sécurité de votre chaîne d’approvisionnement. Cela englobe l’ensemble de vos fournisseurs, sous-traitants et prestataires de services, et pas seulement vos propres systèmes.
Voici ce que cela implique concrètement sur le terrain.
Qui est concerné par la directive NIS 2 ?
NIS 2 élargit considérablement le périmètre de la première directive. Le texte s’applique aux entités établies au sein de l’Union européenne ainsi qu’aux organisations basées hors de l’UE qui y fournissent des services, dans un large éventail de secteurs.
Entités essentielles (soumises à un régime de contrôle renforcé) : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique, espace.
Entités importantes (soumises à un contrôle a posteriori plus souple) : services postaux et de livraison, gestion des déchets, chimie, agroalimentaire, industrie manufacturière, fournisseurs de services numériques, recherche.
Des seuils d’effectifs et de chiffre d’affaires s’appliquent également. Dans la plupart des secteurs, NIS 2 concerne les moyennes et grandes entreprises, généralement celles qui emploient au moins 50 salariés ou réalisent un chiffre d’affaires annuel supérieur à 10 millions d’euros. Certains secteurs critiques sont en revanche assujettis sans condition de taille.
Si vous avez un doute sur l’assujettissement de votre organisation, rapprochez-vous en priorité de votre autorité nationale compétente (en France, l’ANSSI). Chaque État membre a désigné les régulateurs chargés de superviser la mise en œuvre de NIS 2 sur son territoire.
Ce qu’exige réellement l’article 21 de NIS 2 pour la chaîne d’approvisionnement
L’article 21 de la directive NIS 2 impose aux entités régies par le texte de prendre « des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées » pour maîtriser les risques qui pèsent sur leurs réseaux et systèmes d’information.
Le paragraphe 2(d) mentionne explicitement : « la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ».
Cette formulation emporte de lourdes conséquences.
Elle signifie que votre conformité à NIS 2 ne s’arrête pas à vos propres infrastructures et processus internes. Elle s’étend à la posture de sécurité des prestataires et fournisseurs sur lesquels vous vous appuyez. Si un tiers auquel vous faites appel présente des mesures de sécurité insuffisantes et qu’un incident en découle chez vous, votre organisation pourra être tenue responsable de ne pas avoir géré ce risque de chaîne d’approvisionnement de manière adéquate.
L’ENISA, l’Agence de l’Union européenne pour la cybersécurité, a publié des lignes directrices précisant que la sécurité de la chaîne d’approvisionnement sous NIS 2 implique d’évaluer les pratiques réelles des fournisseurs : pratiques de développement logiciel, contrôle des accès, protection des données et capacités de réponse aux incidents.
Affirmer en cas de contrôle que « nous leur avons envoyé un questionnaire » ne constituera en aucun cas une défense valable.
L’impact de NIS 2 sur votre programme de sécurité des fournisseurs
En pratique, les exigences de NIS 2 sur la chaîne d’approvisionnement signifient que la sécurité des prestataires ne peut plus être reléguée au second plan ni réduite à une simple formalité administrative annuelle.
Voici ce que vérifient les autorités lorsqu’elles évaluent un programme de sécurité des fournisseurs sous NIS 2 :
La preuve d’une évaluation méthodique des risques. Les auditeurs attendent bien plus qu’une simple liste de prestataires. Vous devez apporter la preuve documentée d’une évaluation structurée et proportionnée aux risques de chaque tiers. Cela suppose d’identifier les dépendances critiques et d’adapter le niveau d’exigence en conséquence.
Des exigences de sécurité intégrées dans vos contrats. Vos accords doivent imposer contractuellement aux fournisseurs de respecter des standards définis, de vous notifier tout incident dans des délais précis, de se soumettre à des audits et d’encadrer la sécurité de leurs propres sous-traitants. Ces obligations doivent être en place dès la signature du contrat, et non négociées dans l’urgence après une cyberattaque.
Un suivi continu dans la durée. Les évaluations ponctuelles ne sont qu’un point de départ. NIS 2 impose une surveillance régulière, et non un examen expédié au quatrième trimestre puis classé jusqu’à l’année suivante. Le profil de risque de votre chaîne d’approvisionnement évolue sans cesse, et votre dispositif doit impérativement le refléter.
La notification des incidents par vos fournisseurs. Si un prestataire subit un incident de sécurité qui affecte ou pourrait affecter votre organisation, vous devez en être informé sans délai. Vos contrats doivent stipuler des délais précis de notification, appuyés par un processus interne prêt à être activé dès réception de l’alerte.
Les secteurs en première ligne face aux exigences fournisseurs de NIS 2
Si la directive s’applique à un large éventail de secteurs, certains concentrent un niveau d’exposition particulièrement critique.
Les services financiers. Les institutions financières reposent sur des chaînes technologiques imbriquées : fournisseurs cloud, passerelles de paiement, plateformes d’analyse de données et intégrations fintech. Le règlement DORA, qui s’applique conjointement pour les entités financières, renforce encore les exigences de gestion des risques liés aux tiers de services TIC.
La santé. Le traitement des données de patients par des prestataires externes engendre des risques majeurs. Les organismes de santé s’appuient sur un écosystème complexe de fournisseurs de dispositifs médicaux, d’hébergeurs de dossiers médicaux et d’éditeurs de logiciels cliniques.
Les infrastructures numériques et prestataires de services informatiques. Ces acteurs font fréquemment partie intégrante de la chaîne d’approvisionnement d’autres entreprises. Ils portent ainsi une double responsabilité : démontrer leur propre sécurité auprès de leurs clients (en amont) tout en contrôlant rigoureusement leurs propres fournisseurs (en aval).
L’énergie et les services aux collectivités. Ces infrastructures critiques utilisent des chaînes d’approvisionnement technologiques et industrielles (OT) très ramifiées, où la moindre défaillance peut provoquer de graves perturbations.
Les principales failles constatées par les auditeurs NIS 2
Les premiers retours d’expérience et les orientations publiées par les autorités nationales révèlent des lacunes récurrentes dans les programmes de sécurité des fournisseurs évalués sous NIS 2 :
Des registres de fournisseurs incomplets. Les entreprises qui ne disposent pas d’une vision exhaustive et actualisée de leur chaîne d’approvisionnement — y compris les sous-traitants critiques et les dépendances indirectes — partent sur des bases fragiles.
L’absence de priorisation par les risques. Traiter tous les prestataires de façon indifférenciée, sans tenir compte de la sensibilité des données accessibles ou de la criticité du service, ne répond pas au principe de proportionnalité exigé par la directive.
La collecte d’auto-déclarations sans vérification. Accumuler des questionnaires de sécurité sans jamais recouper les réponses avec des preuves tangibles ou des audits indépendants ne suffit pas.
Aucun contrôle entre deux réévaluations. Se contenter d’évaluations annuelles sans aucune visibilité intermédiaire ne prouve pas une surveillance active, mais un simple exercice de case à cocher périodique.
Des contrats non mis à niveau. Les contrats conclus avant NIS 2 omettent bien souvent les exigences de sécurité, les droits d’audit et les obligations de notification désormais imposés par la directive.
Comment combler les lacunes de votre programme fournisseur sous NIS 2
Si votre entreprise est assujettie à NIS 2 et présente certaines de ces faiblesses, voici la démarche structurée à adopter :
Fiabilisez votre registre de fournisseurs. Construisez une cartographie précise et tenue à jour. Recensez vos prestataires directs et identifiez, pour les dépendances critiques, leurs sous-traitants majeurs.
Segmentez vos tiers selon leur criticité. Identifiez vos prestataires stratégiques : ceux dont l’arrêt de service ou la compromission affecterait le plus lourdement vos opérations ou vos clients. Ce sont eux qui doivent faire l’objet des vérifications les plus poussées et des exigences contractuelles les plus strictes.
Passez de l’auto-déclaration aux preuves concrètes. Pour vos tiers critiques, dépassez le simple questionnaire en exigeant des justificatifs vérifiables : rapports SOC 2, synthèses de tests d’intrusion et rapports d’audit de certification. Intégrez cette vérification systématique dans votre processus d’évaluation.
Actualisez votre cadre contractuel. Travaillez avec votre direction juridique pour intégrer des clauses conformes à NIS 2 dans vos nouveaux contrats et lors des renouvellements, en traitant vos prestataires critiques en priorité.
Instaurez une surveillance continue. Mettez en place des processus pour rester alerté des évolutions majeures du profil de risque de vos tiers entre deux audits formels : veille sur les fuites de données, suivi de la validité des certifications et déclencheurs d’évaluations exceptionnelles.
Documentez chaque démarche. Face à un contrôle de l’autorité compétente, la traçabilité de votre programme constituera votre seule preuve de conformité.
Vision d’ensemble : le périmètre de sécurité s’étend aux tiers
NIS 2 reflète un consensus réglementaire plus vaste : la sécurité d’une organisation ne s’arrête plus aux frontières de son propre réseau.
La chaîne d’approvisionnement fait désormais partie intégrante de votre surface d’attaque. Les régulateurs européens et internationaux l’ont bien compris. Les entreprises qui adaptent leur programme de sécurité des fournisseurs ne font pas que consolider leur conformité réglementaire ; elles se protègent contre le schéma d’attaque le plus fréquemment constaté dans les incidents actuels.
Le risque lié aux tiers est désormais l’affaire de tous.
Questions fréquentes sur la directive NIS 2 et les risques tiers
Qui est soumis à la directive NIS 2 ? NIS 2 s’applique aux entités établies dans l’UE, ainsi qu’aux entreprises hors UE y fournissant des services, réparties en deux groupes : les entités essentielles (énergie, transports, santé, banque, infrastructures numériques, etc.) et les entités importantes (industrie manufacturière, agroalimentaire, services postaux, numérique, etc.). Des seuils de taille s’appliquent généralement aux structures de plus de 50 salariés ou réalisant plus de 10 millions d’euros de chiffre d’affaires annuel.
Quelles sont les exigences de l’article 21 concernant la chaîne d’approvisionnement ? L’article 21, paragraphe 2(d), impose de mettre en œuvre des mesures relatives à la sécurité de la chaîne d’approvisionnement, y compris les aspects liés aux relations directes avec les fournisseurs et prestataires de services. Les organisations doivent donc évaluer, surveiller et encadrer la sécurité de leurs tiers, et pas seulement celle de leurs systèmes internes.
NIS 2 s’applique-t-elle aux entreprises hors de l’Union européenne ? Oui. Les organisations non européennes qui fournissent des services au sein de l’UE ou qui opèrent dans des secteurs régulés par l’UE peuvent être assujetties aux obligations de NIS 2 selon leurs activités et les États membres dans lesquels elles interviennent.
Que risque une entreprise en cas d’incident causé par un fournisseur ? Si une faille chez un prestataire entraîne un incident affectant vos systèmes, NIS 2 tient votre organisation responsable de ne pas avoir géré ce risque de chaîne d’approvisionnement de manière adéquate. C’est pourquoi la due diligence préalable, les clauses contractuelles contraignantes et la surveillance continue constituent des éléments incontournables de la conformité.
Quelle est la différence entre NIS 2 et DORA pour le secteur financier ? NIS 2 pose le cadre général de cybersécurité intersectoriel à l’échelle européenne. Le règlement DORA cible spécifiquement les entités financières avec des exigences plus détaillées sur les risques liés aux prestataires tiers de services TIC (clauses contractuelles obligatoires, évaluation du risque de concentration et supervision des prestataires tiers critiques). Les entités financières doivent se conformer aux deux textes.
3rdComply aide les organisations à structurer leur programme de sécurité des fournisseurs pour répondre aux exigences de la chaîne d'approvisionnement de NIS 2, de l'évaluation basée sur les risques jusqu'à la surveillance continue et la gestion des preuves. Si vous préparez votre mise en conformité, nous sommes à vos côtés.