Le prochain questionnaire cyber pourrait arriver avec un renouvellement de contrat. Pour une PME de maintenance, un éditeur de logiciel métier ou un prestataire informatique, la question n’est plus seulement : « Sommes-nous concernés par NIS2 ? » Elle devient : « Que faudra-t-il prouver pour rester fournisseur ? » La directive européenne transforme la sécurité des sous-traitants en sujet commercial. À l’horizon de septembre 2026, son effet le plus diffus pourrait se jouer dans les achats, loin des seuls services informatiques.
Cette projection s’appuie sur le texte européen adopté en 2022 et sur des incidents documentés jusqu’en 2024. Les évolutions envisagées pour septembre 2026 constituent une analyse prospective, non un constat de transposition ou d’application uniforme dans chaque État membre.
La cybersécurité déborde du périmètre de l’entreprise
NIS2 élargit le cadre européen de cybersécurité à davantage de secteurs et d’organisations, classées en entités essentielles ou importantes. Énergie, transports, santé, infrastructures numériques, mais aussi certains industriels et fournisseurs de services sont concernés selon leur activité, leur taille et les exceptions prévues. L’échéance européenne de transposition était fixée au 17 octobre 2024 ; les obligations concrètement applicables doivent être vérifiées dans chaque droit national.
Pour les fournisseurs, le point décisif figure dans l’article 21 : les mesures de gestion des risques doivent couvrir la sécurité de la chaîne d’approvisionnement, notamment les relations avec les fournisseurs et prestataires directs. Les entités concernées doivent prendre en compte leurs vulnérabilités spécifiques ainsi que la qualité globale de leurs produits et de leurs pratiques de cybersécurité, y compris leurs procédures de développement sécurisé.
Cela ne rend pas automatiquement chaque sous-traitant assujetti à NIS2. Une petite agence ou un atelier industriel ne change pas de statut simplement parce qu’il travaille pour un hôpital. En revanche, cet hôpital peut devoir encadrer les risques associés à la prestation. La contrainte réglementaire se transmet alors par le contrat, les conditions d’accès et les contrôles.
Le fournisseur, ce raccourci vers la cible
Le problème précède la directive. En 2020, l’affaire SolarWinds a montré comment une mise à jour compromise pouvait servir de véhicule à une intrusion chez de multiples clients. En 2021, l’attaque contre Kaseya a illustré le potentiel de propagation des outils d’administration utilisés par des prestataires informatiques. Ces épisodes ne décrivent pas toutes les attaques fournisseurs, mais expliquent pourquoi la confiance accordée à un intermédiaire devient un risque collectif.
Le scénario peut être beaucoup plus banal : un compte de télémaintenance conservé après le départ d’un salarié, un accès distant sans authentification multifacteur, une sauvegarde administrée avec les mêmes identifiants que la production. Le fournisseur n’est pas nécessairement moins compétent que son client. Il détient simplement une clé dont la portée a parfois été oubliée.
Une chaîne d’approvisionnement numérique englobe ainsi l’hébergeur, l’intégrateur, le mainteneur et l’éditeur qui distribue les correctifs. Pour une PME cliente ou prestataire, le premier chantier consiste à savoir qui peut accéder à quoi, avec quels droits et pendant combien de temps.
Dans les contrats, la confiance devient vérifiable
La répercussion la plus tangible devrait être contractuelle. Aux engagements généraux de confidentialité s’ajoutent des exigences opérationnelles : gestion des comptes privilégiés, correction des vulnérabilités, sauvegardes testées, traçabilité des interventions et procédure d’alerte. Un acheteur voudra moins une promesse de sécurité absolue qu’une explication crédible de la manière dont le prestataire prévient, détecte et traite un incident.
Des clauses utiles plutôt que des obligations impossibles
Quatre points méritent une négociation précise :
- Le périmètre : systèmes, données et prestations couverts, sans étendre mécaniquement les exigences à toute l’entreprise.
- L’alerte : événements à signaler, interlocuteurs joignables et délais compatibles avec les obligations du client.
- La vérification : preuves attendues, fréquence des audits, confidentialité des résultats et répartition des coûts.
- La sortie : révocation des accès, restitution des données et conditions de continuité ou de réversibilité.
La notification est particulièrement sensible. NIS2 prévoit notamment, pour les incidents importants des entités concernées, une alerte précoce sous 24 heures et une notification sous 72 heures après en avoir pris connaissance, puis un rapport final selon les modalités du texte. Ces délais ne deviennent pas automatiquement ceux de chaque fournisseur. Mais ils incitent les clients à demander une remontée rapide, parfois avant que toutes les causes soient comprises.
Une clause raisonnable doit donc distinguer suspicion, incident confirmé et impact sur le service. Exiger immédiatement un diagnostic définitif favorise les déclarations hasardeuses. Organiser une alerte initiale, puis des mises à jour, prépare une réponse plus utile.
Pour les PME, le coût caché est celui de la preuve
Activer l’authentification multifacteur ou tester une restauration demande du travail. Le démontrer à dix clients différents peut en demander davantage. Chacun arrive avec son questionnaire, son portail et son vocabulaire. Une PME risque alors de consacrer ses ressources limitées à reformuler les mêmes réponses plutôt qu’à supprimer ses faiblesses.
La certification ISO 27001 peut structurer cette démarche, mais NIS2 ne l’impose pas universellement à tous les sous-traitants. Elle ne garantit pas non plus l’absence d’incident. Son intérêt dépend du périmètre certifié et du service acheté. De même, un test d’intrusion ponctuel ne remplace ni la gestion quotidienne des accès ni le suivi des correctifs.
Une réponse pragmatique consiste à constituer un dossier de preuves réutilisable : responsable identifié, inventaire des actifs critiques, règles d’accès, résultats de tests de restauration, procédure d’incident et suivi des actions correctives. Certaines pièces doivent être partagées sous confidentialité, voire seulement consultées. Prouver sa sécurité ne doit pas conduire à distribuer une cartographie exploitable de ses vulnérabilités.
Le vrai enjeu : proportionner, pas tout verrouiller
Tous les fournisseurs ne créent pas le même risque. Un prestataire qui administre les sauvegardes mérite un examen différent de celui qui livre des fournitures sans accès au réseau. La criticité du service, les privilèges techniques et la difficulté de remplacement doivent guider les contrôles. Sinon, la conformité devient une sélection par la capacité administrative plutôt que par la sécurité réelle.
Les donneurs d’ordre ont donc une responsabilité pratique : annoncer leurs exigences, accepter des preuves équivalentes et convenir de délais de correction. Pour les PME, mieux vaut documenter une lacune avec un plan réaliste que signer une garantie intenable. La direction doit participer à cet arbitrage : prix, responsabilité et continuité d’activité dépassent largement le service informatique.
Et maintenant ? À l’horizon de septembre 2026, le scénario le plus plausible est celui d’une diffusion progressive des exigences NIS2 par les contrats, avec des écarts selon les secteurs et les pays. Le progrès décisif ne sera pas l’accumulation de questionnaires, mais une relation fournisseur mieux maîtrisée : accès limités, alertes organisées, preuves réutilisables et corrections suivies. Pour les PME, rendre cette maîtrise visible pourrait devenir un avantage commercial, à condition que les acheteurs récompensent la solidité plutôt que la paperasse.
