Ce que NIS2 change pour vous si vous êtes fournisseur d'une grande entreprise
Même si votre PME n'est pas soumise à NIS2, votre client peut l'être, et la loi l'oblige à sécuriser sa chaîne d'approvisionnement, c'est-à-dire ses relations avec ses fournisseurs directs. Attendez-vous donc à des questionnaires de sécurité, à des demandes de preuves et à de nouvelles clauses dans vos contrats. Le Centre pour la Cybersécurité Belgique conseille à ces fournisseurs d'appliquer au moins le niveau Basic du référentiel CyberFundamentals.
Le scénario en bref
Exemple, inventé pour illustrer. Une PME fictive de douze personnes entretient depuis des années les imprimantes et les copieurs d'un grand groupe. Un matin, le service achats du client envoie un tableur de 80 questions sur la sécurité informatique, à renvoyer sous trente jours, avec une phrase en gras : « Dans le cadre de nos obligations NIS2 ». Le gérant n'a jamais entendu parler de NIS2. Il se demande s'il est désormais soumis à une loi qu'il ne connaît pas.
La réponse courte : pas forcément. Mais son client, lui, l'est, et la loi lui demande de s'assurer que ses fournisseurs ne sont pas une porte d'entrée pour les pirates. C'est par ce chemin, le contrat, que NIS2 arrive chez la plupart des PME.
Pourquoi votre client vous pose ces questions
NIS2 est une directive européenne sur la cybersécurité. En Belgique, elle a été transposée par la loi du 26 avril 2024, en vigueur depuis le 18 octobre 2024, et c'est le Centre pour la Cybersécurité Belgique (CCB) qui en est l'autorité. Elle vise surtout les organisations d'au moins 50 travailleurs à temps plein, ou dont le chiffre d'affaires et le total de bilan dépassent 10 millions d'euros, dans des secteurs listés : énergie, santé, transport, industrie, services numériques et d'autres.
Parmi les mesures minimales que ces organisations doivent prendre, la directive (article 21) cite noir sur blanc « la sécurité de la chaîne d'approvisionnement », c'est-à-dire la sécurité des relations avec leurs fournisseurs et prestataires directs. Elles doivent tenir compte des faiblesses propres à chaque fournisseur et de la qualité de ses pratiques de sécurité. Les considérants de la directive vont plus loin : ces organisations sont encouragées à inscrire des mesures de cybersécurité dans leurs contrats.
Le CCB le dit simplement sur sa page consacrée à NIS2 : une organisation hors du champ de la loi peut quand même devoir appliquer des mesures de cybersécurité « en raison d'une exigence contractuelle », parce qu'elle fait partie de la chaîne d'approvisionnement d'une entité NIS2.
| Ce que dit la règle | Qui est visé | Ce que ça change pour vous |
|---|---|---|
| Loi belge NIS2 | Votre client, s'il dépasse les seuils dans un secteur listé | Rien directement, si vous êtes vous-même sous les seuils |
| Sécurité de la chaîne d'approvisionnement | Votre client, pour ses fournisseurs directs | Questionnaires, preuves et clauses à accepter |
| Conseil du CCB | Toute organisation qui peut être fournisseur d'une entité NIS2 | Viser au moins le niveau Basic des CyberFundamentals |
| RGPD, article 28 | Vous, si vous traitez des données personnelles pour votre client | Contrat de sous-traitance et sécurité, déjà obligatoires |
Le calendrier explique l'accélération. Selon le CCB, les entités essentielles qui suivent le référentiel belge CyberFundamentals aux niveaux Basic ou Important avaient jusqu'au 18 avril 2026 pour faire vérifier leurs mesures par un organisme indépendant. Comme la sécurité de la chaîne d'approvisionnement fait partie des mesures minimales de la loi, ces organisations se tournent vers vous.
Les trois formes que prend la demande
- Un questionnaire de sécurité. Souvent un tableur de dizaines de questions : double authentification, sauvegardes, mises à jour, gestion des incidents, formation du personnel.
- Une preuve. Un label ou une certification reconnue, comme le label CyberFundamentals ou la norme ISO 27001 (une norme internationale qui certifie qu'une entreprise gère sa sécurité informatique avec méthode, vérifiée par un auditeur externe), qui dispense parfois d'une partie du questionnaire.
- Des clauses dans le contrat. Délai pour signaler un incident, droit d'audit, règles sur vos propres sous-traitants, sort des données en fin de contrat.
Les trois peuvent arriver ensemble, au moment d'un renouvellement de contrat ou d'un appel d'offres. Une réponse vague peut suffire à vous écarter : le client doit pouvoir montrer qu'il a évalué ses fournisseurs.
Le questionnaire : ce qu'on vous demandera vraiment
Chaque client a son propre modèle, mais les thèmes suivent les mesures minimales listées par la directive. Voici les questions qui reviennent le plus souvent, et ce qu'il faut pouvoir montrer.
| Thème | Question typique | Ce que vous devez pouvoir montrer |
|---|---|---|
| Accès | Les comptes sont-ils protégés par une double authentification ? | La règle qui l'impose à tous, y compris pour le travail à distance |
| Sauvegardes | Vos données sont-elles sauvegardées hors de vos locaux et testées ? | La date et le résultat du dernier test de restauration |
| Mises à jour | Vos ordinateurs et serveurs sont-ils mis à jour régulièrement ? | Un rapport récent de l'état des mises à jour |
| Incidents | Qui prévient-on, et en combien de temps, en cas d'attaque ? | Une procédure écrite d'une page, avec des noms |
| Personnel | Votre équipe est-elle sensibilisée aux faux mails ? | Les dates des dernières sessions |
| Départs | Les accès d'un employé qui part sont-ils coupés le jour même ? | La liste de contrôle de départ |
La double authentification, mentionnée en premier, consiste à demander un code ou une validation sur le téléphone en plus du mot de passe : un mot de passe volé ne suffit plus pour entrer.
La règle d'or : répondre vrai. Un « oui » non tenu engage votre entreprise si un incident survient. Mieux vaut écrire « partiellement, en cours, prévu pour mars » qu'un « oui » impossible à prouver. Un client sait qu'une PME n'a pas les moyens d'une banque ; il attend surtout de la sincérité et un plan daté.
Rangez vos réponses dans un seul document, avec les preuves à côté. Le questionnaire du client suivant reprendra en grande partie les mêmes thèmes.
Les clauses à lire avant de signer
Pour savoir à quoi ressemblent ces clauses, le texte européen le plus précis est le règlement d'exécution 2024/2690. Il s'impose aux fournisseurs numériques visés par NIS2, comme les hébergeurs et les prestataires de services informatiques gérés, et donne une bonne idée de ce que les grandes organisations demandent. Il prévoit que les contrats avec les fournisseurs précisent, s'il y a lieu :
- les exigences de cybersécurité imposées au fournisseur ;
- les exigences de formation et, le cas échéant, de certification de son personnel ;
- la vérification des antécédents de ce personnel ;
- l'obligation de signaler sans retard injustifié un incident qui menace le client ;
- le droit d'audit, ou le droit de recevoir des rapports d'audit ;
- la gestion des failles de sécurité qui peuvent toucher le client ;
- les règles sur vos propres sous-traitants et ce qu'on attend d'eux ;
- ce qui se passe à la fin du contrat : restitution et destruction des informations.
Avant de signer, regardez trois points. Le délai de signalement : « sans retard » est tenable, « dans l'heure, jour et nuit » l'est rarement pour une petite équipe. Le droit d'audit : qui paie, avec quel préavis, combien de fois par an. La responsabilité : une clause qui vous rend responsable de tous les dommages du client après un incident mérite une relecture par votre avocat et un appel à votre assureur.
Si vous traitez des données personnelles pour votre client (fichiers clients, dossiers du personnel, données de patients), le RGPD vous impose déjà un contrat de sous-traitance (article 28) et vous oblige à signaler toute violation de données à votre client « dans les meilleurs délais » (article 33). Les clauses NIS2 viennent souvent compléter ce contrat existant.
Quel niveau viser : les CyberFundamentals
Le CCB conseille à toute organisation qui peut se trouver dans la chaîne d'approvisionnement d'une entité NIS2 d'appliquer au moins le niveau Basic du référentiel CyberFundamentals (CyFun), la liste de mesures de sécurité publiée par l'État belge. Il précise qu'une entité NIS2 pourrait théoriquement imposer un niveau CyFun à ses fournisseurs directs.
| Niveau CyFun | Pour qui, selon le CCB |
|---|---|
| Small | Point de départ des micro-organisations ou des équipes aux connaissances techniques limitées |
| Basic | Mesures standard pour toutes les entreprises, avec des outils généralement déjà disponibles |
| Important | Protection contre des attaques ciblées par des pirates aux moyens courants |
| Essential | Protection contre des attaques avancées par des pirates aux moyens étendus |
Le parcours vers le label suit quatre étapes publiées par le CCB : choisir son niveau avec l'outil de sélection, remplir l'auto-évaluation et corriger les manques, faire vérifier le tout par un organisme d'évaluation agréé, puis demander le label sur le portail Safeonweb@Work. Une nouvelle version du référentiel est sortie en octobre 2025 ; les versions 2023 et 2025 coexistent jusqu'au 18 avril 2027.
Le label n'est pas forcément la première étape, sauf si un client l'exige. Remplir l'auto-évaluation Basic, même sans vérification externe, vous donne déjà l'essentiel des réponses aux questionnaires de vos clients.
Vos gestes pour lundi matin
- Listez vos clients soumis à NIS2 ou susceptibles de l'être : grands groupes, hôpitaux, énergie, transport, industrie.
- Désignez une personne qui centralise questionnaires et réponses, avec l'aide de votre prestataire informatique.
- Activez la double authentification sur la messagerie et tous les accès à distance : c'est presque toujours la première question.
- Testez une restauration de sauvegarde et notez la date et le résultat.
- Écrivez votre procédure d'incident sur une page : qui appeler, qui prévient le client, dans quel délai.
- Téléchargez l'auto-évaluation CyberFundamentals de niveau Basic et remplissez-la honnêtement.
- Relisez vos contrats en cours et à venir : délai de signalement, audit, responsabilité, fin de contrat.
NIS2 peut sembler une affaire de grandes entreprises. Pour un fournisseur, c'est surtout l'occasion de mettre en ordre des mesures qui le protègent lui aussi, et de rassurer des clients qui comptent.
Préparer vos réponses à vos clients→
Questions fréquentes
Ma PME doit-elle se conformer à NIS2 si mon client y est soumis ?
Pas au titre de la loi, si vous êtes sous les seuils ou hors des secteurs visés. Mais votre client doit sécuriser ses relations avec ses fournisseurs directs : il peut donc vous imposer des mesures de sécurité par contrat. Le CCB le confirme : une organisation hors du champ de NIS2 peut y être confrontée par une exigence contractuelle.
Mon client peut-il exiger le label CyberFundamentals ?
Selon le CCB, une entité NIS2 pourrait théoriquement imposer un certain niveau CyberFundamentals à ses fournisseurs directs, et il conseille à tout fournisseur potentiel d'appliquer au moins le niveau Basic. Une autre preuve, comme une certification ISO 27001 (une norme internationale qui certifie qu'une entreprise gère sa sécurité informatique avec méthode, vérifiée par un auditeur externe), peut aussi être acceptée : c'est à convenir avec votre client.
Que faire si je ne peux pas répondre oui à toutes les questions ?
Répondez vrai. Indiquez ce qui est en place, ce qui l'est partiellement et la date à laquelle le reste le sera. Un « oui » impossible à prouver vous engage en cas d'incident ; un plan daté rassure davantage.
Quelles clauses surveiller dans un contrat lié à NIS2 ?
Le délai pour signaler un incident, le droit d'audit (fréquence, coût, préavis), les règles sur vos propres sous-traitants, le sort des données en fin de contrat et l'étendue de votre responsabilité après un incident. Faites relire les clauses de responsabilité par votre avocat et prévenez votre assureur.
NIS2 remplace-t-il le RGPD pour un fournisseur ?
Non, les deux s'additionnent. Si vous traitez des données personnelles pour votre client, le RGPD vous impose déjà un contrat de sous-traitance et vous oblige à lui signaler toute violation de données dans les meilleurs délais. NIS2 porte plus largement sur la sécurité de vos systèmes et de votre service.