Enjeux et pratique
NIS2 élargit massivement le champ de la régulation cyber : là où la première directive NIS visait quelques centaines d’opérateurs, NIS2 couvre des milliers d’entités, dans des secteurs allant de l’énergie et la santé aux services numériques, à l’agroalimentaire et à la gestion des déchets, avec un effet d’entraînement sur leurs fournisseurs.
Parmi ses exigences, une concerne directement la gestion contractuelle : la sécurité de la chaîne d’approvisionnement. Les entités régulées doivent maîtriser les risques liés à leurs fournisseurs et prestataires directs, ce qui se traduit en pratique par des dispositions contractuelles : exigences de sécurité proportionnées à la criticité du fournisseur, obligation de notification rapide des incidents affectant le client, droits d’audit ou de vérification, engagements sur la gestion des vulnérabilités, conditions de sortie en cas de défaillance de sécurité. L’esprit est le même que celui de DORA pour le secteur financier, avec un formalisme moins prescriptif mais une logique identique : la conformité de l’entité dépend de ce qu’elle a obtenu de ses tiers, par écrit.
L’effet de cascade est le phénomène à anticiper : chaque entité régulée répercute ses obligations sur ses fournisseurs, y compris ceux qui ne sont pas eux-mêmes dans le champ de la directive. Pour un prestataire B2B, les clauses cyber (notification d’incident sous délai court, exigences techniques, audits) deviennent un standard de marché imposé par les clients. Pour les directions juridiques et achats, le chantier est familier : identifier les contrats concernés, déployer les clauses, prouver la couverture. Chaque nouvelle réglementation repose la même question au portefeuille.
La responsabilisation des dirigeants est l’autre nouveauté à ne pas négliger. NIS2 place la gouvernance du risque cyber au niveau de la direction, qui doit valider et suivre les mesures de gestion des risques. Le sujet cesse d’être purement technique : il devient un objet de reporting et de responsabilité au plus haut niveau, ce qui accroît la pression sur la démonstration de conformité, y compris contractuelle.
Points de vigilance
Cartographiez d’abord vos fournisseurs par criticité, pas de façon uniforme. Un prestataire ayant un accès administrateur à votre système n’appelle pas les mêmes exigences qu’un fournisseur sans lien avec votre information ; l’exigence doit être proportionnée, sous peine de bloquer les achats ou de diluer l’effort.
Traitez le stock, pas seulement les nouveaux contrats. Les clauses ajoutées aux nouveaux accords ne couvrent que le flux ; l’essentiel du risque est dans les contrats en cours signés avant que le sujet n’émerge, à mettre à niveau au fil des renouvellements et des avenants.
Vérifiez que la notification d’incident est réellement outillée côté fournisseur. Un délai contractuel court n’a de valeur que si le prestataire sait détecter, qualifier et vous alerter dans ce délai ; une clause sans procédure derrière crée une fausse sécurité.
Gardez une trace consolidée de la couverture. Face à un contrôle, il faut pouvoir montrer quels contrats portent quelles clauses et lesquels restent à traiter ; un référentiel qui centralise les clauses cyber et leurs échéances transforme une conviction en démonstration.
À ne pas confondre avec
NIS2 n’est pas DORA. DORA vise spécifiquement le secteur financier et impose un contenu contractuel détaillé pour les prestataires de services numériques critiques ; NIS2 vise un périmètre sectoriel bien plus large et fixe une obligation de résultat sur la maîtrise du risque, en laissant plus de latitude sur les moyens. Les deux textes convergent sur la logique (sécurité proportionnée, notification, vérifiabilité) mais diffèrent par le champ et le degré de prescription. Une même entreprise peut relever de l’un, de l’autre, ou des deux selon ses activités.
Exemple concret
Une ETI agroalimentaire, entrée dans le champ de NIS2, doit démontrer la maîtrise de sa chaîne d’approvisionnement numérique. Le recensement révèle 45 prestataires ayant un accès à son système d’information, dont 28 sans aucune clause de sécurité ni obligation de notification d’incident dans leur contrat. La mise à niveau prend dix mois, au rythme des renouvellements et avenants ; entre-temps, un incident chez un prestataire non couvert est notifié au client avec douze jours de retard, sans recours possible.
Questions fréquentes
NIS2 impose-t-elle des clauses contractuelles précises comme DORA ?
Moins formellement : DORA liste un contenu contractuel obligatoire pour le secteur financier, NIS2 impose un résultat (maîtriser le risque de la chaîne d’approvisionnement) en laissant plus de latitude sur les moyens. En pratique, les exigences convergent : sécurité proportionnée, notification d’incidents, vérifiabilité. Les référentiels de transposition nationaux précisent le détail, à suivre auprès de l’ANSSI.
Mon entreprise n’est pas régulée par NIS2 : suis-je concerné ?
Souvent oui, par effet de cascade. Vos clients régulés répercutent leurs obligations de sécurité sur leurs fournisseurs, y compris ceux qui ne sont pas eux-mêmes dans le champ de la directive. Les clauses cyber (notification d’incident sous délai court, exigences techniques, droits d’audit) deviennent alors un standard de marché imposé par les contrats clients, indépendamment de votre statut réglementaire.
Par où commencer pour mettre ses contrats en conformité ?
Par le recensement des fournisseurs ayant un accès à votre système d’information ou traitant des données sensibles. Vous identifiez ensuite ceux dont le contrat ne comporte pas les clauses attendues (sécurité, notification, audit), puis vous déployez la mise à niveau au rythme des renouvellements et avenants. Sans vue consolidée de ce que chaque contrat prévoit déjà, la couverture reste impossible à prouver.
Sur le même thème
D'autres notions et pages du territoire proches de ce terme.