Un mail arrive un mardi matin. Objet : « Campagne d'évaluation fournisseurs 2026 - action requise sous 15 jours ». En pièce jointe, un tableur de 180 lignes qui demande si vous disposez d'un centre opérationnel de sécurité fonctionnant en continu, si votre politique de gestion des vulnérabilités a été validée par un comité de sécurité, et quelle est la date de votre dernier test d'intrusion. Vous êtes cinq. Vous faites du développement web et du référencement pour ce client depuis quatre ans. Vous avez un antivirus et des sauvegardes qui tournent, et personne n'a jamais eu de problème.
Ce mail, des milliers de PME de services numériques le reçoivent depuis quelques mois. Et il ne va pas disparaître.
Derrière lui, il y a la directive NIS 2, sa transposition en droit français, et surtout un mécanisme que peu de prestataires ont vu venir : l'obligation faite aux grandes entreprises de sécuriser leur chaîne d'approvisionnement. Autrement dit, de vous auditer. Le sujet est mal compris, souvent mal expliqué, et les réponses maladroites coûtent des contrats. Voyons ce que la directive impose réellement, ce qu'elle n'impose pas, et comment répondre sans se saborder.
Pourquoi vous recevez un questionnaire sécurité alors que vous n'êtes pas concerné par NIS 2
C'est le premier malentendu, et il est structurant. La plupart des prestataires qui reçoivent ces questionnaires ne sont pas assujettis à NIS 2. Ils reçoivent pourtant les questionnaires. Les deux choses ne sont pas contradictoires : elles sont liées par un mécanisme de transmission contractuelle qu'il faut comprendre avant toute chose.
La confusion entre « être assujetti » et « être dans la chaîne d'approvisionnement d'un assujetti »
Être assujetti, cela veut dire que la loi vous impose directement des obligations : vous enregistrer auprès de l'autorité nationale, mettre en œuvre des mesures de gestion des risques, notifier vos incidents significatifs, vous soumettre à des contrôles. Cela s'accompagne de sanctions administratives en cas de manquement.
Être dans la chaîne d'approvisionnement d'un assujetti, c'est autre chose. La loi ne vous dit rien. Votre client, lui, vous dit beaucoup de choses, parce que la loi le lui impose. La contrainte ne vient pas de l'État, elle vient de votre contrat. Elle est tout aussi réelle, mais sa nature juridique est différente, et ça change complètement la façon de la traiter.
Concrètement : si vous ne répondez pas au questionnaire d'un régulateur, vous vous exposez à une sanction publique. Si vous ne répondez pas au questionnaire d'un client, vous vous exposez à sortir du panel fournisseurs. Le second scénario est, pour la plupart des PME, largement plus probable et plus coûteux.
L'article 21.2.d : le texte exact qui oblige votre client à vous auditer
L'article 21 de la directive énumère les mesures que les entités assujetties doivent adopter. Le paragraphe 2, point d, vise « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ».
Une phrase, et voilà des dizaines de milliers de sous-traitants embarqués dans le dispositif. Le texte précise même que les entités doivent tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité globale de ses pratiques de cybersécurité.
Notez le mot « direct ». Il a son importance. La directive ne demande pas à un grand groupe de cartographier l'intégralité de sa chaîne jusqu'au cinquième rang. Elle vise les fournisseurs directs. Mais comme rien n'interdit à votre client de vous demander, à vous, d'appliquer la même logique à vos propres prestataires, la chaîne se propage naturellement. C'est exactement ce qui est en train de se produire.
Le mécanisme de ruissellement contractuel : de l'ANSSI au grand compte, du grand compte à vous
Le trajet est assez limpide quand on le déroule. L'autorité nationale de cybersécurité contrôle les entités essentielles et importantes. Ces entités, pour démontrer qu'elles maîtrisent leur chaîne d'approvisionnement, doivent produire des éléments. Elles ne vont pas inventer ces éléments : elles vont les demander à leurs fournisseurs.
D'où le questionnaire. D'où, aussi, sa longueur : quand un service achats ou une direction sécurité conçoit une campagne d'évaluation, il est plus simple de bâtir un questionnaire unique et exhaustif que d'en produire cinq versions calibrées par taille de fournisseur. Vous recevez donc un document pensé pour un intégrateur de 400 personnes, alors que vous en êtes six.
Ce n'est pas de la malveillance. C'est de la standardisation. Et c'est précisément là qu'il y a une marge de négociation, on y reviendra.
Ce que le questionnaire cherche réellement à prouver (et à qui)
Question utile à se poser avant de remplir la moindre case : à quoi sert ce document une fois rempli ?
Il sert à trois choses. Constituer un dossier de preuve que le client pourra présenter en cas de contrôle. Alimenter une cartographie interne des risques fournisseurs, avec un scoring qui déterminera votre place dans les futurs appels d'offres. Et, en cas d'incident, établir les responsabilités.
Ce troisième point est le plus souvent ignoré. Vos réponses sont des déclarations. Elles vont être versées au dossier contractuel. Si un incident survient dans deux ans et qu'il apparaît que vous aviez coché « oui » à une case correspondant à une mesure inexistante chez vous, la conversation ne portera plus sur la cybersécurité mais sur la fausse déclaration. Gardez ça en tête à chaque ligne.
Êtes-vous assujetti, oui ou non ? Le test en trois questions
Avant de répondre à quoi que ce soit, il faut savoir de quel côté de la frontière on se trouve. Beaucoup de prestataires supposent qu'ils ne sont pas concernés. Certains se trompent. D'autres se croient concernés alors qu'ils ne le sont pas, et s'engagent dans des dépenses disproportionnées.
Question 1 : votre activité figure-t-elle en annexe I ou II de la directive ?
La directive fonctionne par secteurs listés. L'annexe I couvre les secteurs dits hautement critiques : énergie, transports, banque, infrastructures de marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC en B2B, administration publique, espace. L'annexe II couvre d'autres secteurs critiques : services postaux, gestion des déchets, chimie, alimentation, fabrication de dispositifs et produits, fournisseurs numériques, recherche.
Deux catégories intéressent particulièrement le monde du numérique. « Infrastructures numériques » regroupe notamment les fournisseurs de points d'échange internet, de services DNS, les registres de noms de domaine, les fournisseurs de services d'informatique en nuage, les fournisseurs de services de centres de données, les réseaux de diffusion de contenu, les prestataires de services de confiance, les réseaux et services de communications électroniques. « Gestion des services TIC » vise les fournisseurs de services gérés et les fournisseurs de services de sécurité gérés.
Si votre activité n'entre dans aucune de ces cases, la première condition n'est pas remplie et vous n'êtes pas assujetti. Point. Une agence qui conçoit des sites, produit du contenu, gère des campagnes publicitaires ou optimise du référencement ne relève d'aucune annexe.
Question 2 : franchissez-vous les seuils de taille (50 salariés / 10 M€) ?
Deuxième filtre. Par défaut, la directive s'applique aux entités qui atteignent au moins la taille de moyenne entreprise au sens européen : 50 salariés ou plus, ou un chiffre d'affaires annuel supérieur à 10 millions d'euros et un total de bilan supérieur à 10 millions d'euros.
Attention à la mécanique du calcul. Les seuils européens intègrent les entreprises liées et partenaires. Une structure de 12 personnes détenue majoritairement par un groupe de 300 salariés peut se retrouver au-dessus des seuils par consolidation. C'est un cas rare mais il existe, et il surprend toujours ceux qui le découvrent.
Le cas particulier des fournisseurs de services numériques managés (MSP) et de services de sécurité managés (MSSP)
Voilà la zone où beaucoup de prestataires basculent sans s'en rendre compte.
Un fournisseur de services gérés, c'est une entité qui assure ou soutient la gestion, l'exploitation ou la maintenance de produits, réseaux, infrastructures, applications ou systèmes d'information de ses clients. En clair : l'infogérance, la supervision de parc, l'administration de serveurs, la gestion de postes de travail, le maintien en condition opérationnelle d'applications métier.
Une agence web classique n'entre pas dans cette catégorie. Une agence web qui a progressivement pris en charge l'hébergement, les mises à jour, la supervision et l'administration des environnements de quarante clients, avec des accès administrateurs permanents sur leurs infrastructures ? La question mérite d'être posée sérieusement.
C'est un basculement qui se fait par sédimentation. On ajoute un contrat de maintenance, puis un accès VPN, puis on reprend l'hébergement parce que le client trouvait ça plus simple. Personne ne décide un jour de devenir MSP. On le devient.
Les cas d'assujettissement sans condition de taille : registres de noms de domaine, DNS, cloud, datacenters
Le critère de taille connaît des exceptions. Certaines entités sont assujetties quelle que soit leur taille, parce que leur défaillance produirait des effets systémiques ou parce qu'elles occupent une position unique.
Sont notamment visés les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les prestataires de services de confiance, les fournisseurs de réseaux de communications électroniques publics. Les États membres peuvent également désigner spécifiquement des entités qui, sans franchir les seuils, présentent un caractère critique pour un secteur ou une région.
Une micro-structure de trois personnes opérant un service DNS ou agissant comme bureau d'enregistrement peut donc se retrouver assujettie, là où une agence de 45 salariés ne le sera pas. La taille n'est pas le seul critère, et ce n'est pas toujours le plus déterminant.
Le piège de l'agence web, de l'agence SEO et du développeur : où passe exactement la frontière
Reprenons ça calmement, parce que c'est la question la plus fréquente.
Concevoir un site, écrire du code, produire du contenu, gérer des campagnes, optimiser un référencement : hors périmètre. Aucune annexe ne couvre ces activités.
Revendre de l'hébergement mutualisé en marque blanche : zone grise, généralement hors périmètre si vous êtes un simple revendeur sans exploitation d'infrastructure propre. Opérer votre propre infrastructure d'hébergement pour vos clients : vous vous rapprochez sérieusement de la catégorie fournisseur de services cloud ou centre de données.
Administrer les systèmes de vos clients, avec des accès privilégiés, une astreinte, un engagement de disponibilité : vous ressemblez à un fournisseur de services gérés. Et si vous franchissez les seuils de taille, vous êtes probablement assujetti.
Une remarque qui vaut ce qu'elle vaut, mais qui revient dans à peu près tous les dossiers : la frontière ne se lit pas dans votre plaquette commerciale, elle se lit dans vos contrats et dans vos accès. Ce que vous avez le droit de faire techniquement sur les systèmes d'un client en dit plus long que votre code APE.
Entité essentielle ou entité importante : les conséquences très concrètes de la différence
Si vous êtes assujetti, reste à savoir dans quelle catégorie. Les obligations de sécurité sont identiques. Ce qui change, c'est le régime de supervision et le plafond des sanctions.
Les entités essentielles font l'objet d'une supervision proactive : contrôles réguliers, audits, inspections sur place, demandes d'information à l'initiative de l'autorité. Les entités importantes relèvent d'une supervision réactive : l'autorité intervient a posteriori, quand elle a des raisons de penser qu'il y a manquement.
Côté sanctions, le plafond monte à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel pour les entités essentielles, 7 millions ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.
Dans la pratique, l'immense majorité des prestataires numériques assujettis relèveront de la catégorie « importante ». Ce qui ne dispense de rien, mais évite de vivre dans la crainte d'un audit surprise.
Le calendrier réel : où en est la transposition française au moment où vous lisez ces lignes
Le sujet du calendrier est celui qui génère le plus d'anxiété inutile. Trois échéances distinctes se superposent, et les confondre conduit soit à paniquer trop tôt, soit à se réveiller trop tard.
Directive UE 2022/2555, loi de transposition, décrets d'application : trois échéances à ne pas confondre
La directive a été adoptée fin 2022 et publiée au Journal officiel de l'Union européenne. Elle fixait aux États membres une date limite de transposition en octobre 2024. Une directive, par nature, ne s'applique pas directement aux entreprises : elle oblige les États à légiférer.
Vient ensuite la loi nationale de transposition, qui définit le périmètre exact des entités concernées, désigne l'autorité compétente, fixe le régime de sanctions et les modalités de contrôle. La France a pris du retard, comme une majorité d'États membres.
Viennent enfin les textes réglementaires d'application, qui précisent les mesures techniques attendues, les seuils de significativité des incidents, les modalités d'enregistrement et les délais de mise en conformité. Ce sont eux qui rendent les obligations réellement opérationnelles.
Vérifiez systématiquement où en est chacune de ces trois strates avant de bâtir un plan d'action. Un article publié il y a huit mois peut être totalement dépassé sur ce point précis.
Le délai d'enregistrement auprès de l'ANSSI et ce qui se passe si vous le manquez
Les entités assujetties devront se déclarer auprès de l'autorité nationale. Cette déclaration est déclarative : c'est à l'entité de s'auto-qualifier et de s'enregistrer, pas à l'administration de venir la chercher.
Ce point mérite d'être souligné. Ne pas recevoir de courrier de l'ANSSI ne signifie pas que vous n'êtes pas concerné. La logique est la même qu'en matière fiscale : l'obligation de déclaration pèse sur vous.
Le défaut d'enregistrement constitue un manquement susceptible de sanction. Un délai est laissé après l'entrée en vigueur des textes, mais il est court à l'échelle d'une PME qui découvre le sujet.
Pourquoi les questionnaires clients arrivent avant les obligations légales
Voilà l'anomalie apparente qui déconcerte tout le monde : comment se fait-il que les questionnaires circulent alors que les décrets ne sont pas tous parus ?
Réponse simple : les grands comptes ont commencé à se préparer dès la publication de la directive. Cartographier plusieurs milliers de fournisseurs prend deux à trois ans. Personne de sérieux n'attend la parution du dernier arrêté pour lancer le chantier.
Certains grands groupes anticipent d'ailleurs des exigences plus strictes que ce que la loi imposera, par prudence ou parce qu'ils appliquent des référentiels internes déjà en place. Il ne faut donc jamais déduire de la teneur d'un questionnaire ce que la loi exige. Ce sont deux registres différents.
Les 10 mesures de l'article 21 traduites en actions concrètes pour une structure de moins de 20 personnes
L'article 21.2 énumère dix familles de mesures. Lues brutes, elles paraissent écrasantes pour une petite structure. Traduites, elles sont largement atteignables, à condition d'accepter un principe : la directive impose une approche proportionnée au risque, pas un dispositif de banque systémique.
Analyse de risques et politique de sécurité : le document minimal qui tient en quatre pages
Il ne s'agit pas de produire un pavé. Il s'agit d'écrire ce que vous protégez, contre quoi, et comment.
Quatre pages suffisent largement pour une structure de dix personnes. Périmètre couvert. Actifs critiques identifiés. Scénarios de menace retenus, avec une estimation de leur probabilité et de leur impact. Mesures en place face à chaque scénario. Risques acceptés en connaissance de cause. Date de révision.
Ce dernier point est celui qu'on oublie et celui qu'on vous demandera. Un document non daté et jamais révisé n'a aucune valeur probante. Une révision annuelle, actée dans un compte rendu de réunion de dix lignes, vaut mieux qu'un document parfait figé depuis trois ans.
Gestion des incidents : ce que signifie « détecter » quand on n'a pas de SOC
Personne n'attend d'une PME de dix personnes qu'elle exploite un centre de supervision. Ce qu'on attend, c'est que quelque chose se passe quand un événement anormal survient.
Cela peut être : des alertes remontées par votre antivirus ou votre solution de protection des postes, centralisées sur une adresse relevée quotidiennement. Une supervision de disponibilité qui prévient en cas d'indisponibilité anormale. Des alertes de connexion inhabituelle activées sur vos comptes cloud. Une procédure écrite désignant qui fait quoi, dans quel ordre, avec quels numéros à appeler.
La question du questionnaire sera souvent formulée en termes de SOC. La bonne réponse n'est pas « non », mais la description honnête de votre dispositif réel de détection et de réaction. Il y en a un, même s'il ne porte pas de nom en trois lettres.
Continuité d'activité et sauvegardes : la règle 3-2-1 et le test de restauration que personne ne fait
Trois copies des données, sur deux supports différents, dont une hors site. Le principe est connu de tous et appliqué par beaucoup.
Ce qui n'est presque jamais fait, c'est le test de restauration. Et c'est précisément la question qui tombe : « à quelle date a eu lieu votre dernier test de restauration documenté ? »
Un test de restauration, pour une petite structure, c'est une demi-journée par semestre. On restaure un jeu de données représentatif sur un environnement isolé, on vérifie l'intégrité, on chronomètre, on écrit une page. Cette page est un des documents qui produit le plus d'effet dans un dossier fournisseur, parce que très peu de prestataires l'ont.
Ajoutez-y la question de l'immuabilité des sauvegardes. Un rançongiciel qui atteint votre serveur de sauvegarde en même temps que vos serveurs de production annule toute votre stratégie. Une copie hors ligne ou en stockage immuable est aujourd'hui attendue.
Sécurité de la chaîne d'approvisionnement : vos propres sous-traitants deviennent votre problème
C'est la mesure la plus déstabilisante pour un prestataire, parce qu'elle vous transforme en donneur d'ordre.
Vous devez savoir qui sont vos fournisseurs critiques. Hébergeur, registrar, éditeurs de vos outils métier, prestataires ayant accès à vos systèmes ou à ceux de vos clients, freelances intervenant sur les projets. Vous devez avoir une idée de leur niveau de sécurité et de ce qui se passerait s'ils défaillaient.
Le minimum viable : un tableau à six colonnes. Fournisseur, service rendu, criticité, données concernées, engagements contractuels de sécurité, alternative en cas de défaillance. Une page. Elle répondra à une bonne dizaine de questions du questionnaire.
Sécurité dans l'acquisition et le développement : versions, dépendances, gestion des correctifs
Pour une agence qui produit du code, c'est le cœur du sujet, et c'est aussi là que les pratiques sont les plus hétérogènes.
Les points regardés : gérez-vous vos dépendances ? Savez-vous quelles versions de bibliothèques tournent sur les projets livrés ? Avez-vous un mécanisme d'alerte sur les vulnérabilités connues ? Combien de temps s'écoule entre la publication d'un correctif critique et son application ? Vos environnements de développement et de production sont-ils séparés ? Des données réelles circulent-elles en développement ?
Cette dernière question en fait tomber beaucoup. Copier la base de production sur un poste de développeur pour reproduire un bug, ça arrive dans à peu près toutes les structures. Ça reste un transfert de données personnelles vers un environnement non maîtrisé, et si le client est une entité assujettie, ça figurera dans son analyse de risque.
Évaluation de l'efficacité des mesures : la preuve qu'on vous demandera
Dire qu'on a mis en place une mesure, c'est une chose. Démontrer qu'elle fonctionne, c'en est une autre.
Là encore, la proportionnalité s'applique. Personne n'attend un audit annuel par un cabinet spécialisé. En revanche, on attend des traces : une revue semestrielle des comptes actifs avec la liste des comptes désactivés, un test de restauration daté, un relevé du taux de comptes protégés par authentification forte, un compte rendu de revue de sécurité annuelle.
Trois pages par an, produites au fil de l'eau, transforment un discours en dossier.
Hygiène informatique et formation : le poste le moins coûteux et le plus regardé
Rapport effort sur effet imbattable. Une sensibilisation annuelle de deux heures pour toute l'équipe, une feuille d'émargement, un support daté. Coût : proche de zéro si c'est fait en interne.
Le contenu à couvrir : hameçonnage et reconnaissance des messages suspects, gestion des mots de passe et usage d'un gestionnaire, verrouillage des sessions, usage des équipements personnels, conduite à tenir en cas de doute, règles sur le télétravail et les réseaux publics.
Ajoutez, si vous le pouvez, une campagne de faux hameçonnage une fois par an. Le taux de clics constitue un indicateur mesurable, et un indicateur mesurable vaut mille déclarations d'intention.
Cryptographie et chiffrement : TLS, disques, sauvegardes, ce qui est attendu
Le socle attendu est stable et relativement simple. Chiffrement des flux en transit avec des protocoles à jour et des configurations qui n'acceptent plus les versions obsolètes. Chiffrement des disques des postes de travail et des équipements mobiles, ce qui se fait nativement sur tous les systèmes actuels. Chiffrement des sauvegardes, en particulier des copies hors site. Gestion des secrets, mots de passe et clés d'API en dehors des dépôts de code.
Ce dernier point est celui qui produit le plus d'accidents dans les métiers du développement. Une clé oubliée dans un historique de dépôt reste accessible même après suppression du fichier. Un balayage rapide de vos dépôts avant de remplir un questionnaire est une opération de dix minutes qui évite parfois des découvertes désagréables.
Sécurité des ressources humaines et gestion des accès : arrivées, départs, comptes partagés
Le point noir des petites structures, et de très loin. Un collaborateur part, on désactive son adresse mail, et on oublie ses accès sur le serveur de fichiers du client, son compte sur l'outil de gestion de projet, sa clé SSH, son accès au panneau d'administration de l'hébergeur.
La parade tient en une procédure d'une page et une liste. Liste des systèmes sur lesquels un collaborateur peut avoir des accès. Procédure d'arrivée : quels accès sont ouverts, par qui, avec quel niveau. Procédure de départ : la même liste, parcourue et cochée, datée, signée.
Sur les comptes partagés, soyons directs : ils existent partout et personne ne l'écrit. Un compte administrateur commun sur un panneau d'hébergement, un accès client utilisé par trois personnes. La bonne réponse n'est pas de prétendre qu'il n'y en a pas. C'est de les recenser, de justifier ceux qui ne peuvent pas être individualisés, et de les protéger par une authentification forte et une rotation des secrets.
Authentification multifacteur : le point de contrôle qui fait échouer le plus de questionnaires
S'il ne fallait retenir qu'une action de cet article, ce serait celle-ci.
L'authentification multifacteur est devenue le marqueur numéro un dans les évaluations fournisseurs. Elle est explicitement mentionnée par la directive. Elle est facile à vérifier. Et son absence sur un accès à privilèges est aujourd'hui considérée comme un manquement grave, pas comme un axe d'amélioration.
Les points à couvrir en priorité : messagerie professionnelle, accès distants, panneaux d'administration d'hébergement, comptes chez les registrars, dépôts de code, outils de gestion de mots de passe, accès aux environnements clients.
Le déploiement prend une demi-journée sur la plupart des services. C'est probablement le meilleur investissement sécurité par euro dépensé de toute cette liste, et l'un des rares où le résultat est immédiatement démontrable par une capture d'écran.
Notification d'incident : les trois échéances 24h / 72h / 1 mois
Le régime de notification est l'un des apports les plus concrets de la directive, et l'une des zones où les prestataires vont être contractuellement les plus sollicités.
L'alerte précoce à 24 heures : ce qu'elle contient et ce qu'elle n'a pas à contenir
Dans les 24 heures suivant la prise de connaissance d'un incident significatif, l'entité assujettie doit transmettre une alerte précoce à l'autorité compétente.
Cette alerte est volontairement légère. Elle indique si l'incident est soupçonné d'être causé par des actes illicites ou malveillants, et s'il peut avoir un impact transfrontalier. C'est tout, ou presque.
Le malentendu classique consiste à croire qu'il faut avoir compris l'incident pour le signaler. C'est l'inverse. Le format à 24 heures existe précisément parce qu'à ce stade on ne sait rien. Attendre d'y voir clair, c'est manquer l'échéance.
La notification à 72 heures et le rapport final à 30 jours
À 72 heures, la notification d'incident proprement dite. Elle actualise l'alerte précoce, fournit une évaluation initiale de la gravité et de l'impact, et décrit les indicateurs de compromission lorsqu'ils sont disponibles.
Au plus tard un mois après la notification, un rapport final. Description détaillée de l'incident, type de menace ou cause profonde, mesures d'atténuation appliquées et en cours, impact transfrontalier le cas échéant.
Si l'incident est toujours en cours au bout d'un mois, un rapport d'avancement est transmis, puis un rapport final dans le mois suivant la clôture.
Qui notifie quand l'incident survient chez le sous-traitant : vous, votre client, ou les deux
Question centrale, et pourtant rarement tranchée dans les contrats.
L'obligation légale de notification pèse sur l'entité assujettie. Si vous ne l'êtes pas, vous ne notifiez rien à l'autorité. En revanche, vous devez alerter votre client, et vite, parce que c'est lui qui porte l'obligation et que son horloge de 24 heures démarre au moment où il prend connaissance de l'incident.
D'où une conséquence pratique qu'il faut avoir intégrée : si vous mettez trois jours à prévenir votre client, vous le mettez mécaniquement en situation de manquement. C'est exactement pour cette raison que les clauses contractuelles de remontée d'incident se durcissent.
L'articulation avec la notification RGPD à la CNIL : deux régimes, deux destinataires, un seul incident
Un même incident peut relever des deux régimes. Une intrusion dans un système contenant des données personnelles, c'est potentiellement un incident significatif au sens de NIS 2 et une violation de données au sens du RGPD.
Deux notifications, deux autorités, deux logiques. Le RGPD protège les personnes concernées ; NIS 2 protège la continuité et la sécurité des services. Les délais coïncident sur les 72 heures côté RGPD mais les contenus attendus diffèrent.
Votre procédure interne doit poser les deux questions distinctement dès la première heure. Y a-t-il des données personnelles concernées ? L'incident affecte-t-il la fourniture d'un service à une entité assujettie ? Les réponses ne sont pas liées.
La clause contractuelle de remontée d'incident : le délai de 12 ou 24 heures que vos clients vont exiger
Vous allez voir apparaître, dans vos contrats et vos annexes sécurité, des délais de notification très courts. Douze heures est fréquent. Six heures existe. Vingt-quatre heures devient une position basse.
Avant de signer, posez-vous trois questions concrètes. Le délai court-il à partir de la détection ou de la survenance ? La différence est majeure : un incident survenu un vendredi soir et détecté le lundi matin ne se traite pas de la même façon selon la formulation retenue. Le délai est-il en heures ouvrées ou calendaires ? Qui est le destinataire nommé côté client, avec quel canal de secours si votre messagerie est justement compromise ?
Ce dernier détail semble anecdotique. Il ne l'est pas. Une clause qui impose une notification par courriel alors que votre messagerie est le système compromis est une clause impossible à respecter.
Répondre au questionnaire sécurité sans mentir ni se saborder
On arrive au moment où le sujet devient très concret. Le questionnaire est sur votre écran, il fait 180 lignes, et il faut le rendre.
Anatomie d'un questionnaire type : les familles de questions qui reviennent systématiquement
La bonne nouvelle, c'est que ces documents se ressemblent énormément. Huit familles couvrent l'essentiel.
Gouvernance : existe-t-il un responsable sécurité identifié, une politique validée, une revue périodique ? Gestion des accès : individualisation, authentification forte, revue des habilitations, gestion des départs. Protection des données : chiffrement, cloisonnement, localisation, durées de conservation. Sécurité opérationnelle : correctifs, antivirus, journalisation, supervision. Continuité : sauvegardes, tests, plan de reprise, délais cibles. Développement : cycle de vie, tests de sécurité, gestion des dépendances. Sous-traitance : cartographie, engagements, contrôle. Conformité : certifications, audits, assurances, incidents passés.
Une fois ces huit familles traitées proprement une bonne fois, le questionnaire suivant se remplit en deux heures au lieu de deux jours. C'est tout l'intérêt d'industrialiser la réponse plutôt que de la rejouer à chaque fois.
Les questions pièges : « disposez-vous d'un SOC 24/7 ? », « êtes-vous certifié ISO 27001 ? »
Ces questions ne sont pas des pièges au sens malveillant. Elles proviennent de questionnaires standards conçus pour des fournisseurs de toutes tailles, et elles sont mal calibrées pour vous.
Le réflexe destructeur, c'est de cocher « oui » en se disant qu'après tout, on surveille bien un peu. Cette réponse est vérifiable et fausse. Elle vous expose contractuellement, et elle détruit la crédibilité de l'ensemble de vos autres réponses, y compris celles qui étaient parfaitement exactes.
Le second réflexe destructeur, c'est de cocher « non » sec, sans un mot. Le lecteur enregistre une absence de mesure, alors que vous avez peut-être un dispositif équivalent adapté à votre taille.
Répondre « non, mais » : la formulation qui préserve la crédibilité
La bonne structure de réponse tient en trois temps. Le constat honnête. Le dispositif équivalent réellement en place. La mesure compensatoire ou le plan.
Sur la question du centre de supervision : non, la structure n'exploite pas de centre opérationnel de sécurité en continu, ce qui n'est pas proportionné à sa taille. Les alertes de la solution de protection des postes et de la supervision d'infrastructure sont centralisées sur une boîte relevée quotidiennement en heures ouvrées. Une procédure d'escalade désigne un référent et un suppléant, avec numéros joignables hors heures ouvrées. Le délai de prise en compte constaté sur les douze derniers mois est de moins de deux heures en journée.
Vous avez répondu non. Vous avez démontré une maîtrise du sujet. Vous avez donné un chiffre. C'est une réponse qui passe.
Le plan de remédiation daté : pourquoi un « non » avec échéance vaut mieux qu'un « oui » invérifiable
Un acheteur ou un responsable sécurité qui évalue trente fournisseurs cherche à identifier ceux qui présentent un risque incontrôlé. Un fournisseur qui dit « nous n'avons pas encore ceci, c'est prévu pour tel trimestre, voici les étapes » n'est pas un risque incontrôlé. C'est un risque connu et suivi.
Un fournisseur qui coche tout en vert sans produire la moindre pièce est, paradoxalement, plus inquiétant. Un dossier trop parfait attire l'attention. Et il suffit d'une seule vérification qui échoue pour que tout le reste devienne suspect.
Deux règles pour les plans de remédiation. Ne datez que ce que vous tiendrez, parce que ces dates seront relues au prochain cycle d'évaluation. Et gardez la trace de ce que vous avez annoncé : rien n'est plus dommageable qu'un plan annoncé l'an dernier et jamais réalisé, quand la question revient.
Les pièces justificatives que l'acheteur attend vraiment en annexe
Un questionnaire accompagné de pièces vaut trois questionnaires seuls. Le paquet type, pour une PME, tient en une dizaine de fichiers.
Politique de sécurité datée et signée. Synthèse d'analyse de risques. Procédure de gestion des incidents avec fiche réflexe. Attestation ou compte rendu du dernier test de restauration. Preuve de déploiement de l'authentification forte. Support et émargement de la dernière sensibilisation. Cartographie des sous-traitants. Attestation d'assurance responsabilité civile professionnelle et, si vous en avez une, cyber. Le cas échéant, rapport de synthèse d'un test d'intrusion.
Une remarque de bon sens : ne joignez jamais un rapport de test d'intrusion complet. Il contient la cartographie détaillée de vos faiblesses. La synthèse managériale suffit, et si le client insiste, cela se fait sous accord de confidentialité renforcé.
Ce que vous ne devez jamais écrire : les engagements qui vous exposent contractuellement
Quelques formulations à bannir, parce qu'elles créent des obligations dont vous ne mesurez pas la portée.
Toute garantie absolue. « Nous garantissons l'absence de vulnérabilité », « nos systèmes sont inviolables ». Aucune assurance ne couvre ça et aucun juge ne vous suivra.
Tout engagement de délai que vous n'avez jamais mesuré. « Correction de toute vulnérabilité critique sous 24 heures » est un engagement contractuel, pas une déclaration d'intention. Si votre délai constaté est de trois jours, écrivez trois jours.
Toute réponse qui vous engage sur le périmètre d'un tiers. Vous ne pouvez pas garantir la conformité de votre hébergeur ou de l'éditeur d'un outil. Vous pouvez transmettre leurs attestations et décrire vos exigences contractuelles à leur égard.
Et, bien sûr, toute affirmation invérifiable en votre défaveur. Le questionnaire est archivé. Il ressortira.
Le cas des questionnaires calibrés pour des ETI : négocier la proportionnalité
Il arrive qu'un questionnaire soit franchement hors sol : cent quatre-vingts questions dont soixante n'ont aucun sens pour une prestation de refonte de site vitrine.
La négociation est possible, et elle est même bien accueillie quand elle est menée correctement. Le message qui fonctionne repose sur trois éléments. Rappeler le périmètre réel de la prestation, en décrivant précisément les données et les systèmes auxquels vous accédez. Proposer de traiter en priorité les familles de questions pertinentes au regard de ce périmètre. Demander explicitement si un questionnaire allégé existe pour les fournisseurs de faible criticité.
Dans beaucoup d'organisations, ce questionnaire allégé existe déjà. Il n'a simplement pas été envoyé, parce que la campagne a été lancée en masse. Un mail bien tourné suffit parfois à faire tomber cent vingt questions.
Le socle documentaire minimum viable : sept documents à produire une fois
L'objectif n'est pas de constituer une bibliothèque. C'est de produire, une fois, un ensemble cohérent qui servira pour tous les clients, tous les appels d'offres et tous les questionnaires à venir.
Politique de sécurité des systèmes d'information (PSSI) allégée
Le document chapeau. Il fixe les engagements de la direction, le périmètre, les rôles et responsabilités, les grands principes retenus, et la fréquence de révision.
Six à dix pages pour une PME. Signé par le dirigeant, daté, avec un numéro de version. Cette signature n'est pas décorative : la directive insiste sur l'implication des organes de direction, et un document non validé au bon niveau perd une bonne partie de sa valeur.
Inventaire des actifs et cartographie des flux
On ne protège pas ce qu'on ne connaît pas. L'inventaire liste les postes, serveurs, services cloud, applications métier, noms de domaine, comptes à privilèges, et les données traitées avec leur niveau de sensibilité.
La cartographie des flux, même sous forme d'un schéma dessiné à la main puis mis au propre, montre par où transitent les données entre vous, vos clients et vos prestataires. C'est souvent en la traçant qu'on découvre des choses. Un flux oublié, un accès qui n'aurait plus lieu d'être, un outil que plus personne n'utilise mais qui a toujours ses droits.
Analyse de risques simplifiée : la méthode EBIOS Risk Manager en version réduite
La méthode française de référence est complète, structurée, et manifestement pensée pour des organisations dotées de moyens. En version réduite, elle reste tout à fait praticable.
Identifiez trois à cinq événements redoutés : indisponibilité prolongée d'un service client, fuite de données clients, compromission d'un compte à privilèges, rançongiciel sur l'infrastructure interne, défaillance d'un fournisseur critique. Pour chacun, décrivez le scénario, estimez la vraisemblance et la gravité, listez les mesures existantes, identifiez le risque résiduel, décidez : traiter, réduire, transférer ou accepter.
Une demi-journée à deux ou trois personnes. Le résultat vaut infiniment mieux qu'un modèle téléchargé et rempli à la va-vite, parce que la discussion elle-même fait remonter les vraies faiblesses.
Procédure de gestion des incidents et fiche réflexe
Deux documents distincts, et c'est important.
La procédure décrit le processus complet : qualification, escalade, traitement, communication, clôture, retour d'expérience. Elle se lit à froid.
La fiche réflexe tient sur une page, elle est imprimée et affichée. Qui appeler en premier. Quoi débrancher et quoi surtout ne pas éteindre. Quelles preuves préserver. Quels clients prévenir dans quel délai. Numéros d'urgence, y compris ceux de votre assureur cyber et de votre prestataire de réponse à incident si vous en avez un.
Elle se lit à chaud, par quelqu'un qui panique. C'est un exercice de rédaction très différent.
Plan de continuité et de reprise d'activité
Pour chaque service critique, deux chiffres : la durée maximale d'interruption admissible et la perte de données maximale admissible. Puis, en face, la solution de reprise et le mode dégradé.
Les questionnaires demandent ces deux valeurs. Beaucoup de prestataires ne les ont jamais posées. Les fixer oblige à une conversation utile avec les clients, parce que ces valeurs ont un coût direct.
Politique de gestion des accès et des habilitations
Principe du moindre privilège, individualisation des comptes, règles sur les mots de passe et le gestionnaire, authentification forte obligatoire sur les périmètres définis, procédures d'arrivée, de mobilité et de départ, revue périodique des habilitations avec sa fréquence.
Trois à cinq pages. Et surtout, la preuve d'application : la dernière revue des comptes, datée, avec la liste des désactivations opérées.
Registre des sous-traitants et de leurs engagements
Le tableau évoqué plus haut, tenu à jour. Il sert au client qui vous audite, il sert au RGPD si des données personnelles sont concernées, et il sert accessoirement à vous-même le jour où un prestataire disparaît.
Ce que ces documents doivent absolument éviter : le copier-coller de modèle générique
Un lecteur expérimenté repère un modèle générique en trente secondes. Les indices : un périmètre qui ne correspond pas à votre activité, des rôles qui n'existent pas chez vous, des mesures manifestement inapplicables, un vocabulaire d'entreprise de mille personnes, et parfois le nom d'une autre société oublié dans un pied de page.
L'effet obtenu est exactement l'inverse de celui recherché. Un document de quatre pages qui décrit votre réalité avec ses limites assumées inspire davantage confiance qu'un manuel de soixante pages visiblement acheté.
Partir d'un modèle est raisonnable. Le livrer tel quel ne l'est pas.
Les clauses contractuelles qui vont apparaître dans vos contrats
Le questionnaire n'est que la première étape. Ensuite viennent les avenants et les annexes sécurité, et c'est là que les engagements deviennent opposables.
Droit d'audit et d'inspection : ce qui est négociable et ce qui ne l'est pas
La clause type donne au client un droit d'audit sur pièces et sur place, à sa discrétion, à vos frais, avec un préavis court. Telle quelle, elle est déséquilibrée pour une petite structure.
Ce qui se négocie couramment : la fréquence, avec un audit par an au maximum sauf incident avéré. Le préavis, trente jours ouvrés étant raisonnable. La prise en charge des coûts, avec un partage ou une prise en charge par le demandeur en l'absence de manquement constaté. Le périmètre, limité aux systèmes concernés par la prestation. La possibilité de substituer une attestation ou un rapport d'audit existant à un audit sur place, ce qui vaut d'ailleurs argument pour une certification.
Ce qui ne se négocie généralement pas : le principe même du droit d'audit, et le droit d'audit en cas d'incident.
Obligations de notification et pénalités associées
Attention aux pénalités forfaitaires attachées au retard de notification. Elles apparaissent de plus en plus, et elles peuvent être élevées au regard de la valeur du contrat.
Vérifiez la définition retenue de l'incident notifiable. Certaines rédactions imposent la notification de tout événement de sécurité, ce qui est ingérable et vous met en défaut permanent. La bonne rédaction vise les incidents susceptibles d'affecter les systèmes ou les données du client.
Exigences de localisation des données et de sous-traitance en cascade
Deux exigences qui montent nettement.
La localisation : les données doivent-elles rester dans l'Union européenne ? Sur le territoire national ? Chez un fournisseur qualifié ? Cela peut vous contraindre à changer d'hébergeur ou d'outils, avec un coût réel.
La sous-traitance en cascade : autorisation préalable écrite avant tout recours à un nouveau sous-traitant, transmission de la liste, engagement de répercuter les mêmes obligations. Si vous travaillez avec des freelances de manière souple, cette clause change votre organisation. Anticipez-la, plutôt que de la découvrir au moment où vous avez besoin d'un renfort urgent.
Assurance cyber : le niveau de couverture désormais demandé
La responsabilité civile professionnelle classique couvre mal les conséquences d'un incident cyber. Les clients le savent et demandent désormais une couverture spécifique.
Points à vérifier dans votre contrat : les montants de garantie par sinistre et par année, la couverture des frais de gestion de crise et de notification, la prise en charge de la perte d'exploitation, la couverture des dommages causés aux tiers, et surtout les exclusions.
Sur ce dernier point, un avertissement : de nombreux contrats excluent les sinistres résultant de l'absence de mesures de sécurité élémentaires. Défaut de correctifs, absence d'authentification forte, sauvegardes non testées. Vous pouvez donc payer une prime pendant des années et découvrir au pire moment que votre sinistre n'est pas couvert.
Réversibilité et restitution des données en fin de contrat
Souvent négligée, cette clause devient sensible dès qu'il y a de l'hébergement ou de l'exploitation.
Elle doit préciser le format de restitution, le délai, l'accompagnement prévu, et les modalités de suppression définitive de votre côté avec attestation. Prévoyez-la, mais chiffrez-la : une réversibilité complète représente une charge de travail réelle, et elle intervient au moment précis où le client ne vous paie plus.
Négocier une annexe sécurité proportionnée à votre taille et à la criticité réelle de la prestation
Le levier de négociation le plus efficace n'est pas votre taille. C'est la criticité réelle de la prestation.
Une agence qui gère un blog corporate sans accès aux systèmes internes n'a pas le même profil de risque qu'un prestataire disposant d'accès administrateurs sur l'infrastructure de production. Documentez précisément ce à quoi vous accédez, ce que vous ne pouvez pas atteindre, et les cloisonnements en place. C'est cette description factuelle qui justifie l'allègement, pas un argument de bonne volonté.
Sanctions, responsabilité et exposition réelle d'un sous-traitant
Parlons chiffres, parce qu'ils circulent beaucoup et souvent hors contexte.
10 M€ ou 2 % du chiffre d'affaires : à qui s'appliquent vraiment ces montants
Ces plafonds concernent les entités essentielles assujetties. Sept millions ou 1,4 % pour les entités importantes. Ce sont des plafonds, pas des montants automatiques, et les autorités disposent d'une gradation qui va de l'avertissement à l'injonction avant d'en arriver à l'amende.
Si vous n'êtes pas assujetti, ces montants ne vous concernent pas. Ils sont pourtant systématiquement brandis dans les argumentaires commerciaux à destination des PME, ce qui entretient une confusion utile à ceux qui vendent des prestations de conformité.
La responsabilité personnelle des dirigeants introduite par la directive
Nouveauté marquante : la directive prévoit que les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre, suivent une formation, et peuvent être tenus responsables des manquements. Les autorités peuvent aller jusqu'à interdire temporairement l'exercice de fonctions dirigeantes dans les cas les plus graves.
Là encore, cela vise les entités assujetties. Mais l'effet indirect est net : un dirigeant personnellement exposé regarde ses fournisseurs avec une attention nouvelle. Ce n'est plus un sujet de direction informatique, c'est devenu un sujet de comité de direction. La différence se sent dans le ton des questionnaires.
Votre exposition à vous : rupture de contrat, référencement fournisseur, action en responsabilité
Votre exposition réelle est contractuelle, et elle prend trois formes.
La résiliation, quand un manquement aux obligations de sécurité est érigé en manquement grave. La mise en jeu de votre responsabilité si un incident survenu chez vous cause un préjudice au client, avec des dommages potentiellement sans commune mesure avec le montant de votre prestation. Et l'exclusion du panel fournisseurs, silencieuse, définitive, sans qu'on vous en explique jamais la raison.
Le risque de déréférencement : le vrai coût du questionnaire mal rempli
C'est le risque numéro un, très loin devant les autres, et curieusement le moins évoqué.
Le scénario est banal. Vous répondez au questionnaire à la va-vite, un vendredi soir, entre deux livraisons. Votre note tombe sous le seuil interne. Vous ne le saurez jamais, parce que personne ne vous appellera pour vous le dire. Simplement, au prochain appel d'offres, vous ne serez pas consulté. Et vous mettrez deux ans à comprendre pourquoi.
À l'inverse, un dossier propre vous place dans la catégorie des fournisseurs qualifiés. Sur des marchés où les grands comptes réduisent leur panel, cette qualification vaut de l'argent. Le questionnaire n'est pas une corvée administrative : c'est une pièce commerciale.
Certifications et référentiels : lesquels valent l'investissement
La question tombe toujours au même moment : faut-il se certifier ?
ISO 27001 : quand le retour sur investissement devient positif pour une PME
La certification est reconnue partout et répond d'un coup à une grande partie des questionnaires. Elle a un coût : accompagnement, mise en œuvre, audit initial, audits de surveillance annuels, recertification triennale, et surtout une charge interne continue qui est généralement sous-estimée.
Pour une PME de services numériques, elle devient pertinente dans trois situations. Quand plusieurs de vos clients l'exigent formellement. Quand vous visez des marchés où elle est un critère d'accès, notamment dans la santé, la finance ou le secteur public. Quand votre modèle repose sur l'exploitation de systèmes clients et que vous devez démontrer une maturité durable.
En dehors de ces cas, c'est une dépense lourde dont le retour n'est pas garanti. Un socle documentaire solide et honnête répond correctement à 80 % des questionnaires pour une fraction du coût.
SecNumCloud, HDS, PCI DSS : les cas où ils sont exigés
Ces référentiels sont sectoriels et non substituables.
La qualification SecNumCloud vise les fournisseurs de services cloud, et elle est de plus en plus exigée pour les données sensibles ou les administrations. La certification HDS est obligatoire pour héberger des données de santé à caractère personnel : sur ce point, il n'y a pas de discussion possible, c'est la loi. La norme PCI DSS s'impose dès qu'on manipule des données de porteurs de cartes.
Pour un prestataire, le raisonnement est souvent inverse : plutôt que de viser ces certifications, on s'appuie sur des partenaires qui les détiennent. Héberger chez un fournisseur qualifié répond à l'exigence sans en porter le coût.
Les alternatives allégées : ExpertCyber, Cyberscore, questionnaires d'autoévaluation ANSSI
Entre le néant et l'ISO 27001, il existe un espace intermédiaire, et il est trop peu exploité.
Les labels destinés aux prestataires informatiques attestent d'un niveau de compétence en sécurité. Les grilles d'autoévaluation publiées par l'agence nationale permettent de mesurer sa maturité sur des critères reconnus. Les guides d'hygiène informatique donnent une liste de mesures concrètes et fournissent une référence citable.
Se positionner par rapport à un référentiel public, même sans certification, structure le discours et donne des repères communs à votre interlocuteur. « Nous couvrons 32 des 42 mesures du guide d'hygiène, voici les 10 restantes et leur échéance » est une phrase qui produit un effet immédiat sur un responsable sécurité.
Le raccourci qui ne marche pas : acheter une attestation sans mettre en œuvre
Il se vend des prestations de conformité en quelques jours, modèles fournis, attestation à la clé. Le résultat est un jeu de documents qui ne décrit rien de réel.
Cela tient jusqu'au premier audit sérieux, ou jusqu'au premier incident. À ce moment-là, l'écart entre le déclaré et le réel ne s'analyse plus comme une immaturité mais comme une déclaration mensongère. Le passif juridique est autrement plus lourd que celui d'un prestataire qui avait reconnu ses lacunes.
Plan de mise en conformité sur 90 jours pour une PME de services numériques
Assez de théorie. Voici une trame de travail réaliste, testée sur des structures de cinq à cinquante personnes.
Jours 1 à 15 : qualifier votre statut et inventorier l'existant
Objectif : savoir où vous en êtes.
Passez le test d'assujettissement et écrivez la conclusion avec sa justification. Ce document d'une page vous servira à répondre à la première question de tous les questionnaires. Recensez vos clients susceptibles d'être des entités assujetties, ce sont eux qui vous solliciteront. Inventoriez actifs, accès et fournisseurs. Rassemblez ce qui existe déjà : contrats, procédures, notes internes. Il y a toujours plus de matière qu'on ne croit, éparpillée.
Jours 16 à 45 : combler les écarts à coût nul ou faible
Objectif : traiter ce qui se corrige sans budget et qui pèse lourd dans les évaluations.
Déployer l'authentification multifacteur partout où c'est possible, en commençant par les accès à privilèges. Supprimer les comptes obsolètes et documenter l'opération. Mettre en place un gestionnaire de mots de passe pour toute l'équipe. Vérifier le chiffrement des postes. Réaliser un test de restauration et le documenter. Mettre les systèmes et dépendances à jour. Nettoyer les secrets présents dans les dépôts de code.
Un mois de travail réparti, sans dépense significative, et c'est la phase qui déplace le plus l'aiguille.
Jours 46 à 75 : produire le socle documentaire et former les équipes
Objectif : transformer les pratiques en preuves.
Rédigez les sept documents. Comptez une demi-journée à une journée par document si vous partez de votre réalité et non d'un modèle. Faites-les valider et signer au niveau de la direction. Organisez la sensibilisation, avec émargement. Et faites un exercice d'incident sur table : deux heures, un scénario de rançongiciel, et vous découvrirez immédiatement les trous de votre procédure.
Jours 76 à 90 : industrialiser la réponse aux questionnaires
Objectif : ne plus jamais repartir de zéro.
Constituez une base de réponses type couvrant les huit familles de questions. Préparez un dossier sécurité prêt à envoyer, avec ses annexes. Désignez un responsable de la réponse aux questionnaires, avec un suppléant. Fixez une revue trimestrielle pour maintenir l'ensemble à jour.
À partir de là, un questionnaire se traite en deux à quatre heures. C'est le vrai gain, et il est durable.
Budget réaliste : la fourchette pour une structure de 5, 15 et 40 personnes
Ordres de grandeur, hors certification, en intégrant temps interne et achats.
Pour cinq personnes : l'essentiel se fait en interne, dix à quinze jours de travail cumulés, quelques centaines d'euros d'outillage annuel pour le gestionnaire de mots de passe, la sauvegarde externalisée et l'authentification forte. Un accompagnement ponctuel de deux à trois jours peut accélérer la production documentaire.
Pour quinze personnes : vingt à trente jours de travail interne, un accompagnement de cinq à dix jours, un outillage de quelques milliers d'euros par an. L'assurance cyber devient un poste à part entière.
Pour quarante personnes : un référent sécurité identifié avec du temps dédié, un accompagnement plus structuré, éventuellement un test d'intrusion annuel. La question de la certification se pose sérieusement si le portefeuille client le justifie.
Ces chiffres varient selon votre point de départ. Une structure qui a déjà de bonnes pratiques mais rien d'écrit s'en tire pour l'essentiel avec du temps de rédaction.
Transformer la contrainte en argument commercial
On peut subir ce mouvement. On peut aussi s'en servir. La seconde option demande à peine plus d'effort que la première, et elle rapporte.
Le dossier sécurité comme pièce d'appel d'offres
Une fois constitué, votre dossier devient une pièce jointe standard de vos propositions commerciales. Le message envoyé est simple : le sujet est traité, il ne sera pas un point de friction, la contractualisation sera fluide.
Pour un acheteur qui a vu trois fournisseurs bloquer pendant six semaines sur une annexe sécurité, cet argument compte. Parfois plus qu'une remise.
Se positionner sur les marchés que vos concurrents ne peuvent plus adresser
Il y a là un effet de sélection dont on parle peu. À mesure que les exigences se durcissent, une partie des prestataires ne suivra pas. Pas par incompétence technique, mais par incapacité à produire les preuves demandées.
Les marchés qu'ils occupaient ne disparaissent pas. Ils se redistribuent. Une PME qui a fait ce travail se retrouve en position d'aller chercher des comptes qui lui étaient jusqu'ici fermés, non pas parce qu'elle est devenue meilleure techniquement, mais parce qu'elle est devenue référençable.
Communiquer sur sa conformité sans surpromettre
Un dernier point, et il est délicat. La tentation est grande d'écrire « conforme NIS 2 » sur son site.
C'est une mauvaise idée pour deux raisons. La conformité NIS 2 ne se déclare pas comme un label : il n'existe pas de certification NIS 2 à ce jour. Et si vous n'êtes pas assujetti, cette mention est au mieux imprécise, au pire trompeuse.
Les formulations qui tiennent la route : décrire les mesures effectivement en place, indiquer que votre dispositif est aligné sur les exigences de l'article 21, préciser que vous êtes en mesure de répondre aux exigences de sécurité de la chaîne d'approvisionnement de vos clients assujettis. C'est plus long à écrire. C'est aussi ce qui résistera à la première question précise.
Questions fréquentes
Une agence de communication est-elle concernée par NIS 2 ?
Pas au titre de l'assujettissement direct : l'activité de communication ne figure dans aucune annexe de la directive. Elle est en revanche très fréquemment concernée en tant que fournisseur d'entités assujetties, et à ce titre destinataire de questionnaires et de clauses contractuelles. La nuance à surveiller : si l'agence a développé une activité d'hébergement, d'infogérance ou d'administration de systèmes clients, la qualification mérite d'être réexaminée.
Un hébergeur revendeur est-il un fournisseur de services cloud au sens de la directive ?
La question n'a pas de réponse universelle et dépend de ce que vous exploitez réellement. Un revendeur qui se contente de facturer des offres d'un tiers, sans administrer d'infrastructure, se rapproche plutôt de l'intermédiaire commercial. Un prestataire qui opère ses propres serveurs, gère l'hyperviseur, administre les environnements et s'engage sur la disponibilité exerce bien une activité d'exploitation. Entre les deux, la zone est grise et l'analyse doit porter sur les contrats, les responsabilités techniques assumées et les engagements de service.
Faut-il un DPO ou un RSSI pour être conforme ?
La directive n'impose pas de fonction de responsable de la sécurité des systèmes d'information. Elle impose que les mesures soient adoptées et supervisées par les organes de direction. Dans une PME, désigner un référent sécurité, même à temps très partiel, avec un rôle écrit et un rattachement direct à la direction, répond à l'esprit du texte. Le délégué à la protection des données relève, lui, du RGPD : son caractère obligatoire dépend de critères propres à ce règlement, sans lien avec NIS 2.
Que répondre quand le client exige une conformité NIS 2 que la loi ne vous impose pas ?
Ne discutez pas le principe, discutez le contenu. Expliquez calmement que votre structure n'entre pas dans le champ d'assujettissement, en donnant la raison précise, puis enchaînez immédiatement sur ce que vous mettez en œuvre. Proposez de traiter les exigences de l'article 21 sous l'angle de la proportionnalité, en fonction de la criticité réelle de la prestation. Un client qui vous demande la lune n'attend pas la lune : il attend d'être rassuré et de pouvoir documenter son choix.
Nos outils SaaS américains posent-ils un problème de conformité ?
Deux sujets à distinguer nettement. Côté NIS 2, ce qui compte est le niveau de sécurité du fournisseur et votre capacité à en rendre compte : la nationalité n'est pas en soi un critère. Côté RGPD, les transferts de données personnelles hors Union européenne relèvent d'un régime spécifique, avec ses garanties et son cadre juridique propres. Certains clients ajoutent par-dessus leurs propres exigences de souveraineté, contractuelles et non légales. Les trois plans sont indépendants et il vaut mieux les traiter séparément.
Combien de temps conserver les preuves et les journaux ?
Il n'existe pas de durée unique. Les pratiques courantes retiennent six mois à un an pour les journaux techniques, en tenant compte des contraintes de volume et des règles applicables à la conservation des données de connexion. Pour les documents de conformité, une conservation sur la durée du contrat augmentée de la période de prescription applicable est la position prudente. Conservez surtout l'historique des versions de vos documents : pouvoir montrer que votre politique de sécurité existait dans sa version 2 en janvier de l'année dernière a une valeur probante que la version courante seule n'a pas.
