NIS2 pour les fournisseurs : ce que vos clients vont commencer à vous demander

NIS2 est la principale loi de l'UE en matière de cybersécurité pour les entités essentielles et importantes, et elle atteint les fournisseurs par l'intermédiaire de leurs clients. Même si votre entreprise n'entre pas elle-même dans son champ d'application, un client concerné doit gérer « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». C'est l'article 21, paragraphe 2, point d), de la directive (UE) 2022/2555.

En pratique, cela se traduit par des questionnaires, de nouvelles clauses contractuelles, des demandes de preuves et parfois un droit d'audit. Cela vaut aussi pour les entreprises américaines qui fournissent des logiciels, de l'hébergement, des services informatiques ou d'autres services à des clients européens couverts par NIS2.

Cet article résume ce que la directive et ses actes d'exécution disent réellement des fournisseurs, et comment préparer des réponses qui tiennent la route.

Les dates et articles clés

• La directive a été adoptée le 14 décembre 2022. Les États membres devaient adopter leur loi nationale au plus tard le 17 octobre 2024 et l'appliquer à partir du 18 octobre 2024 (article 41).
• L'article 20 impose aux organes de direction des entités concernées d'approuver les mesures de gestion des risques en matière de cybersécurité et d'en superviser la mise en œuvre.
• L'article 21, paragraphe 2, énumère au moins 10 domaines de mesures, de l'analyse des risques et la gestion des incidents à la sécurité de la chaîne d'approvisionnement, au traitement des vulnérabilités et à l'authentification multifacteur.
• L'article 21, paragraphe 3, précise que, pour choisir les mesures relatives à la chaîne d'approvisionnement, les entités tiennent compte « des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services ».
• L'article 23, paragraphe 4, fixe les étapes de notification des incidents pour l'entité concernée : une alerte précoce dans les 24 heures après avoir pris connaissance d'un incident important, une notification d'incident dans les 72 heures et un rapport final au plus tard 1 mois après la notification.

NIS2 étant une directive, les obligations contraignantes découlent de la loi nationale de chaque pays. Les détails varient ; le service juridique de votre client vous dira quelle loi s'applique à lui.

Ce qu'ajoute le règlement d'exécution

Pour certains fournisseurs numériques (notamment les fournisseurs de services d'informatique en nuage, de centres de données, de services gérés et de services de sécurité gérés), la Commission a fixé des exigences détaillées dans le règlement d'exécution (UE) 2024/2690. Son annexe, au point 5.1, donne la description la plus claire de ce que les clients vont demander à leurs fournisseurs. Les entités concernées doivent définir des critères de sélection des fournisseurs, y compris leurs pratiques de cybersécurité et leurs procédures de développement sécurisé, et leurs contrats devraient préciser, le cas échéant :

• les exigences de cybersécurité applicables au fournisseur,
• la formation et, le cas échéant, les certifications du personnel du fournisseur,
• les vérifications des antécédents du personnel,
• l'obligation de notifier les incidents au client dans les meilleurs délais,
• le droit d'auditer ou de recevoir des rapports d'audit,
• l'obligation de traiter les vulnérabilités qui présentent un risque pour le client,
• les règles de sous-traitance,
• les obligations en fin de contrat, comme la restitution et l'élimination des données.

Même les clients qui n'entrent pas dans le champ de ce règlement s'en servent souvent comme modèle, car il transforme l'article 21 en une liste concrète.

Ce que vos clients vont réellement vous envoyer

Attendez-vous à une combinaison de ces éléments :

1. Un questionnaire de sécurité couvrant le contrôle d'accès, l'authentification multifacteur, les sauvegardes, le chiffrement, le traitement des vulnérabilités et la réponse aux incidents.
2. Des avenants au contrat avec des délais de notification des incidents suffisamment courts pour que le client puisse respecter sa propre alerte précoce de 24 heures.
3. Des demandes de preuves : politiques, rapports d'audit, certifications comme ISO/IEC 27001 ou un rapport SOC 2, résultats de tests.
4. Des questions sur vos sous-traitants, en particulier l'hébergement et le support.
5. Un suivi continu : le point 5.1.6 de l'annexe demande aux entités de surveiller à intervalles planifiés l'évolution des pratiques de cybersécurité de leurs fournisseurs, attendez-vous donc à des questions répétées.

Préparer des réponses qui résistent à la vérification

Il est facile de remplir un questionnaire avec optimisme. De plus en plus, les clients vérifient ce qui est visible de l'extérieur. Avant de répondre, assurez-vous que l'extérieur de votre entreprise correspond à ce que vous écrivez :

• Authentification des e-mails. Si vous affirmez avoir une messagerie bien sécurisée, votre enregistrement DMARC doit être en mode appliqué :

dig +short TXT _dmarc.yourcompany.com
"v=DMARC1; p=reject; rua=mailto:dmarc@yourcompany.com"

• TLS et certificats. Des certificats valides sur chaque nom d'hôte exposé, aucun expiré, aucun sur des hôtes oubliés.
• Services exposés. Aucun bureau à distance, aucune base de données ni aucun panneau d'administration ouvert sur Internet.
• Hygiène du site web. En-têtes de sécurité présents, aucun fichier .env, .git ou de sauvegarde exposé (voir fichiers .env, .git et sauvegardes exposés).
• Actifs oubliés. Aucun serveur de préproduction ou de test abandonné sous votre domaine (voir serveurs de préproduction et de test oubliés).

Une vue extérieure propre ne prouve pas un programme mature, mais une vue faible contredit très vite un bon questionnaire.

Liste de préparation

• Désignez un responsable des questionnaires de sécurité clients et tenez à jour un jeu de réponses réutilisables.
• Rédigez une procédure de notification des incidents avec un contact et un délai que vous pouvez réellement tenir.
• Tenez une liste à jour de vos propres sous-traitants et des données qu'ils traitent.
• Documentez votre traitement des vulnérabilités, du signalement à la correction.
• Rassemblez les preuves en un seul endroit : politiques, rapports d'audit, certifications, synthèses de tests.
• Examinez régulièrement votre surface externe et corrigez ce qu'un client verrait.
• Revérifiez avant chaque renouvellement de contrat.

La place de Datahorses

Datahorses surveille votre entreprise depuis l'extérieur chaque jour : domaines, DNS, certificats, authentification des e-mails, sites web et services exposés. Les constats sont accompagnés des étapes de correction exactes et conservés comme un historique auquel vous pouvez vous référer lorsqu'un client demande comment vous surveillez votre propre exposition. Nous n'entrons pas dans vos systèmes et n'avons besoin d'aucun accès ; découvrez ce que nous surveillons ou comment fonctionne la collaboration.