Le 15 août 2026, vous vous êtes réveillé avec une loi déjà en vigueur. La loi néerlandaise sur la cybersécurité (Cbw, la transposition de NIS2 aux Pays-Bas) est entrée en application ce jour-là, sans période de transition générale. Seuls les établissements d’enseignement supérieur ont obtenu un délai de trois ans. Environ 8 000 à 10 000 organisations sont directement soumises à l’obligation, et l’enregistrement dans le registre des entités via le NCSC est obligatoire à partir de cette date. Si votre direction vous demande aujourd’hui si vos fournisseurs sont en règle, ce n’est plus une question théorique.
Cet article approfondit un texte précédent consacré à NIS2 et la gestion des contrats. L’accent se déplace de « ce que vous devez faire » vers « comment prouver que vous l’avez fait ». C’est en effet là que la plupart des organisations se retrouvent bloquées : la responsabilité de la chaîne NIS2 n’est pas une question de savoir, mais de savoir de manière démontrable.
Que signifie concrètement la responsabilité de la chaîne NIS2 ?
La responsabilité de la chaîne NIS2 signifie que vous ne devez pas seulement maîtriser votre propre sécurité, mais aussi gérer de manière démontrable les cyberrisques issus de votre chaîne de fournisseurs. Vous devez savoir quels sont vos fournisseurs, quelles exigences de sécurité et de continuité figurent dans les contrats externalisés, et quels accords restent en suspens. Il s’agit de démontrabilité : pouvez-vous le prouver si une autorité de contrôle vous le demande ?
Aux Pays-Bas, le contrôle est réparti selon les secteurs. Selon votre organisation, vous aurez affaire au RDI, à la DNB, à l’AFM, à l’IGJ, à l’ILT ou à la NVWA. La question sous-jacente est la même pour chaque autorité de contrôle. Savez-vous quelles parties ont accès à vos systèmes et à vos processus, et l’avez-vous garanti par contrat ?
Quels fournisseurs devez-vous réellement évaluer dès maintenant ?
Priorisez en fonction de l’accès et de l’impact, non de la valeur du contrat. Une entreprise de nettoyage qui ouvre toutes les serrures la nuit peut représenter un risque plus important qu’un fournisseur de logiciels coûteux sans accès à des données sensibles. La responsabilité de la chaîne concerne l’accès numérique comme l’accès physique.
Les fournisseurs à examiner en priorité :
- Fournisseurs informatiques, prestataires SaaS et hébergement : accès aux systèmes, aux réseaux et aux données
- Sécurité et contrôle d’accès : accès physique aux bâtiments et aux installations
- Nettoyage : souvent en dehors des heures de bureau, avec des clés ou des badges pour l’ensemble du bâtiment
- Maintenance technique et génie climatique : accès aux infrastructures critiques telles que la climatisation, l’électricité et les systèmes d’accès
Un responsable des services généraux ayant externalisé le nettoyage, la sécurité et la technique a le plus de travail à ce sujet. L’accès physique relève en effet lui aussi de la responsabilité de la chaîne, et cette prise de conscience arrive tardivement dans de nombreuses organisations. Commencez par une courte liste de fournisseurs critiques, puis élargissez ensuite. Réexaminer les 200 contrats en même temps ne fonctionne pas.
Quelles exigences doivent figurer de manière démontrable dans le contrat ?
Un contrat qui ne règle que le prix et la prestation ne suffit pas au regard de la responsabilité de la chaîne NIS2. Six éléments doivent être consignés concrètement pour chaque fournisseur critique :
- Exigences de sécurité : le niveau de sécurité de l’information que le fournisseur applique de manière démontrable, par exemple une certification comme l’ISO 27001
- Notification des incidents : le délai dans lequel le fournisseur doit vous signaler un cyberincident ou une fuite de données, et par quel canal
- Droit d’audit : le droit de contrôler ou de faire contrôler la sécurité du fournisseur
- Accords de continuité : ce qui se passe en cas de défaillance, et quels sont les délais de rétablissement applicables
- Sous-traitants : quels sous-traitants le fournisseur mobilise et s’ils répondent aux mêmes exigences
- Sortie : comment les données et les accès sont restitués ou détruits à la fin du contrat
Le piège réside dans le temps. Les clauses de sécurité convenues en 2021 ne figurent pas automatiquement dans le contrat prolongé ou révisé de 2026. Lors d’un appel d’offres ou d’un renouvellement, vous devez vérifier activement si ces exigences sont toujours présentes et actualisées.
Le vrai problème : vous le savez, mais pouvez-vous le prouver ?
Prenons un gestionnaire de contrats dans un établissement de santé avec 200 contrats en cours. Les contrats sont répartis entre un fichier Excel, un système de gestion documentaire et la boîte mail d’un collègue désormais parti. La question « lesquels de ces contrats comportent en réalité une obligation de notification des incidents ? » ne peut pas trouver de réponse en cinq minutes. Cela devient un travail manuel, à recommencer chaque fois.
C’est précisément l’écart entre savoir et savoir de manière démontrable. La plupart des organisations pensent connaître leurs fournisseurs. Mais dès qu’une autorité de contrôle demande un aperçu actualisé des fournisseurs, des exigences contractuelles et des actions en suspens, la recherche commence dans quatre ou cinq sources. Le temps d’avoir une vue complète, la question est déjà dépassée.
Maîtriser le volet contractuel de votre devoir de diligence
Un point important à clarifier : GRIP ne rend personne conforme à NIS2. GRIP n’est ni un outil de cybersécurité ni un système de conformité. NIS2 touche à la technique, aux processus, à la gouvernance et bien plus encore. GRIP prend en charge une partie précise : le volet contractuel du devoir de diligence.
Dans le Contract Dashboard de GRIP, vous voyez en un seul aperçu quels sont vos fournisseurs, quelles exigences figurent dans les contrats et quels accords restent en suspens. L’assistant IA Kaia lit les documents contractuels et repère où se trouvent les clauses relatives à la notification des incidents, au droit d’audit ou à la continuité, y compris dans des contrats de plusieurs dizaines de pages. La question de la chaîne devient ainsi traitable sans dépouillement manuel. Les utilisateurs économisent en moyenne 30 % sur l’administration des contrats, à condition de procéder de manière structurée.
Ne traitez pas la responsabilité de la chaîne comme un projet ponctuel, mais comme un cycle permanent. Les fournisseurs changent, les contrats sont renouvelés, les sous-traitants évoluent. Inscrivez la réévaluation des contrats critiques comme action récurrente dans votre tableau de bord, afin que les exigences restent actuelles et que les points en suspens ne s’évaporent pas jusqu’à la prochaine question de l’autorité de contrôle.
Questions fréquentes
Qu’est-ce que la responsabilité de la chaîne NIS2 ?
La responsabilité de la chaîne NIS2 signifie que votre organisation gère de manière démontrable les cyberrisques issus de sa chaîne de fournisseurs. Vous devez savoir quels fournisseurs ont accès aux systèmes, aux données ou aux bâtiments, quelles exigences de sécurité et de continuité figurent dans les contrats et quels accords restent en suspens.
Depuis quand la loi sur la cybersécurité s’applique-t-elle aux Pays-Bas ?
La loi sur la cybersécurité est entrée en vigueur le 15 août 2026, publiée au Journal officiel néerlandais 2026, 189. Il n’existe pas de période de transition générale. La seule exception concerne l’enseignement supérieur, qui bénéficie d’un délai de trois ans.
Le nettoyage relève-t-il de NIS2 ?
Le nettoyage peut relever de la responsabilité de la chaîne lorsque le fournisseur dispose d’un accès physique aux bâtiments et aux installations, par exemple avec des clés ou des badges en dehors des heures de bureau. L’accès physique compte, et pas seulement l’accès numérique.
Quelles exigences dois-je inclure dans les contrats de fournisseurs ?
Pour les fournisseurs critiques, incluez au minimum : des exigences de sécurité, un délai de notification des incidents, un droit d’audit, des accords de continuité, des dispositions relatives aux sous-traitants et un régime de sortie pour les données et les accès. Vérifiez lors du renouvellement si ces exigences sont toujours actuelles.
Combien d’organisations sont directement soumises à la loi sur la cybersécurité ?
Environ 8 000 à 10 000 organisations sont directement soumises à l’obligation. Elles doivent s’enregistrer dans le registre des entités via le NCSC à partir du 15 août 2026. Le contrôle dépend du secteur et relève notamment du RDI, de la DNB, de l’AFM, de l’IGJ, de l’ILT et de la NVWA.
GRIP rend-il mon organisation conforme à NIS2 ?
Non. GRIP n’est ni un outil de cybersécurité ni un outil de conformité et ne rend personne conforme à NIS2. GRIP vous permet de maîtriser le volet contractuel du devoir de diligence : un aperçu unique des fournisseurs, des exigences contractuelles et des actions en suspens, afin que ce volet soit en ordre de manière démontrable.
Comment maintenir les exigences contractuelles à jour ?
Inscrivez la réévaluation des contrats critiques comme action récurrente dans votre tableau de bord des contrats. Les fournisseurs, les sous-traitants et les contrats évoluent : traitez donc la responsabilité de la chaîne comme un cycle continu plutôt que comme un projet ponctuel.
Vous souhaitez voir en un seul aperçu quels sont vos fournisseurs, quelles exigences figurent dans vos contrats et quels accords restent en suspens ? Découvrez le Contract Dashboard ou réservez une démonstration.