La directive NIS2 et la gestion des contrats se rejoignent au moment précis où cette question atterrit sur votre bureau : parmi nos fournisseurs, lesquels sont critiques, et que prévoient ces contrats en matière de sécurité et de continuité ? La loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet, Cbw) est entrée en vigueur le 15 août 2026, et la réponse se trouve dispersée entre des dizaines, voire des centaines de PDF isolés, de dossiers partagés et dans la mémoire d’un collègue parti l’an dernier. C’est le volet contractuel du devoir de vigilance, et sans vue d’ensemble centralisée, il est impossible d’y répondre de manière structurée.
Cet article approfondit notre précédente publication sur NIS2 et la gestion des contrats en y ajoutant l’état actuel de la transposition néerlandaise et un focus plus précis sur ce que vous devez faire dès maintenant de votre portefeuille de contrats existants.
La loi sur la cybersécurité est là : qu’est-ce qui change pour vos contrats fournisseurs ?
La Cyberbeveiligingswet est la transposition néerlandaise de la directive européenne NIS2. Si vous recherchez l’un de ces termes, vous visez probablement l’autre. La loi est entrée en vigueur le 15 août 2026 (Staatsblad 2026, 189), sans période de transition générale. Environ 8 000 à 10 000 organisations y sont directement soumises. La seule exception : les établissements d’enseignement supérieur, qui disposent de trois ans.
Pour les gestionnaires de contrats et les acheteurs du secteur de la santé, des communes et de l’enseignement, il ne s’agit pas d’une annonce, mais d’un fait. L’enregistrement dans le registre des entités via le NCSC est obligatoire. L’obligation de signaler les incidents démarre dans les 24 heures. La surveillance dépend du secteur et relève notamment de la RDI, DNB, AFM, IGJ, ILT et NVWA. Il n’existe aucune période d’adaptation durant laquelle vous pourriez tranquillement mettre de l’ordre dans vos contrats fournisseurs.
Que signifie le devoir de vigilance de la loi pour votre chaîne d’approvisionnement ?
Le cœur de la loi sur la cybersécurité pour la gestion des contrats réside dans la responsabilité de la chaîne. Vous devez maîtriser de manière démontrable les cyberrisques issus de votre chaîne de fournisseurs. « Démontrable » est le mot clé. Il ne suffit pas de faire confiance à un fournisseur pour croire qu’il a tout en ordre. Vous devez savoir quels fournisseurs vous avez, quelles exigences de sécurité et de continuité figurent dans les contrats externalisés, et quels engagements restent en suspens.
Cela déplace la question du juridique vers l’opérationnel. Un juriste peut rédiger les clauses qu’un nouveau contrat doit contenir. Mais le devoir de vigilance concerne l’ensemble de votre portefeuille en cours, pas seulement ce que vous signerez à partir de demain. Un établissement de santé disposant de 200 contrats externalisés ne peut pas attendre que chaque renouvellement se présente de lui-même. Vous devez savoir quels contrats sont critiques et lesquels rouvrir en premier.
Quels engagements doit contenir un contrat fournisseur sous la Cbw ?
Des sources juridiques comme CMS identifient six thèmes qui doivent figurer dans les contrats fournisseurs afin de soutenir le devoir de vigilance. Traduits dans la pratique contractuelle quotidienne, il s’agit des six suivants.
- Normes de sécurité et certifications : quelle norme applique le fournisseur, par exemple ISO 27001, et comment le démontre-t-il ?
- Signalement des incidents : dans quel délai le fournisseur vous signale-t-il un incident, afin que vous respectiez votre propre obligation de signalement sous 24 heures ?
- Droits d’audit : pouvez-vous contrôler le fournisseur ou faire réaliser un audit ?
- Continuité et sortie : que se passe-t-il en cas de défaillance, et comment quitter le contrat sans dommage ?
- Responsabilité : qui supporte les conséquences d’un incident de sécurité ?
- Mises à jour de sécurité : comment et à quelle vitesse le fournisseur maintient-il ses systèmes à jour ?
Savoir quelle clause doit figurer est la partie facile. La partie difficile consiste à vérifier lesquels de ces six thèmes sont déjà réglés dans vos contrats existants, et lesquels manquent. Sans cette vue d’ensemble, aucune planification ne tient.
Tous les fournisseurs ne se valent pas : classer selon la criticité
Si vous traitez tous les contrats avec la même intensité, vous gaspillez des mois sur des fournisseurs qui ne justifient pas ce risque. Ne commencez donc pas par le contrat le plus strict, mais par la classification. Répartissez vos fournisseurs selon quatre facteurs : quelle est la criticité du service, quel accès le fournisseur a-t-il à vos systèmes, à quelles données a-t-il accès et avec quelle facilité peut-il être remplacé ?
Un hébergeur qui fait tourner votre processus principal exige un contrat différent de celui d’un fournisseur qui livre une mise à jour logicielle une fois par trimestre. L’ordre est clair : d’abord les fournisseurs critiques avec un accès étendu et difficilement remplaçables, puis le reste. Au sein de ce groupe, traitez en priorité les contrats qui arrivent à échéance en premier, car un renouvellement est le moment naturel pour intégrer les six thèmes. Une commune comptant 150 fournisseurs obtient ainsi une liste gérable de quinze à vingt contrats réellement prioritaires.
La loi sur la cybersécurité concerne bien plus que vos fournisseurs informatiques
De nombreux contenus présentent la loi sur la cybersécurité comme une question d’achats informatiques. Cela néglige une partie de la chaîne. Le devoir de vigilance concerne aussi des fournisseurs que vous ne percevez pas immédiatement comme un cyberrisque. Pensez aux systèmes de gestion technique des bâtiments, au contrôle d’accès par clés numériques, aux capteurs, à la vidéosurveillance et aux prestataires de maintenance ayant accès à votre réseau.
Un système de gestion technique des bâtiments connecté à votre réseau constitue tout autant un point d’entrée qu’un abonnement SaaS. Pourtant, le facility management passe souvent inaperçu, car ces contrats relèvent d’un autre service que les contrats informatiques. C’est précisément pour cela que l’inventaire doit dépasser la liste des licences du responsable informatique. Chaque fournisseur ayant accès aux systèmes ou aux données compte. Pour une organisation pilote qui gère séparément les contrats facilitaires et informatiques, c’est la première faille à combler.
Le véritable problème : avoir une vue d’ensemble de ce que contiennent déjà vos contrats
Retour à votre bureau. Connaître les clauses n’est pas le point de blocage. Le point de blocage, c’est que les engagements sont éparpillés. Les délais de signalement figurent dans un PDF, les droits d’audit dans une annexe, les engagements de continuité nulle part. Un responsable achats qui souhaite savoir quels contrats adapter en premier ne dispose même pas de la donnée la plus simple : lesquels arrivent à échéance et quand.
Tant que cette information reste dans des documents isolés et des fichiers Excel, chaque demande de justification représente des jours de recherche manuelle. Et chaque renouvellement manqué est une occasion perdue d’intégrer les bonnes clauses. Le volet contractuel du devoir de vigilance dépend entièrement de la vue d’ensemble de ce que contiennent déjà vos contrats. Selon WorldCC, PwC et McKinsey, 95 % des organisations n’ont pas une visibilité complète sur leurs propres obligations contractuelles. Ce chiffre devient soudain, sous la Cbw, un risque concret.
Une prise en main du volet contractuel du devoir de vigilance
Une délimitation honnête s’impose ici. GRIP n’est pas un outil de cybersécurité ni de conformité, et ne rend personne conforme à la Cbw. GRIP ne résout pas votre devoir de vigilance. Ce sur quoi GRIP vous donne bien une prise en main, c’est le volet contractuel : quels fournisseurs vous avez, quelles exigences de sécurité et de continuité figurent dans les contrats externalisés et quels engagements restent en suspens.
Dans le Contract Dashboard, vous voyez d’un seul coup d’œil quels fournisseurs sont critiques, quels contrats arrivent à échéance et quand, et quelles actions restent ouvertes. GRIP est certifié ISO 27001 et ISO 9001 et traite les données contractuelles au sein de l’Europe. Rendre des comptes à un RSSI ou à un juriste devient ainsi une question d’ouverture, non de jours de recherche. Pour les établissements de santé et les communes qui doivent pouvoir démontrer dès demain que la chaîne est sous contrôle, c’est la différence entre piloter et courir après.
Questions fréquentes
Qu’est-ce que la loi sur la cybersécurité ?
La Cyberbeveiligingswet (Cbw) est la transposition néerlandaise de la directive européenne NIS2. La loi est entrée en vigueur le 15 août 2026 (Staatsblad 2026, 189) et oblige environ 8 000 à 10 000 organisations à maîtriser de manière démontrable leurs cyberrisques, y compris ceux issus de leur chaîne de fournisseurs.
Existe-t-il une période de transition pour la loi sur la cybersécurité ?
Non, il n’y a pas de période de transition générale. La loi s’applique à partir du 15 août 2026. La seule exception concerne l’enseignement supérieur, qui dispose de trois ans.
Que doit contenir un contrat fournisseur selon la Cbw ?
Les sources juridiques identifient six thèmes : normes de sécurité et certifications, signalement des incidents, droits d’audit, continuité et sortie, responsabilité et mises à jour de sécurité. Ces engagements soutiennent le devoir de vigilance dans votre chaîne.
La loi sur la cybersécurité concerne-t-elle aussi les fournisseurs non informatiques ?
Oui. Les systèmes de gestion technique des bâtiments, le contrôle d’accès, les capteurs et les prestataires de maintenance ayant accès à votre réseau ou à vos données relèvent également du devoir de vigilance. L’inventaire doit être plus large que les seuls contrats informatiques.
Quels contrats dois-je traiter en priorité ?
Classez vos fournisseurs selon la criticité, l’accès, les données et la possibilité de remplacement. Commencez par les fournisseurs critiques disposant d’un accès étendu et difficilement remplaçables, puis, au sein de ce groupe, traitez les contrats qui arrivent à échéance en premier.
GRIP rend-il mon organisation conforme à la Cbw ?
Non. GRIP n’est pas un outil de cybersécurité ni de conformité et ne rend personne conforme à la Cbw. GRIP vous donne une prise en main du volet contractuel du devoir de vigilance : une vue d’ensemble de vos fournisseurs, des engagements figurant dans vos contrats et des actions en suspens.
Comment garder une vue d’ensemble de centaines de contrats existants ?
Tant que les engagements se trouvent dans des PDF isolés et des fichiers Excel, chaque demande de justification représente des jours de recherche. Un tableau de bord contractuel centralisé rend visible quels fournisseurs sont critiques, quels contrats arrivent à échéance et quels engagements restent ouverts.
Vous souhaitez voir comment réunir vos contrats fournisseurs et leurs engagements en suspens en un seul endroit ? Découvrez comment GRIP vous donne une prise en main du volet contractuel du devoir de vigilance et réservez une démo.