Il est 16h00 et une question arrive de la part de l’autorité de contrôle : montrez quels engagements de sécurité conclus avec votre prestataire informatique sont actuellement en cours, et depuis quand. Vous savez que le SLA se trouve quelque part. Dans quel dossier, dans quelle version, et si cet engagement a déjà été vérifié, vous ne le savez plus avec certitude. Prouver le respect des engagements contractuels signifie exactement cela : pouvoir montrer à tout moment quel engagement s’applique, quel est son statut et quelles preuves l’accompagnent.
La différence entre posséder des données et disposer d’une maîtrise démontrable est plus grande qu’il n’y paraît. Des données, vous en avez : dans trois dossiers, deux fichiers Excel et une boîte mail. Vous disposez d’une maîtrise démontrable seulement lorsqu’une source unique vous montre en cinq minutes ce qui reste en suspens et qui s’en occupe. Depuis l’entrée en vigueur de la loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet) le 15 août 2026, cette différence n’est plus une affaire interne, mais un contrôle externe.
Pourquoi « nous avons tout en ordre » ne suffit plus
La Cyberbeveiligingswet (Cbw), la transposition néerlandaise de la directive NIS2, est entrée en vigueur le 15 août 2026 sans délai de transition général (Staatsblad 2026, 189). Seul l’enseignement supérieur a bénéficié de trois ans. Environ 8 000 à 10 000 organisations sont directement concernées, avec une obligation d’enregistrement dans le registre des entités via le NCSC.
Pour les responsables des contrats, un élément est pertinent : la responsabilité de la chaîne. Vous devez démontrer que vous maîtrisez les cyberrisques provenant de votre chaîne de prestataires. Cela suppose de savoir quels prestataires vous avez, quelles exigences de sécurité et de continuité figurent dans les contrats externalisés, et quels engagements restent en suspens. La question passe de « ai-je une vue d’ensemble en interne ? » à « que puis-je présenter si l’autorité de contrôle frappe à ma porte demain ? »
Ce que votre autorité de contrôle veut réellement voir
L’identité de l’autorité de contrôle dépend de votre secteur. Les établissements de santé relèvent de l’IGJ, dans le secteur public le RDI et l’ILT jouent notamment un rôle, aux côtés de la DNB, de l’AFM et de la NVWA pour d’autres secteurs. Leur point commun : elles ne veulent pas une pile de documents, elles veulent de la traçabilité.
Une autorité de contrôle demande rarement si vous disposez d’un contrat. Elle demande si vous pouvez montrer quel engagement s’applique, quel est son statut, quelles preuves l’accompagnent et depuis quand. Un dossier de fichiers PDF ne répond pas à cette question. Un aperçu qui montre, par engagement, que la mesure a été effectuée, qu’un écart a été constaté et qu’une action est en cours, oui. Démontrable n’est pas synonyme de documenté.
Le problème des dossiers épars et d’Excel comme preuve
Excel et les dossiers partagés fonctionnent jusqu’au moment où quelqu’un pose une question. La faiblesse apparaît alors : pas de gestion des versions, pas de propriété claire, aucune certitude que vous présentez la dernière vérité. Prenez une commune avec des dizaines de contrats de prestataires contenant des exigences de sécurité. Les rapports se trouvent en partie dans la boîte mail, en partie dans le FMIS, en partie dans un dossier partagé. Qui a modifié quelle exigence et quand, cela reste introuvable.
Des données fragmentées ne constituent pas une preuve. Vous pouvez combiner quatre à cinq sources et obtenir une image après une demi-journée, mais vous ne pouvez pas garantir qu’elle est exacte. Le contrôle repose précisément sur cette garantie. La leçon : le problème ne se résout pas avec une structure de dossiers plus stricte, mais avec une source unique qui enregistre elle-même ce qui se passe.
L’ensemble minimal de preuves par engagement contractuel
Pour chaque engagement contractuel, vous avez besoin de six éléments afin de rendre quelque chose démontrable :
- L’engagement lui-même, avec une référence au contrat et à la version
- La norme ou le KPI qui y est lié
- La mesure ou la vérification qui a été réalisée
- L’enregistrement d’un éventuel écart
- L’action qui en découle, avec un responsable
- Le statut actuel, avec une date
Pour un SLA informatique avec des exigences de continuité, cela signifie : l’exigence de 99,9 % de disponibilité, le rapport mensuel qui la vérifie, l’enregistrement d’un incident en mars, l’action menée auprès du prestataire et le statut « résolu au 12 avril ». Pour un service de nettoyage externalisé, c’est la même logique avec une mesure DKS comme vérification. La structure est identique, quel que soit le type de contrat.
Une source unique avec une piste d’audit complète
Une piste d’audit est le mécanisme qui rend la preuve traçable. Elle enregistre qui a modifié quoi et quand, qui disposait de quelle autorisation et depuis quand un engagement reste en suspens. C’est la différence entre « je pense que c’est la dernière version » et « voici la dernière version, modifiée à cette date par cette personne ».
Dans le Contract Dashboard de GRIP, vous voyez directement les engagements en suspens et les exigences expirées, avec leur historique. L’enregistrement reste dans votre ERP ou FMIS existant. La gestion et la mise en preuve, vous les réalisez dans GRIP. Ainsi, face à une question d’audit, vous n’avez pas à chercher, mais à montrer. Selon notre propre référentiel, cela permet d’économiser jusqu’à 30 % sur l’administration des contrats, à condition de mettre en place un processus conforme.
Ce que GRIP fait et ne fait pas
Soyons honnêtes : GRIP ne rend personne conforme à la Cbw. GRIP est un logiciel de gestion des contrats destiné aux contrats de prestataires des organisations néerlandaises dans les secteurs de la santé, de l’enseignement et du secteur public, et non un outil de cybersécurité ou de conformité. Ce que GRIP fait, en revanche, c’est vous donner la maîtrise du volet contractuel de votre devoir de vigilance : quels prestataires vous avez, quelles exigences figurent dans les contrats externalisés et quels engagements restent en suspens. C’est la couche qui manque à la plupart des organisations, et en même temps la première que réclame une autorité de contrôle.
Le fait que GRIP soit lui-même certifié ISO 27001 (numéro de certificat NL-2596.1.1) et traite les données contractuelles exclusivement en Europe facilite cette justification. Mais l’essentiel de la valeur réside dans la traçabilité : une source unique où l’ensemble des preuves par engagement est complet et à jour.
Questions fréquentes
Que signifie exactement « prouver le respect des engagements contractuels » ?
Cela signifie que vous pouvez montrer à tout moment quel engagement s’applique, quel est son statut, quelles preuves l’accompagnent et depuis quand. Disposer de documentation ne suffit pas. La traçabilité, avec un historique et une propriété claire, est ce qu’une autorité de contrôle exige.
Qui est mon autorité de contrôle au titre de la Cyberbeveiligingswet ?
Cela dépend du secteur. Pour la santé, il s’agit de l’IGJ ; dans le secteur public, le RDI et l’ILT jouent notamment un rôle, aux côtés de la DNB, de l’AFM et de la NVWA pour d’autres secteurs. Le contrôle est actif depuis le 15 août 2026.
Quand la Cyberbeveiligingswet est-elle entrée en vigueur ?
Le 15 août 2026, sans délai de transition général (Staatsblad 2026, 189). Seuls les établissements de l’enseignement supérieur ont bénéficié de trois ans. Environ 8 000 à 10 000 organisations sont directement concernées.
Pourquoi les dossiers et Excel ne suffisent-ils pas comme preuve ?
Ils n’offrent ni gestion des versions, ni propriété claire, ni certitude que vous présentez la dernière version. Face à une question d’audit, vous passez des heures à combiner des informations issues de mails, de dossiers et de fichiers Excel, sans garantie d’exactitude.
Que doit contenir au minimum l’ensemble de preuves par engagement ?
Six éléments : l’engagement lui-même, la norme ou le KPI, la mesure, l’enregistrement de l’écart, l’action avec un responsable et le statut actuel avec une date. Cette structure fonctionne pour les SLA informatiques comme pour les services externalisés.
GRIP rend-il mon organisation conforme à NIS2 ou à la Cbw ?
Non. GRIP n’est pas un outil de cybersécurité ou de conformité et ne rend personne conforme. GRIP vous donne la maîtrise du volet contractuel du devoir de vigilance : quels prestataires, quelles exigences dans les contrats et quels engagements restent en suspens.
Qu’est-ce qu’une piste d’audit dans la gestion des contrats ?
Une piste d’audit enregistre qui a modifié quoi et quand, et quelle autorisation y était associée. Vous savez ainsi avec certitude quelle version s’applique et depuis quand un engagement reste en suspens. Cela rend la preuve traçable.
Vous souhaitez passer de la recherche à la démonstration ? Découvrez comment le Contract Dashboard réunit les engagements en suspens et les preuves en un seul endroit, et réservez une démonstration de GRIP.