Les contrats fournisseurs encadrés par la loi sur la cybersécurité sont des contrats dans lesquels vous consignez les exigences de sécurité et de continuité imposées par la loi néerlandaise sur la cybersécurité (la transposition de NIS2 aux Pays-Bas). GRIP est un logiciel de gestion des contrats destiné aux contrats fournisseurs des organisations néerlandaises du secteur de la santé, de l’enseignement et du secteur public. La loi est entrée en vigueur le 15 août 2026, sans délai de transition général. La difficulté ne réside pas dans ce que votre fournisseur doit faire, mais dans ce que vous avez consigné de manière démontrable dans vos contrats. Si vous gérez 300 contrats dans des dossiers et des fichiers Excel, vous ignorez probablement même lesquels contiennent une clause de sécurité.
La loi sur la cybersécurité fait peser la chaîne sur vous, pas sur votre fournisseur
La loi sur la cybersécurité a été publiée au Staatsblad 2026, 189 et s’applique directement à environ 8 000 à 10 000 organisations. L’enregistrement dans le registre des entités via le NCSC est obligatoire à partir du 15 août 2026. Seuls les établissements de l’enseignement supérieur disposent de trois ans. Au-delà, il n’existe aucun délai de transition.
Une idée reçue répandue : la loi n’exige pas que vos fournisseurs relèvent eux-mêmes de la loi ou disposent d’un label. Il n’existe aucun certificat permettant à un fournisseur de démontrer sa conformité à la loi. Le devoir de diligence vous incombe en tant que donneur d’ordre. C’est à vous de maîtriser de manière démontrable les cyberrisques issus de votre chaîne. Cela suppose de savoir quels sont vos fournisseurs, quelles exigences de sécurité et de continuité figurent dans les contrats, et quels accords restent en suspens.
Quelles exigences doivent figurer dans un contrat fournisseur ? Six blocs concrets
Les analyses de sourcing informatique identifient au moins six sujets contractuels à consigner. Traitez-les comme une liste de contrôle, et non comme un texte juridique abstrait.
- Mesures de sécurité. Des exigences concrètes sur la manière dont le fournisseur protège vos données et vos systèmes. Pensez à la gestion des accès, au chiffrement et à la politique de correctifs, et non à un vague renvoi à des mesures appropriées.
- Notification des incidents et délais de signalement. Dans quel délai un fournisseur doit-il signaler un incident affectant votre prestation ? Fixez un délai ferme, en précisant à qui et comment.
- Droit d’audit et demandes de preuves. Le droit de contrôler le respect des exigences et de demander des preuves : rapports, résultats de tests, attestations.
- Sous-traitants. Que votre fournisseur peut-il sous-traiter, à qui, et les mêmes exigences s’appliquent-elles alors tout au long de la chaîne ? Une chaîne vaut ce que vaut son sous-traitant le plus faible.
- Continuité et sortie. Que se passe-t-il en cas de panne, de faillite ou de fin de contrat ? Des accords sur le transfert des données, les sauvegardes et une sortie ordonnée.
- Responsabilité. Qui supporte quel dommage en cas d’incident, et à hauteur de quel montant ?
L’ordre dans lequel vous commencez n’est pas arbitraire. La notification des incidents et les mesures de sécurité sont les premières pertinentes aux yeux d’une autorité de contrôle. Ce sont les blocs que vous mettez en ordre en priorité chez vos fournisseurs les plus critiques.
Chaque fournisseur reçoit-il les mêmes exigences ?
Non. Imposer à tous le même ensemble d’exigences lourdes engendre des coûts et des complications chez les fournisseurs qui portent à peine un risque numérique. Différenciez selon le risque. La question n’est pas de savoir s’il s’agit d’un fournisseur informatique, mais de connaître l’accès dont dispose cette partie à vos données ou à vos systèmes.
- TIC et logiciels : un hébergeur ou un fournisseur SaaS ayant accès à vos systèmes centraux reçoit l’ensemble complet, y compris des délais de signalement stricts et un droit d’audit.
- Services généraux et immobilier : ne concluez pas trop vite qu’il ne s’agit pas d’informatique. Un système de contrôle d’accès, un système de gestion technique du bâtiment (GTB) ou un partenaire d’installation comporte des composants numériques reliés à votre réseau. Ils relèvent de la catégorie critique.
- Domaine social : un prestataire d’aide sociale ou d’aide à la jeunesse traite des données d’usagers. Il s’agit de données sensibles, même sans qu’il s’agisse d’un fournisseur de logiciels.
- Risque faible : un fournisseur sans accès aux données ni aux systèmes reçoit un ensemble allégé. Aucune raison de soumettre un prestataire d’espaces verts au même traitement que votre service cloud.
Commencez donc par classifier avant de rédiger des clauses. Une répartition par risque de votre parc de fournisseurs détermine où consacrer votre temps en priorité.
Une clause dans un PDF ne prouve pas encore le respect des exigences
C’est là que se situe le cœur du problème. Inscrire une clause est une chose, en démontrer le respect en est une autre. Le contrôle dépend du secteur : RDI, DNB, AFM, IGJ, ILT et NVWA surveillent chacun leur propre domaine. Si une telle autorité demande la preuve que vous maîtrisez votre chaîne, un simple renvoi aux clauses des contrats ne suffit pas. Vous devez pouvoir montrer quelles exigences, dans quel contrat, chez quel fournisseur, et quelle preuve reste encore en suspens.
Un dossier rempli de PDF ne le permet pas. Prenons un établissement de santé comptant 15 sites et plus de 200 contrats fournisseurs. Les résultats d’audit se trouvent dans Excel, les accords sur les incidents dans une annexe contractuelle, les demandes de preuves en suspens dans la boîte mail de quelqu’un. Vous devez alors combiner quatre sources avant de pouvoir répondre à une seule question. Démontrer le respect des exigences commence par un indicateur que vous mesurez périodiquement, et non par un contrat plus strict que personne ne retrouve.
Vos contrats en cours : les rouvrir ou recourir à un avenant ?
Comme il n’existe aucun délai de transition, cela concerne aussi les contrats qui se poursuivent encore pendant des années. Rouvrir un contrat dans son intégralité est rarement nécessaire et souvent irréalisable. La voie pratique est un avenant pour vos fournisseurs critiques, dans lequel vous ajoutez ou renforcez les six blocs.
Priorisez selon le risque, et non selon la date d’échéance. Commencez par les fournisseurs ayant accès à vos systèmes centraux ou à des données sensibles. Les nouveaux marchés publics, intégrez-les correctement d’emblée. Incorporez les exigences dans le cahier des charges et modulez leur niveau par lot. Vous éviterez ainsi d’avoir à rédiger de nouveaux avenants dans un an.
De la clause à la vue d’ensemble : garder la maîtrise de centaines de contrats
Sur le tableau de bord des contrats, vous voyez pour chaque contrat quelles exigences il contient, quel fournisseur relève de quelle catégorie de risque, quelle preuve a été fournie et quelles actions restent en suspens. Les accords ne sont ni dans votre tête ni dans Excel, mais à un endroit où vous pouvez les présenter. Pour les établissements de santé, cela se répercute également sur les exigences sectorielles spécifiques liées aux données des usagers.
Soyez honnête sur la limite. GRIP n’est pas un outil de sécurité et ne rend personne conforme à la loi sur la cybersécurité. GRIP résout le volet contractuel du devoir de diligence : savoir quels sont vos fournisseurs, quelles exigences figurent de manière démontrable dans les contrats et quels accords restent en cours. La cybersécurité elle-même demeure le travail de votre service informatique et de vos fournisseurs. GRIP est certifié ISO 27001 et traite les données contractuelles exclusivement en Europe. Cela en fait une base démontrable au service de votre responsabilité sur la chaîne.
Questions fréquentes
Que signifie la loi sur la cybersécurité pour les contrats avec les fournisseurs ? La loi vous oblige à maîtriser de manière démontrable les cyberrisques issus de votre chaîne. Cela se traduit par des exigences concrètes de sécurité et de continuité dans vos contrats fournisseurs, ainsi que par la preuve du respect de ces exigences.
Quelles exigences dois-je intégrer dans mes contrats fournisseurs depuis la loi sur la cybersécurité ? Six blocs : mesures de sécurité, notification des incidents avec délais de signalement, droit d’audit et demandes de preuves, accords sur les sous-traitants, continuité et sortie, et responsabilité.
La loi s’applique-t-elle aussi à mon prestataire de nettoyage ou de maintenance ? C’est possible. Ce n’est pas le secteur qui est déterminant, mais l’accès numérique. Le contrôle d’accès, les systèmes de gestion technique du bâtiment et les partenaires d’installation comportent des composants numériques reliés à votre réseau et entrent alors dans votre évaluation des risques.
Dois-je rouvrir tous mes contrats en cours ? La plupart du temps, non. Pour les fournisseurs critiques, vous recourez à un avenant dans lequel vous ajoutez les blocs requis. Priorisez selon le risque, et non selon la date d’échéance, car il n’existe aucun délai de transition.
Un fournisseur peut-il démontrer qu’il est conforme à la loi sur la cybersécurité ? Il n’existe aucun label ni certificat permettant à un fournisseur de le démontrer. Le devoir de diligence vous incombe en tant que donneur d’ordre. Vous le garantissez par des exigences contractuelles et en demandant des preuves.
Qui contrôle le respect des exigences ? Cela dépend du secteur. RDI, DNB, AFM, IGJ, ILT et NVWA surveillent chacun leur propre domaine. Ils peuvent demander la preuve que vous maîtrisez votre chaîne.
GRIP rend-il mon organisation conforme à la loi sur la cybersécurité ? Non. GRIP n’est pas un outil de sécurité. GRIP vous donne la maîtrise du volet contractuel : quelles exigences figurent dans quel contrat, quelle preuve reste en suspens et quelles actions sont en cours. La cybersécurité elle-même demeure du ressort de votre service informatique et de vos fournisseurs.
Vous souhaitez voir comment présenter, pour chaque contrat, les exigences qu’il contient et les preuves restant en suspens ? Découvrez le tableau de bord des contrats de GRIP ou réservez une démonstration.