L’inspecteur vous appelle et vous demande quel délai de notification d’incident figure dans votre contrat d’hébergement informatique. Pouvez-vous le montrer en moins d’une minute ? Ou commence alors la recherche dans les dossiers, les échanges de courriels et un vieux fichier Excel ? Depuis la loi néerlandaise sur la cybersécurité, prouver le respect des engagements contractuels n’est plus un luxe administratif, mais précisément ce que le contrôle exige.
Prouver le respect des engagements contractuels signifie : pouvoir montrer à tout moment quelles exigences figurent dans vos contrats, qui en est le responsable et comment le suivi s’est déroulé. Non pas au moyen d’une déclaration, mais avec des preuves consignées. Depuis le 15 août 2026, la loi néerlandaise sur la cybersécurité (Cbw, la transposition néerlandaise de NIS2) est en vigueur. Entre 8 000 et 10 000 organisations y sont directement soumises. Le contrôle dépend du secteur : RDI, IGJ, DNB et ILT examinent chacun leur propre domaine. Et ils ne demandent pas une déclaration attestant votre conformité. Ils demandent des preuves.
Pourquoi « nous y sommes conformes » ne suffit plus
Cocher une case est bien différent de prouver le respect des engagements contractuels sur votre volet contractuel. Auparavant, on pouvait souvent s’en tirer avec un document de politique et de bonnes intentions. Cela ne fonctionne plus. Un organisme de contrôle veut voir que les exigences de sécurité et de continuité que vous imposez à vos prestataires figurent réellement dans vos contrats.
La différence est fondamentale. Une déclaration dit : nous faisons ceci. La démonstration montre : voici l’engagement, voici le responsable, voici la date, et voici comment le suivi s’est déroulé. L’enseignement supérieur est le seul secteur à bénéficier de trois ans de transition. Pour le secteur de la santé, les collectivités et la plupart des autres organisations, l’obligation s’applique immédiatement.
Selon WorldCC, PwC et McKinsey, 95 pour cent des organisations n’ont pas une vision complète de leurs propres obligations contractuelles. Ce chiffre a longtemps sonné comme un problème d’efficacité. Sous la Cbw, c’est un problème de conformité : ce que vous ne pouvez pas montrer ne compte pas.
Que vous demande concrètement un organisme de contrôle ?
La question paraît simple : démontrez que vous maîtrisez votre chaîne de prestataires. Dans la pratique, cette question se décline en plusieurs sous-questions auxquelles vous devez pouvoir répondre à tout moment pour prouver le respect des engagements contractuels.
- Quels contrats externalisés avez-vous, et quels prestataires figurent dans votre chaîne ?
- Quelles exigences de sécurité et de continuité figurent dans ces contrats ?
- Quels engagements sont actuellement en suspens, et qui en est le responsable ?
- Comment s’est déroulé le suivi : quand une relance a-t-elle été faite, qu’est-ce qui a été modifié, qu’est-ce qui a été finalisé ?
Un inspecteur de l’IGJ dans le secteur de la santé porte un regard différent de celui de l’ILT, mais l’exigence sous-jacente est identique : des preuves, pas des promesses. Un responsable de contrats dans un établissement de santé disposant de 80 contrats de prestataires ne peut pas répondre à ces questions avec un lecteur partagé. Non pas parce que les engagements manquent, mais parce qu’ils ne sont consignés nulle part de manière traçable.
Où la démonstration bute-t-elle dans la pratique ?
Sans vue d’ensemble centralisée, la démonstration bute presque toujours aux trois mêmes endroits. Si vous en reconnaissez un, les deux autres sont probablement en jeu également.
- Des contrats dans des dossiers. Répartis sur des lecteurs réseau, SharePoint et des boîtes mail. Personne ne sait avec certitude si l’image est complète.
- Des engagements dans les têtes. Le délai de notification d’incident, la clause d’indexation, la clause de continuité. Un jour évoqués, rarement consignés à un endroit repérable.
- Un suivi dans la mémoire de personne. Un engagement a été pris, mais savoir s’il a été respecté et qui l’a piloté est impossible à reconstituer.
La conséquence : lorsque l’inspection appelle, une recherche de plusieurs jours commence au lieu d’une réponse de quelques minutes. C’est précisément la différence entre pouvoir prouver et ne pas pouvoir. Pour l’organisation de pilotage qui gère des prestataires plutôt que d’exécuter elle-même, cette différence est décisive.
De l’engagement à la preuve : le rôle d’une piste d’audit
Une piste d’audit consigne qui a fait quoi et quand. Quel engagement était en suspens, qui en était le responsable, quelle modification a été apportée et à quelle date. Ce n’est pas une charge inutile, ce sont vos preuves. Démontrer le respect commence ici : par l’historique que vous pouvez montrer à tout moment.
Prenons le responsable des achats d’une collectivité comptant des dizaines de prestataires dans le domaine social. Si un prestataire n’atteint pas l’exigence de continuité, la question est de savoir si vous pouvez démontrer que vous l’avez piloté : quand vous avez repéré le problème, ce que vous avez convenu, et comment le prestataire a assuré le suivi. Sans historique consigné, c’est parole contre parole. Avec une piste d’audit, c’est un fait établi.
Responsabilité de la chaîne : maîtriser le volet contractuel de votre devoir de diligence
Ici, un peu d’honnêteté s’impose. GRIP n’est pas un outil de cybersécurité et ne rend personne « conforme à la Cbw ». Aucun système de gestion des contrats ne le peut. Ce que GRIP fait en revanche : vous permettre de maîtriser le volet contractuel de votre devoir de diligence. La Cbw oblige les organisations à maîtriser de manière démontrable les cyberrisques issus de la chaîne de prestataires. Cela suppose de savoir quels prestataires vous avez, quelles exigences figurent dans les contrats et quels engagements sont en suspens.
Cette délimitation n’est pas une faiblesse, c’est justement l’essentiel. L’inscription au registre des entités auprès du NCSC, vous la gérez vous-même. Votre sécurité technique, vous la gérez avec votre service informatique. Mais la question « puis-je montrer quelles exigences figurent dans mes contrats et comment je les ai pilotées » trouve sa réponse sur le volet contractuel. C’est là que tout commence, et c’est là aussi que tout bute sans vue d’ensemble centralisée. Cela ne concerne pas seulement les contrats informatiques, mais également les services externalisés dans le secteur de la santé tels que la restauration, la sécurité et la gestion technique.
Comment le respect des contrats s’articule-t-il avec ISO 9001 et 27001 ?
De nombreuses organisations dans les secteurs de la santé et de l’enseignement sont déjà certifiées ISO 27001 ou ISO 9001. Pourtant, le dossier contractuel vit souvent dans un fichier Excel distinct, séparé du système de gestion de la qualité. Lors de l’audit, cela signifie un double travail : tout rassembler manuellement et espérer ne rien oublier.
Il est préférable de rattacher le respect des contrats à votre gouvernance existante. Un système de preuve unique dans lequel convergent engagements, responsables, modifications et suivi s’articule avec ce que votre certification exige déjà. GRIP est lui-même certifié ISO 27001 et ISO 9001 et traite les données contractuelles exclusivement sur des plateformes européennes, sous le droit européen.
Comment prouver le respect avec un tableau de bord des contrats centralisé
La solution ne commence pas par un contrat plus strict ou un document de politique supplémentaire. Elle commence par un endroit unique où convergent contrats, engagements, responsables et suivi, avec un historique que vous pouvez montrer à tout moment. L’enregistrement reste dans votre ERP ou votre FMIS. La gestion et la démonstration du respect des engagements contractuels se font dans un tableau de bord des contrats centralisé.
Pour le responsable de la gestion des installations d’une école supérieure, cela signifie : lors de l’audit, une source unique au lieu d’une recherche manuelle. Pour le responsable de contrats dans le secteur de la santé : le délai de notification d’incident issu du contrat d’hébergement affiché à l’écran en une minute. Réservez une démonstration de GRIP et passez en revue votre propre situation contractuelle.
Questions fréquentes
Que signifie prouver le respect des engagements contractuels ?
Cela signifie que vous pouvez montrer à tout moment quels engagements figurent dans vos contrats, qui en est le responsable, et comment le suivi s’est déroulé. Non pas au moyen d’une déclaration, mais avec des preuves consignées : qui a fait quoi, quand, et quel engagement était en suspens.
Que veut voir concrètement un organisme de contrôle sous la loi sur la cybersécurité ?
Une vue d’ensemble de vos contrats externalisés, des exigences de sécurité et de continuité qui y figurent, des engagements en suspens, et de l’historique du suivi. Le contrôle dépend du secteur, avec notamment RDI, IGJ, DNB et ILT.
GRIP rend-il mon organisation conforme à la Cbw ?
Non. GRIP n’est pas un outil de cybersécurité ni de conformité et ne rend personne conforme. GRIP vous permet de maîtriser le volet contractuel de votre devoir de diligence : quels prestataires vous avez, quelles exigences figurent dans les contrats et quels engagements sont en suspens.
Qu’est-ce qu’une piste d’audit en gestion des contrats ?
Une piste d’audit consigne qui a effectué quelle modification ou action et à quel moment. Vous pouvez ainsi retracer à tout moment quel engagement était en suspens, qui en était le responsable et comment le suivi s’est déroulé. Ce sont vos preuves face à un organisme de contrôle.
Comment le respect des contrats s’articule-t-il avec ma certification ISO ?
En rattachant les engagements contractuels, les responsables et le suivi à votre système de gestion de la qualité existant plutôt que de tenir un fichier Excel distinct à côté. Vous travaillez ainsi avec un système de preuve unique qui s’articule avec la gouvernance qu’ISO 9001 et ISO 27001 exigent déjà.
Existe-t-il un délai de transition pour la loi sur la cybersécurité ?
La loi est en vigueur depuis le 15 août 2026, sans délai de transition général. La seule exception est l’enseignement supérieur, qui bénéficie de trois ans. Pour le secteur de la santé, les collectivités et la plupart des autres organisations, l’obligation s’applique immédiatement.
Que se passe-t-il sans un tableau de bord des contrats centralisé ?
Les contrats sont dispersés dans des dossiers, les engagements sont dans les têtes et le suivi n’est pas consigné. Lorsque l’inspection appelle, cela devient une recherche de plusieurs jours au lieu d’une réponse de quelques minutes.