Le 15 ao\u00fbt 2026, vous vous \u00eates r\u00e9veill\u00e9 avec une loi d\u00e9j\u00e0 en vigueur. La loi n\u00e9erlandaise sur la cybers\u00e9curit\u00e9 (Cbw, la transposition de NIS2 aux Pays-Bas) est entr\u00e9e en application ce jour-l\u00e0, sans p\u00e9riode de transition g\u00e9n\u00e9rale. Seuls les \u00e9tablissements d’enseignement sup\u00e9rieur ont obtenu un d\u00e9lai de trois ans. Environ 8 000 \u00e0 10 000 organisations sont directement soumises \u00e0 l’obligation, et l’enregistrement dans le registre des entit\u00e9s via le NCSC est obligatoire \u00e0 partir de cette date. Si votre direction vous demande aujourd’hui si vos fournisseurs sont en r\u00e8gle, ce n’est plus une question th\u00e9orique.<\/p>\n\n\n\n
Cet article approfondit un texte pr\u00e9c\u00e9dent consacr\u00e9 \u00e0 NIS2 et la gestion des contrats<\/a>. L’accent se d\u00e9place de \u00ab ce que vous devez faire \u00bb vers \u00ab comment prouver que vous l’avez fait \u00bb. C’est en effet l\u00e0 que la plupart des organisations se retrouvent bloqu\u00e9es : la responsabilit\u00e9 de la cha\u00eene NIS2 n’est pas une question de savoir, mais de savoir de mani\u00e8re d\u00e9montrable.<\/p>\n\n\n\n La responsabilit\u00e9 de la cha\u00eene NIS2 signifie que vous ne devez pas seulement ma\u00eetriser votre propre s\u00e9curit\u00e9, mais aussi g\u00e9rer de mani\u00e8re d\u00e9montrable les cyberrisques issus de votre cha\u00eene de fournisseurs. Vous devez savoir quels sont vos fournisseurs, quelles exigences de s\u00e9curit\u00e9 et de continuit\u00e9 figurent dans les contrats externalis\u00e9s, et quels accords restent en suspens. Il s’agit de d\u00e9montrabilit\u00e9 : pouvez-vous le prouver si une autorit\u00e9 de contr\u00f4le vous le demande ?<\/p>\n\n\n\n Aux Pays-Bas, le contr\u00f4le est r\u00e9parti selon les secteurs. Selon votre organisation, vous aurez affaire au RDI, \u00e0 la DNB, \u00e0 l’AFM, \u00e0 l’IGJ, \u00e0 l’ILT ou \u00e0 la NVWA. La question sous-jacente est la m\u00eame pour chaque autorit\u00e9 de contr\u00f4le. Savez-vous quelles parties ont acc\u00e8s \u00e0 vos syst\u00e8mes et \u00e0 vos processus, et l’avez-vous garanti par contrat ?<\/p>\n\n\n\n Priorisez en fonction de l’acc\u00e8s et de l’impact, non de la valeur du contrat. Une entreprise de nettoyage qui ouvre toutes les serrures la nuit peut repr\u00e9senter un risque plus important qu’un fournisseur de logiciels co\u00fbteux sans acc\u00e8s \u00e0 des donn\u00e9es sensibles. La responsabilit\u00e9 de la cha\u00eene concerne l’acc\u00e8s num\u00e9rique comme l’acc\u00e8s physique.<\/p>\n\n\n\n Les fournisseurs \u00e0 examiner en priorit\u00e9 :<\/p>\n\n\n\n Un responsable des services g\u00e9n\u00e9raux ayant externalis\u00e9 le nettoyage, la s\u00e9curit\u00e9 et la technique a le plus de travail \u00e0 ce sujet. L’acc\u00e8s physique rel\u00e8ve en effet lui aussi de la responsabilit\u00e9 de la cha\u00eene, et cette prise de conscience arrive tardivement dans de nombreuses organisations. Commencez par une courte liste de fournisseurs critiques, puis \u00e9largissez ensuite. R\u00e9examiner les 200 contrats en m\u00eame temps ne fonctionne pas.<\/p>\n\n\n\n Un contrat qui ne r\u00e8gle que le prix et la prestation ne suffit pas au regard de la responsabilit\u00e9 de la cha\u00eene NIS2. Six \u00e9l\u00e9ments doivent \u00eatre consign\u00e9s concr\u00e8tement pour chaque fournisseur critique :<\/p>\n\n\n\n Le pi\u00e8ge r\u00e9side dans le temps. Les clauses de s\u00e9curit\u00e9 convenues en 2021 ne figurent pas automatiquement dans le contrat prolong\u00e9 ou r\u00e9vis\u00e9 de 2026. Lors d’un appel d’offres ou d’un renouvellement, vous devez v\u00e9rifier activement si ces exigences sont toujours pr\u00e9sentes et actualis\u00e9es.<\/p>\n\n\n\n Prenons un gestionnaire de contrats dans un \u00e9tablissement de sant\u00e9 avec 200 contrats en cours. Les contrats sont r\u00e9partis entre un fichier Excel, un syst\u00e8me de gestion documentaire et la bo\u00eete mail d’un coll\u00e8gue d\u00e9sormais parti. La question \u00ab lesquels de ces contrats comportent en r\u00e9alit\u00e9 une obligation de notification des incidents ? \u00bb ne peut pas trouver de r\u00e9ponse en cinq minutes. Cela devient un travail manuel, \u00e0 recommencer chaque fois.<\/p>\n\n\n\n C’est pr\u00e9cis\u00e9ment l’\u00e9cart entre savoir et savoir de mani\u00e8re d\u00e9montrable. La plupart des organisations pensent conna\u00eetre leurs fournisseurs. Mais d\u00e8s qu’une autorit\u00e9 de contr\u00f4le demande un aper\u00e7u actualis\u00e9 des fournisseurs, des exigences contractuelles et des actions en suspens, la recherche commence dans quatre ou cinq sources. Le temps d’avoir une vue compl\u00e8te, la question est d\u00e9j\u00e0 d\u00e9pass\u00e9e.<\/p>\n\n\n\n Un point important \u00e0 clarifier : GRIP ne rend personne conforme \u00e0 NIS2. GRIP n’est ni un outil de cybers\u00e9curit\u00e9 ni un syst\u00e8me de conformit\u00e9. NIS2 touche \u00e0 la technique, aux processus, \u00e0 la gouvernance et bien plus encore. GRIP prend en charge une partie pr\u00e9cise : le volet contractuel du devoir de diligence.<\/p>\n\n\n\nQue signifie concr\u00e8tement la responsabilit\u00e9 de la cha\u00eene NIS2 ?<\/h2>\n\n\n\n
Quels fournisseurs devez-vous r\u00e9ellement \u00e9valuer d\u00e8s maintenant ?<\/h2>\n\n\n\n
\n
Quelles exigences doivent figurer de mani\u00e8re d\u00e9montrable dans le contrat ?<\/h2>\n\n\n\n
\n
Le vrai probl\u00e8me : vous le savez, mais pouvez-vous le prouver ?<\/h2>\n\n\n\n
Ma\u00eetriser le volet contractuel de votre devoir de diligence<\/h2>\n\n\n\n