L’inspecteur vous appelle et vous demande quel d\u00e9lai de notification d’incident figure dans votre contrat d’h\u00e9bergement informatique. Pouvez-vous le montrer en moins d’une minute ? Ou commence alors la recherche dans les dossiers, les \u00e9changes de courriels et un vieux fichier Excel ? Depuis la loi n\u00e9erlandaise sur la cybers\u00e9curit\u00e9, prouver le respect des engagements contractuels n’est plus un luxe administratif, mais pr\u00e9cis\u00e9ment ce que le contr\u00f4le exige.<\/p>\n\n\n\n
Prouver le respect des engagements contractuels signifie : pouvoir montrer \u00e0 tout moment quelles exigences figurent dans vos contrats, qui en est le responsable et comment le suivi s’est d\u00e9roul\u00e9. Non pas au moyen d’une d\u00e9claration, mais avec des preuves consign\u00e9es. Depuis le 15 ao\u00fbt 2026, la loi n\u00e9erlandaise sur la cybers\u00e9curit\u00e9 (Cbw, la transposition n\u00e9erlandaise de NIS2) est en vigueur. Entre 8 000 et 10 000 organisations y sont directement soumises. Le contr\u00f4le d\u00e9pend du secteur : RDI, IGJ, DNB et ILT examinent chacun leur propre domaine. Et ils ne demandent pas une d\u00e9claration attestant votre conformit\u00e9. Ils demandent des preuves.<\/p>\n\n\n\n
Cocher une case est bien diff\u00e9rent de prouver le respect des engagements contractuels sur votre volet contractuel. Auparavant, on pouvait souvent s’en tirer avec un document de politique et de bonnes intentions. Cela ne fonctionne plus. Un organisme de contr\u00f4le veut voir que les exigences de s\u00e9curit\u00e9 et de continuit\u00e9 que vous imposez \u00e0 vos prestataires figurent r\u00e9ellement dans vos contrats.<\/p>\n\n\n\n
La diff\u00e9rence est fondamentale. Une d\u00e9claration dit : nous faisons ceci. La d\u00e9monstration montre : voici l’engagement, voici le responsable, voici la date, et voici comment le suivi s’est d\u00e9roul\u00e9. L’enseignement sup\u00e9rieur est le seul secteur \u00e0 b\u00e9n\u00e9ficier de trois ans de transition. Pour le secteur de la sant\u00e9, les collectivit\u00e9s et la plupart des autres organisations, l’obligation s’applique imm\u00e9diatement.<\/p>\n\n\n\n
Selon WorldCC, PwC et McKinsey, 95 pour cent des organisations n’ont pas une vision compl\u00e8te de leurs propres obligations contractuelles. Ce chiffre a longtemps sonn\u00e9 comme un probl\u00e8me d’efficacit\u00e9. Sous la Cbw, c’est un probl\u00e8me de conformit\u00e9 : ce que vous ne pouvez pas montrer ne compte pas.<\/p>\n\n\n\n
La question para\u00eet simple : d\u00e9montrez que vous ma\u00eetrisez votre cha\u00eene de prestataires. Dans la pratique, cette question se d\u00e9cline en plusieurs sous-questions auxquelles vous devez pouvoir r\u00e9pondre \u00e0 tout moment pour prouver le respect des engagements contractuels.<\/p>\n\n\n\n
Un inspecteur de l’IGJ dans le secteur de la sant\u00e9 porte un regard diff\u00e9rent de celui de l’ILT, mais l’exigence sous-jacente est identique : des preuves, pas des promesses. Un responsable de contrats dans un \u00e9tablissement de sant\u00e9 disposant de 80 contrats de prestataires ne peut pas r\u00e9pondre \u00e0 ces questions avec un lecteur partag\u00e9. Non pas parce que les engagements manquent, mais parce qu’ils ne sont consign\u00e9s nulle part de mani\u00e8re tra\u00e7able.<\/p>\n\n\n\n
Sans vue d’ensemble centralis\u00e9e, la d\u00e9monstration bute presque toujours aux trois m\u00eames endroits. Si vous en reconnaissez un, les deux autres sont probablement en jeu \u00e9galement.<\/p>\n\n\n\n
La cons\u00e9quence : lorsque l’inspection appelle, une recherche de plusieurs jours commence au lieu d’une r\u00e9ponse de quelques minutes. C’est pr\u00e9cis\u00e9ment la diff\u00e9rence entre pouvoir prouver et ne pas pouvoir. Pour l’organisation de pilotage qui g\u00e8re des prestataires plut\u00f4t que d’ex\u00e9cuter elle-m\u00eame, cette diff\u00e9rence est d\u00e9cisive.<\/p>\n\n\n\n
Une piste d’audit consigne qui a fait quoi et quand. Quel engagement \u00e9tait en suspens, qui en \u00e9tait le responsable, quelle modification a \u00e9t\u00e9 apport\u00e9e et \u00e0 quelle date. Ce n’est pas une charge inutile, ce sont vos preuves. D\u00e9montrer le respect commence ici : par l’historique que vous pouvez montrer \u00e0 tout moment.<\/p>\n\n\n\n
Prenons le responsable des achats d’une collectivit\u00e9 comptant des dizaines de prestataires dans le domaine social. Si un prestataire n’atteint pas l’exigence de continuit\u00e9, la question est de savoir si vous pouvez d\u00e9montrer que vous l’avez pilot\u00e9 : quand vous avez rep\u00e9r\u00e9 le probl\u00e8me, ce que vous avez convenu, et comment le prestataire a assur\u00e9 le suivi. Sans historique consign\u00e9, c’est parole contre parole. Avec une piste d’audit, c’est un fait \u00e9tabli.<\/p>\n\n\n\n
Ici, un peu d’honn\u00eatet\u00e9 s’impose. GRIP n’est pas un outil de cybers\u00e9curit\u00e9 et ne rend personne \u00ab conforme \u00e0 la Cbw \u00bb. Aucun syst\u00e8me de gestion des contrats ne le peut. Ce que GRIP fait en revanche : vous permettre de ma\u00eetriser le volet contractuel de votre devoir de diligence. La Cbw oblige les organisations \u00e0 ma\u00eetriser de mani\u00e8re d\u00e9montrable les cyberrisques issus de la cha\u00eene de prestataires. Cela suppose de savoir quels prestataires vous avez, quelles exigences figurent dans les contrats et quels engagements sont en suspens.<\/p>\n\n\n\n
Cette d\u00e9limitation n’est pas une faiblesse, c’est justement l’essentiel. L’inscription au registre des entit\u00e9s aupr\u00e8s du NCSC, vous la g\u00e9rez vous-m\u00eame. Votre s\u00e9curit\u00e9 technique, vous la g\u00e9rez avec votre service informatique. Mais la question \u00ab puis-je montrer quelles exigences figurent dans mes contrats et comment je les ai pilot\u00e9es \u00bb trouve sa r\u00e9ponse sur le volet contractuel. C’est l\u00e0 que tout commence, et c’est l\u00e0 aussi que tout bute sans vue d’ensemble centralis\u00e9e. Cela ne concerne pas seulement les contrats informatiques, mais \u00e9galement les services externalis\u00e9s dans le secteur de la sant\u00e9<\/a> tels que la restauration, la s\u00e9curit\u00e9 et la gestion technique.<\/p>\n\n\n\n De nombreuses organisations dans les secteurs de la sant\u00e9 et de l’enseignement sont d\u00e9j\u00e0 certifi\u00e9es ISO 27001 ou ISO 9001. Pourtant, le dossier contractuel vit souvent dans un fichier Excel distinct, s\u00e9par\u00e9 du syst\u00e8me de gestion de la qualit\u00e9. Lors de l’audit, cela signifie un double travail : tout rassembler manuellement et esp\u00e9rer ne rien oublier.<\/p>\n\n\n\n Il est pr\u00e9f\u00e9rable de rattacher le respect des contrats \u00e0 votre gouvernance existante. Un syst\u00e8me de preuve unique dans lequel convergent engagements, responsables, modifications et suivi s’articule avec ce que votre certification exige d\u00e9j\u00e0. GRIP est lui-m\u00eame certifi\u00e9 ISO 27001 et ISO 9001 et traite les donn\u00e9es contractuelles exclusivement sur des plateformes europ\u00e9ennes, sous le droit europ\u00e9en.<\/p>\n\n\n\nComment le respect des contrats s’articule-t-il avec ISO 9001 et 27001 ?<\/h2>\n\n\n\n
Comment prouver le respect avec un tableau de bord des contrats centralis\u00e9<\/h2>\n\n\n\n