La directive NIS2 et la gestion des contrats se rejoignent au moment pr\u00e9cis o\u00f9 cette question atterrit sur votre bureau : parmi nos fournisseurs, lesquels sont critiques, et que pr\u00e9voient ces contrats en mati\u00e8re de s\u00e9curit\u00e9 et de continuit\u00e9 ? La loi n\u00e9erlandaise sur la cybers\u00e9curit\u00e9 (Cyberbeveiligingswet, Cbw) est entr\u00e9e en vigueur le 15 ao\u00fbt 2026, et la r\u00e9ponse se trouve dispers\u00e9e entre des dizaines, voire des centaines de PDF isol\u00e9s, de dossiers partag\u00e9s et dans la m\u00e9moire d’un coll\u00e8gue parti l’an dernier. C’est le volet contractuel du devoir de vigilance, et sans vue d’ensemble centralis\u00e9e, il est impossible d’y r\u00e9pondre de mani\u00e8re structur\u00e9e.<\/p>\n\n\n\n
Cet article approfondit notre pr\u00e9c\u00e9dente publication sur NIS2 et la gestion des contrats<\/a> en y ajoutant l’\u00e9tat actuel de la transposition n\u00e9erlandaise et un focus plus pr\u00e9cis sur ce que vous devez faire d\u00e8s maintenant de votre portefeuille de contrats existants.<\/p>\n\n\n\n La Cyberbeveiligingswet est la transposition n\u00e9erlandaise de la directive europ\u00e9enne NIS2. Si vous recherchez l’un de ces termes, vous visez probablement l’autre. La loi est entr\u00e9e en vigueur le 15 ao\u00fbt 2026 (Staatsblad 2026, 189), sans p\u00e9riode de transition g\u00e9n\u00e9rale. Environ 8 000 \u00e0 10 000 organisations y sont directement soumises. La seule exception : les \u00e9tablissements d’enseignement sup\u00e9rieur, qui disposent de trois ans.<\/p>\n\n\n\n Pour les gestionnaires de contrats et les acheteurs du secteur de la sant\u00e9, des communes et de l’enseignement, il ne s’agit pas d’une annonce, mais d’un fait. L’enregistrement dans le registre des entit\u00e9s via le NCSC est obligatoire. L’obligation de signaler les incidents d\u00e9marre dans les 24 heures. La surveillance d\u00e9pend du secteur et rel\u00e8ve notamment de la RDI, DNB, AFM, IGJ, ILT et NVWA. Il n’existe aucune p\u00e9riode d’adaptation durant laquelle vous pourriez tranquillement mettre de l’ordre dans vos contrats fournisseurs.<\/p>\n\n\n\n Le c\u0153ur de la loi sur la cybers\u00e9curit\u00e9 pour la gestion des contrats r\u00e9side dans la responsabilit\u00e9 de la cha\u00eene. Vous devez ma\u00eetriser de mani\u00e8re d\u00e9montrable les cyberrisques issus de votre cha\u00eene de fournisseurs. \u00ab D\u00e9montrable \u00bb est le mot cl\u00e9. Il ne suffit pas de faire confiance \u00e0 un fournisseur pour croire qu’il a tout en ordre. Vous devez savoir quels fournisseurs vous avez, quelles exigences de s\u00e9curit\u00e9 et de continuit\u00e9 figurent dans les contrats externalis\u00e9s, et quels engagements restent en suspens.<\/p>\n\n\n\n Cela d\u00e9place la question du juridique vers l’op\u00e9rationnel. Un juriste peut r\u00e9diger les clauses qu’un nouveau contrat doit contenir. Mais le devoir de vigilance concerne l’ensemble de votre portefeuille en cours, pas seulement ce que vous signerez \u00e0 partir de demain. Un \u00e9tablissement de sant\u00e9 disposant de 200 contrats externalis\u00e9s ne peut pas attendre que chaque renouvellement se pr\u00e9sente de lui-m\u00eame. Vous devez savoir quels contrats sont critiques et lesquels rouvrir en premier.<\/p>\n\n\n\n Des sources juridiques comme CMS identifient six th\u00e8mes qui doivent figurer dans les contrats fournisseurs afin de soutenir le devoir de vigilance. Traduits dans la pratique contractuelle quotidienne, il s’agit des six suivants.<\/p>\n\n\n\n Savoir quelle clause doit figurer est la partie facile. La partie difficile consiste \u00e0 v\u00e9rifier lesquels de ces six th\u00e8mes sont d\u00e9j\u00e0 r\u00e9gl\u00e9s dans vos contrats existants, et lesquels manquent. Sans cette vue d’ensemble, aucune planification ne tient.<\/p>\n\n\n\n Si vous traitez tous les contrats avec la m\u00eame intensit\u00e9, vous gaspillez des mois sur des fournisseurs qui ne justifient pas ce risque. Ne commencez donc pas par le contrat le plus strict, mais par la classification. R\u00e9partissez vos fournisseurs selon quatre facteurs : quelle est la criticit\u00e9 du service, quel acc\u00e8s le fournisseur a-t-il \u00e0 vos syst\u00e8mes, \u00e0 quelles donn\u00e9es a-t-il acc\u00e8s et avec quelle facilit\u00e9 peut-il \u00eatre remplac\u00e9 ?<\/p>\n\n\n\n Un h\u00e9bergeur qui fait tourner votre processus principal exige un contrat diff\u00e9rent de celui d’un fournisseur qui livre une mise \u00e0 jour logicielle une fois par trimestre. L’ordre est clair : d’abord les fournisseurs critiques avec un acc\u00e8s \u00e9tendu et difficilement rempla\u00e7ables, puis le reste. Au sein de ce groupe, traitez en priorit\u00e9 les contrats qui arrivent \u00e0 \u00e9ch\u00e9ance en premier, car un renouvellement est le moment naturel pour int\u00e9grer les six th\u00e8mes. Une commune comptant 150 fournisseurs obtient ainsi une liste g\u00e9rable de quinze \u00e0 vingt contrats r\u00e9ellement prioritaires.<\/p>\n\n\n\n De nombreux contenus pr\u00e9sentent la loi sur la cybers\u00e9curit\u00e9 comme une question d’achats informatiques. Cela n\u00e9glige une partie de la cha\u00eene. Le devoir de vigilance concerne aussi des fournisseurs que vous ne percevez pas imm\u00e9diatement comme un cyberrisque. Pensez aux syst\u00e8mes de gestion technique des b\u00e2timents, au contr\u00f4le d’acc\u00e8s par cl\u00e9s num\u00e9riques, aux capteurs, \u00e0 la vid\u00e9osurveillance et aux prestataires de maintenance ayant acc\u00e8s \u00e0 votre r\u00e9seau.<\/p>\n\n\n\n Un syst\u00e8me de gestion technique des b\u00e2timents connect\u00e9 \u00e0 votre r\u00e9seau constitue tout autant un point d’entr\u00e9e qu’un abonnement SaaS. Pourtant, le facility management passe souvent inaper\u00e7u, car ces contrats rel\u00e8vent d’un autre service que les contrats informatiques. C’est pr\u00e9cis\u00e9ment pour cela que l’inventaire doit d\u00e9passer la liste des licences du responsable informatique. Chaque fournisseur ayant acc\u00e8s aux syst\u00e8mes ou aux donn\u00e9es compte. Pour une organisation pilote qui g\u00e8re s\u00e9par\u00e9ment les contrats facilitaires et informatiques, c’est la premi\u00e8re faille \u00e0 combler.<\/p>\n\n\n\n Retour \u00e0 votre bureau. Conna\u00eetre les clauses n’est pas le point de blocage. Le point de blocage, c’est que les engagements sont \u00e9parpill\u00e9s. Les d\u00e9lais de signalement figurent dans un PDF, les droits d’audit dans une annexe, les engagements de continuit\u00e9 nulle part. Un responsable achats qui souhaite savoir quels contrats adapter en premier ne dispose m\u00eame pas de la donn\u00e9e la plus simple : lesquels arrivent \u00e0 \u00e9ch\u00e9ance et quand.<\/p>\n\n\n\n Tant que cette information reste dans des documents isol\u00e9s et des fichiers Excel, chaque demande de justification repr\u00e9sente des jours de recherche manuelle. Et chaque renouvellement manqu\u00e9 est une occasion perdue d’int\u00e9grer les bonnes clauses. Le volet contractuel du devoir de vigilance d\u00e9pend enti\u00e8rement de la vue d’ensemble de ce que contiennent d\u00e9j\u00e0 vos contrats. Selon WorldCC, PwC et McKinsey, 95 % des organisations n’ont pas une visibilit\u00e9 compl\u00e8te sur leurs propres obligations contractuelles. Ce chiffre devient soudain, sous la Cbw, un risque concret.<\/p>\n\n\n\n Une d\u00e9limitation honn\u00eate s’impose ici. GRIP n’est pas un outil de cybers\u00e9curit\u00e9 ni de conformit\u00e9, et ne rend personne conforme \u00e0 la Cbw. GRIP ne r\u00e9sout pas votre devoir de vigilance. Ce sur quoi GRIP vous donne bien une prise en main, c’est le volet contractuel : quels fournisseurs vous avez, quelles exigences de s\u00e9curit\u00e9 et de continuit\u00e9 figurent dans les contrats externalis\u00e9s et quels engagements restent en suspens.<\/p>\n\n\n\n Dans le Contract Dashboard<\/a>, vous voyez d’un seul coup d’\u0153il quels fournisseurs sont critiques, quels contrats arrivent \u00e0 \u00e9ch\u00e9ance et quand, et quelles actions restent ouvertes. GRIP est certifi\u00e9 ISO 27001 et ISO 9001 et traite les donn\u00e9es contractuelles au sein de l’Europe. Rendre des comptes \u00e0 un RSSI ou \u00e0 un juriste devient ainsi une question d’ouverture, non de jours de recherche. Pour les \u00e9tablissements de sant\u00e9<\/a> et les communes qui doivent pouvoir d\u00e9montrer d\u00e8s demain que la cha\u00eene est sous contr\u00f4le, c’est la diff\u00e9rence entre piloter et courir apr\u00e8s.<\/p>\n\n\n\n Qu’est-ce que la loi sur la cybers\u00e9curit\u00e9 ?<\/strong> Existe-t-il une p\u00e9riode de transition pour la loi sur la cybers\u00e9curit\u00e9 ?<\/strong> Que doit contenir un contrat fournisseur selon la Cbw ?<\/strong> La loi sur la cybers\u00e9curit\u00e9 concerne-t-elle aussi les fournisseurs non informatiques ?<\/strong> Quels contrats dois-je traiter en priorit\u00e9 ?<\/strong> GRIP rend-il mon organisation conforme \u00e0 la Cbw ?<\/strong> Comment garder une vue d’ensemble de centaines de contrats existants ?<\/strong>La loi sur la cybers\u00e9curit\u00e9 est l\u00e0 : qu’est-ce qui change pour vos contrats fournisseurs ?<\/h2>\n\n\n\n
Que signifie le devoir de vigilance de la loi pour votre cha\u00eene d’approvisionnement ?<\/h2>\n\n\n\n
Quels engagements doit contenir un contrat fournisseur sous la Cbw ?<\/h2>\n\n\n\n
\n
Tous les fournisseurs ne se valent pas : classer selon la criticit\u00e9<\/h2>\n\n\n\n
La loi sur la cybers\u00e9curit\u00e9 concerne bien plus que vos fournisseurs informatiques<\/h2>\n\n\n\n
Le v\u00e9ritable probl\u00e8me : avoir une vue d’ensemble de ce que contiennent d\u00e9j\u00e0 vos contrats<\/h2>\n\n\n\n
Une prise en main du volet contractuel du devoir de vigilance<\/h2>\n\n\n\n
Questions fr\u00e9quentes<\/h2>\n\n\n\n
La Cyberbeveiligingswet (Cbw) est la transposition n\u00e9erlandaise de la directive europ\u00e9enne NIS2. La loi est entr\u00e9e en vigueur le 15 ao\u00fbt 2026 (Staatsblad 2026, 189) et oblige environ 8 000 \u00e0 10 000 organisations \u00e0 ma\u00eetriser de mani\u00e8re d\u00e9montrable leurs cyberrisques, y compris ceux issus de leur cha\u00eene de fournisseurs.<\/p>\n\n\n\n
Non, il n’y a pas de p\u00e9riode de transition g\u00e9n\u00e9rale. La loi s’applique \u00e0 partir du 15 ao\u00fbt 2026. La seule exception concerne l’enseignement sup\u00e9rieur, qui dispose de trois ans.<\/p>\n\n\n\n
Les sources juridiques identifient six th\u00e8mes : normes de s\u00e9curit\u00e9 et certifications, signalement des incidents, droits d’audit, continuit\u00e9 et sortie, responsabilit\u00e9 et mises \u00e0 jour de s\u00e9curit\u00e9. Ces engagements soutiennent le devoir de vigilance dans votre cha\u00eene.<\/p>\n\n\n\n
Oui. Les syst\u00e8mes de gestion technique des b\u00e2timents, le contr\u00f4le d’acc\u00e8s, les capteurs et les prestataires de maintenance ayant acc\u00e8s \u00e0 votre r\u00e9seau ou \u00e0 vos donn\u00e9es rel\u00e8vent \u00e9galement du devoir de vigilance. L’inventaire doit \u00eatre plus large que les seuls contrats informatiques.<\/p>\n\n\n\n
Classez vos fournisseurs selon la criticit\u00e9, l’acc\u00e8s, les donn\u00e9es et la possibilit\u00e9 de remplacement. Commencez par les fournisseurs critiques disposant d’un acc\u00e8s \u00e9tendu et difficilement rempla\u00e7ables, puis, au sein de ce groupe, traitez les contrats qui arrivent \u00e0 \u00e9ch\u00e9ance en premier.<\/p>\n\n\n\n
Non. GRIP n’est pas un outil de cybers\u00e9curit\u00e9 ni de conformit\u00e9 et ne rend personne conforme \u00e0 la Cbw. GRIP vous donne une prise en main du volet contractuel du devoir de vigilance : une vue d’ensemble de vos fournisseurs, des engagements figurant dans vos contrats et des actions en suspens.<\/p>\n\n\n\n
Tant que les engagements se trouvent dans des PDF isol\u00e9s et des fichiers Excel, chaque demande de justification repr\u00e9sente des jours de recherche. Un tableau de bord contractuel centralis\u00e9 rend visible quels fournisseurs sont critiques, quels contrats arrivent \u00e0 \u00e9ch\u00e9ance et quels engagements restent ouverts.<\/p>\n\n\n\n