Il est 16h00 et une question arrive de la part de l’autorit\u00e9 de contr\u00f4le : montrez quels engagements de s\u00e9curit\u00e9 conclus avec votre prestataire informatique sont actuellement en cours, et depuis quand. Vous savez que le SLA se trouve quelque part. Dans quel dossier, dans quelle version, et si cet engagement a d\u00e9j\u00e0 \u00e9t\u00e9 v\u00e9rifi\u00e9, vous ne le savez plus avec certitude. Prouver le respect des engagements contractuels signifie exactement cela : pouvoir montrer \u00e0 tout moment quel engagement s’applique, quel est son statut et quelles preuves l’accompagnent.<\/p>\n\n\n\n
La diff\u00e9rence entre poss\u00e9der des donn\u00e9es et disposer d’une ma\u00eetrise d\u00e9montrable est plus grande qu’il n’y para\u00eet. Des donn\u00e9es, vous en avez : dans trois dossiers, deux fichiers Excel et une bo\u00eete mail. Vous disposez d’une ma\u00eetrise d\u00e9montrable seulement lorsqu’une source unique vous montre en cinq minutes ce qui reste en suspens et qui s’en occupe. Depuis l’entr\u00e9e en vigueur de la loi n\u00e9erlandaise sur la cybers\u00e9curit\u00e9 (Cyberbeveiligingswet) le 15 ao\u00fbt 2026, cette diff\u00e9rence n’est plus une affaire interne, mais un contr\u00f4le externe.<\/p>\n\n\n\n
La Cyberbeveiligingswet (Cbw), la transposition n\u00e9erlandaise de la directive NIS2, est entr\u00e9e en vigueur le 15 ao\u00fbt 2026 sans d\u00e9lai de transition g\u00e9n\u00e9ral (Staatsblad 2026, 189). Seul l’enseignement sup\u00e9rieur a b\u00e9n\u00e9fici\u00e9 de trois ans. Environ 8 000 \u00e0 10 000 organisations sont directement concern\u00e9es, avec une obligation d’enregistrement dans le registre des entit\u00e9s via le NCSC.<\/p>\n\n\n\n
Pour les responsables des contrats, un \u00e9l\u00e9ment est pertinent : la responsabilit\u00e9 de la cha\u00eene. Vous devez d\u00e9montrer que vous ma\u00eetrisez les cyberrisques provenant de votre cha\u00eene de prestataires. Cela suppose de savoir quels prestataires vous avez, quelles exigences de s\u00e9curit\u00e9 et de continuit\u00e9 figurent dans les contrats externalis\u00e9s, et quels engagements restent en suspens. La question passe de \u00ab ai-je une vue d’ensemble en interne ? \u00bb \u00e0 \u00ab que puis-je pr\u00e9senter si l’autorit\u00e9 de contr\u00f4le frappe \u00e0 ma porte demain ? \u00bb<\/p>\n\n\n\n
L’identit\u00e9 de l’autorit\u00e9 de contr\u00f4le d\u00e9pend de votre secteur. Les \u00e9tablissements de sant\u00e9 rel\u00e8vent de l’IGJ, dans le secteur public le RDI et l’ILT jouent notamment un r\u00f4le, aux c\u00f4t\u00e9s de la DNB, de l’AFM et de la NVWA pour d’autres secteurs. Leur point commun : elles ne veulent pas une pile de documents, elles veulent de la tra\u00e7abilit\u00e9.<\/p>\n\n\n\n
Une autorit\u00e9 de contr\u00f4le demande rarement si vous disposez d’un contrat. Elle demande si vous pouvez montrer quel engagement s’applique, quel est son statut, quelles preuves l’accompagnent et depuis quand. Un dossier de fichiers PDF ne r\u00e9pond pas \u00e0 cette question. Un aper\u00e7u qui montre, par engagement, que la mesure a \u00e9t\u00e9 effectu\u00e9e, qu’un \u00e9cart a \u00e9t\u00e9 constat\u00e9 et qu’une action est en cours, oui. D\u00e9montrable n’est pas synonyme de document\u00e9.<\/p>\n\n\n\n
Excel et les dossiers partag\u00e9s fonctionnent jusqu’au moment o\u00f9 quelqu’un pose une question. La faiblesse appara\u00eet alors : pas de gestion des versions, pas de propri\u00e9t\u00e9 claire, aucune certitude que vous pr\u00e9sentez la derni\u00e8re v\u00e9rit\u00e9. Prenez une commune avec des dizaines de contrats de prestataires contenant des exigences de s\u00e9curit\u00e9. Les rapports se trouvent en partie dans la bo\u00eete mail, en partie dans le FMIS, en partie dans un dossier partag\u00e9. Qui a modifi\u00e9 quelle exigence et quand, cela reste introuvable.<\/p>\n\n\n\n
Des donn\u00e9es fragment\u00e9es ne constituent pas une preuve. Vous pouvez combiner quatre \u00e0 cinq sources et obtenir une image apr\u00e8s une demi-journ\u00e9e, mais vous ne pouvez pas garantir qu’elle est exacte. Le contr\u00f4le repose pr\u00e9cis\u00e9ment sur cette garantie. La le\u00e7on : le probl\u00e8me ne se r\u00e9sout pas avec une structure de dossiers plus stricte, mais avec une source unique qui enregistre elle-m\u00eame ce qui se passe.<\/p>\n\n\n\n
Pour chaque engagement contractuel, vous avez besoin de six \u00e9l\u00e9ments afin de rendre quelque chose d\u00e9montrable :<\/p>\n\n\n\n
Pour un SLA informatique avec des exigences de continuit\u00e9, cela signifie : l’exigence de 99,9 % de disponibilit\u00e9, le rapport mensuel qui la v\u00e9rifie, l’enregistrement d’un incident en mars, l’action men\u00e9e aupr\u00e8s du prestataire et le statut \u00ab r\u00e9solu au 12 avril \u00bb. Pour un service de nettoyage externalis\u00e9, c’est la m\u00eame logique avec une mesure DKS comme v\u00e9rification. La structure est identique, quel que soit le type de contrat.<\/p>\n\n\n\n
Une piste d’audit est le m\u00e9canisme qui rend la preuve tra\u00e7able. Elle enregistre qui a modifi\u00e9 quoi et quand, qui disposait de quelle autorisation et depuis quand un engagement reste en suspens. C’est la diff\u00e9rence entre \u00ab je pense que c’est la derni\u00e8re version \u00bb et \u00ab voici la derni\u00e8re version, modifi\u00e9e \u00e0 cette date par cette personne \u00bb.<\/p>\n\n\n\n