Les contrats fournisseurs encadr\u00e9s par la loi sur la cybers\u00e9curit\u00e9 sont des contrats dans lesquels vous consignez les exigences de s\u00e9curit\u00e9 et de continuit\u00e9 impos\u00e9es par la loi n\u00e9erlandaise sur la cybers\u00e9curit\u00e9 (la transposition de NIS2 aux Pays-Bas). GRIP est un logiciel de gestion des contrats destin\u00e9 aux contrats fournisseurs des organisations n\u00e9erlandaises du secteur de la sant\u00e9, de l’enseignement et du secteur public. La loi est entr\u00e9e en vigueur le 15 ao\u00fbt 2026, sans d\u00e9lai de transition g\u00e9n\u00e9ral. La difficult\u00e9 ne r\u00e9side pas dans ce que votre fournisseur doit faire, mais dans ce que vous avez consign\u00e9 de mani\u00e8re d\u00e9montrable dans vos contrats. Si vous g\u00e9rez 300 contrats dans des dossiers et des fichiers Excel, vous ignorez probablement m\u00eame lesquels contiennent une clause de s\u00e9curit\u00e9.<\/p>\n\n\n\n
La loi sur la cybers\u00e9curit\u00e9 a \u00e9t\u00e9 publi\u00e9e au Staatsblad 2026, 189 et s’applique directement \u00e0 environ 8 000 \u00e0 10 000 organisations. L’enregistrement dans le registre des entit\u00e9s via le NCSC est obligatoire \u00e0 partir du 15 ao\u00fbt 2026. Seuls les \u00e9tablissements de l’enseignement sup\u00e9rieur disposent de trois ans. Au-del\u00e0, il n’existe aucun d\u00e9lai de transition.<\/p>\n\n\n\n
Une id\u00e9e re\u00e7ue r\u00e9pandue : la loi n’exige pas que vos fournisseurs rel\u00e8vent eux-m\u00eames de la loi ou disposent d’un label. Il n’existe aucun certificat permettant \u00e0 un fournisseur de d\u00e9montrer sa conformit\u00e9 \u00e0 la loi. Le devoir de diligence vous incombe en tant que donneur d’ordre. C’est \u00e0 vous de ma\u00eetriser de mani\u00e8re d\u00e9montrable les cyberrisques issus de votre cha\u00eene. Cela suppose de savoir quels sont vos fournisseurs, quelles exigences de s\u00e9curit\u00e9 et de continuit\u00e9 figurent dans les contrats, et quels accords restent en suspens.<\/p>\n\n\n\n
Les analyses de sourcing informatique identifient au moins six sujets contractuels \u00e0 consigner. Traitez-les comme une liste de contr\u00f4le, et non comme un texte juridique abstrait.<\/p>\n\n\n\n
L’ordre dans lequel vous commencez n’est pas arbitraire. La notification des incidents et les mesures de s\u00e9curit\u00e9 sont les premi\u00e8res pertinentes aux yeux d’une autorit\u00e9 de contr\u00f4le. Ce sont les blocs que vous mettez en ordre en priorit\u00e9 chez vos fournisseurs les plus critiques.<\/p>\n\n\n\n
Non. Imposer \u00e0 tous le m\u00eame ensemble d’exigences lourdes engendre des co\u00fbts et des complications chez les fournisseurs qui portent \u00e0 peine un risque num\u00e9rique. Diff\u00e9renciez selon le risque. La question n’est pas de savoir s’il s’agit d’un fournisseur informatique, mais de conna\u00eetre l’acc\u00e8s dont dispose cette partie \u00e0 vos donn\u00e9es ou \u00e0 vos syst\u00e8mes.<\/p>\n\n\n\n
Commencez donc par classifier avant de r\u00e9diger des clauses. Une r\u00e9partition par risque de votre parc de fournisseurs d\u00e9termine o\u00f9 consacrer votre temps en priorit\u00e9.<\/p>\n\n\n\n
C’est l\u00e0 que se situe le c\u0153ur du probl\u00e8me. Inscrire une clause est une chose, en d\u00e9montrer le respect en est une autre. Le contr\u00f4le d\u00e9pend du secteur : RDI, DNB, AFM, IGJ, ILT et NVWA surveillent chacun leur propre domaine. Si une telle autorit\u00e9 demande la preuve que vous ma\u00eetrisez votre cha\u00eene, un simple renvoi aux clauses des contrats ne suffit pas. Vous devez pouvoir montrer quelles exigences, dans quel contrat, chez quel fournisseur, et quelle preuve reste encore en suspens.<\/p>\n\n\n\n
Un dossier rempli de PDF ne le permet pas. Prenons un \u00e9tablissement de sant\u00e9 comptant 15 sites et plus de 200 contrats fournisseurs. Les r\u00e9sultats d’audit se trouvent dans Excel, les accords sur les incidents dans une annexe contractuelle, les demandes de preuves en suspens dans la bo\u00eete mail de quelqu’un. Vous devez alors combiner quatre sources avant de pouvoir r\u00e9pondre \u00e0 une seule question. D\u00e9montrer le respect des exigences commence par un indicateur que vous mesurez p\u00e9riodiquement, et non par un contrat plus strict que personne ne retrouve.<\/p>\n\n\n\n
Comme il n’existe aucun d\u00e9lai de transition, cela concerne aussi les contrats qui se poursuivent encore pendant des ann\u00e9es. Rouvrir un contrat dans son int\u00e9gralit\u00e9 est rarement n\u00e9cessaire et souvent irr\u00e9alisable. La voie pratique est un avenant pour vos fournisseurs critiques, dans lequel vous ajoutez ou renforcez les six blocs.<\/p>\n\n\n\n
Priorisez selon le risque, et non selon la date d’\u00e9ch\u00e9ance. Commencez par les fournisseurs ayant acc\u00e8s \u00e0 vos syst\u00e8mes centraux ou \u00e0 des donn\u00e9es sensibles. Les nouveaux march\u00e9s publics, int\u00e9grez-les correctement d’embl\u00e9e. Incorporez les exigences dans le cahier des charges et modulez leur niveau par lot. Vous \u00e9viterez ainsi d’avoir \u00e0 r\u00e9diger de nouveaux avenants dans un an.<\/p>\n\n\n\n
Sur le tableau de bord des contrats<\/a>, vous voyez pour chaque contrat quelles exigences il contient, quel fournisseur rel\u00e8ve de quelle cat\u00e9gorie de risque, quelle preuve a \u00e9t\u00e9 fournie et quelles actions restent en suspens. Les accords ne sont ni dans votre t\u00eate ni dans Excel, mais \u00e0 un endroit o\u00f9 vous pouvez les pr\u00e9senter. Pour les \u00e9tablissements de sant\u00e9, cela se r\u00e9percute \u00e9galement sur les exigences sectorielles sp\u00e9cifiques<\/a> li\u00e9es aux donn\u00e9es des usagers.<\/p>\n\n\n\n Soyez honn\u00eate sur la limite. GRIP n’est pas un outil de s\u00e9curit\u00e9 et ne rend personne conforme \u00e0 la loi sur la cybers\u00e9curit\u00e9. GRIP r\u00e9sout le volet contractuel du devoir de diligence : savoir quels sont vos fournisseurs, quelles exigences figurent de mani\u00e8re d\u00e9montrable dans les contrats et quels accords restent en cours. La cybers\u00e9curit\u00e9 elle-m\u00eame demeure le travail de votre service informatique et de vos fournisseurs. GRIP est certifi\u00e9 ISO 27001 et traite les donn\u00e9es contractuelles exclusivement en Europe. Cela en fait une base d\u00e9montrable au service de votre responsabilit\u00e9 sur la cha\u00eene.<\/p>\n\n\n\n Que signifie la loi sur la cybers\u00e9curit\u00e9 pour les contrats avec les fournisseurs ?<\/strong> La loi vous oblige \u00e0 ma\u00eetriser de mani\u00e8re d\u00e9montrable les cyberrisques issus de votre cha\u00eene. Cela se traduit par des exigences concr\u00e8tes de s\u00e9curit\u00e9 et de continuit\u00e9 dans vos contrats fournisseurs, ainsi que par la preuve du respect de ces exigences.<\/p>\n\n\n\n Quelles exigences dois-je int\u00e9grer dans mes contrats fournisseurs depuis la loi sur la cybers\u00e9curit\u00e9 ?<\/strong> Six blocs : mesures de s\u00e9curit\u00e9, notification des incidents avec d\u00e9lais de signalement, droit d’audit et demandes de preuves, accords sur les sous-traitants, continuit\u00e9 et sortie, et responsabilit\u00e9.<\/p>\n\n\n\n La loi s’applique-t-elle aussi \u00e0 mon prestataire de nettoyage ou de maintenance ?<\/strong> C’est possible. Ce n’est pas le secteur qui est d\u00e9terminant, mais l’acc\u00e8s num\u00e9rique. Le contr\u00f4le d’acc\u00e8s, les syst\u00e8mes de gestion technique du b\u00e2timent et les partenaires d’installation comportent des composants num\u00e9riques reli\u00e9s \u00e0 votre r\u00e9seau et entrent alors dans votre \u00e9valuation des risques.<\/p>\n\n\n\n Dois-je rouvrir tous mes contrats en cours ?<\/strong> La plupart du temps, non. Pour les fournisseurs critiques, vous recourez \u00e0 un avenant dans lequel vous ajoutez les blocs requis. Priorisez selon le risque, et non selon la date d’\u00e9ch\u00e9ance, car il n’existe aucun d\u00e9lai de transition.<\/p>\n\n\n\n Un fournisseur peut-il d\u00e9montrer qu’il est conforme \u00e0 la loi sur la cybers\u00e9curit\u00e9 ?<\/strong> Il n’existe aucun label ni certificat permettant \u00e0 un fournisseur de le d\u00e9montrer. Le devoir de diligence vous incombe en tant que donneur d’ordre. Vous le garantissez par des exigences contractuelles et en demandant des preuves.<\/p>\n\n\n\n Qui contr\u00f4le le respect des exigences ?<\/strong> Cela d\u00e9pend du secteur. RDI, DNB, AFM, IGJ, ILT et NVWA surveillent chacun leur propre domaine. Ils peuvent demander la preuve que vous ma\u00eetrisez votre cha\u00eene.<\/p>\n\n\n\n GRIP rend-il mon organisation conforme \u00e0 la loi sur la cybers\u00e9curit\u00e9 ?<\/strong> Non. GRIP n’est pas un outil de s\u00e9curit\u00e9. GRIP vous donne la ma\u00eetrise du volet contractuel : quelles exigences figurent dans quel contrat, quelle preuve reste en suspens et quelles actions sont en cours. La cybers\u00e9curit\u00e9 elle-m\u00eame demeure du ressort de votre service informatique et de vos fournisseurs.<\/p>\n\n\n\nQuestions fr\u00e9quentes<\/h2>\n\n\n\n