La plupart des organisations pensent gérer la sécurité de leurs fournisseurs. Ce n'est pas le cas. Elles ont des tableurs, des questionnaires obsolètes et une confiance aveugle envers leurs prestataires cloud.
NIS 2 change tout. Dans ce nouveau cadre, le risque tiers n'est plus optionnel ; il est réglementé, auditable et opposable. Si l'un de vos fournisseurs est défaillant, vous en êtes responsable.
Voici comment aborder correctement la sécurité de la chaîne d'approvisionnement dans le cadre de NIS 2.
NIS 2 se moque de la taille de votre fournisseur, de son logo ou du fait qu'il soit « certifié ISO ». Les régulateurs vérifient si :
- vous avez identifié vos dépendances critiques
- vous les avez évaluées
- vous les surveillez
- vous les encadrez contractuellement
- vous pouvez en sortir en cas de défaillance
- vous pouvez continuer à opérer sans elles
Ce n'est pas de la gestion des fournisseurs ; c'est la résilience opérationnelle de votre écosystème numérique.
Voici ce que vous devez faire, point par point.
1. Commencez par la cartographie des dépendances (le vrai angle mort)
Vous ne pouvez pas évaluer ce que vous ne voyez pas. Votre première responsabilité sous NIS 2 est de cartographier vos dépendances tierces.
Vous devez cartographier :
- vos fournisseurs SaaS directs
- vos MSP et prestataires informatiques
- vos plateformes cloud
- vos prestataires de paiement
- vos fournisseurs OT et IoT (le cas échéant)
- vos environnements d'hébergement
- vos sous-traitants
- les sous-traitants ultérieurs utilisés par vos fournisseurs
Ne vous arrêtez pas au niveau 1. Un éditeur SaaS qui dépend d'un autre éditeur SaaS reste votre dépendance.
Exemple concret : Une entreprise a réussi un audit pilote NIS 2 uniquement parce qu'elle pouvait présenter une cartographie complète de ses dépendances, même sans disposer de tous les contrôles de sécurité.
La visibilité est votre premier livrable.
2. Classifiez vos fournisseurs (Critique, Important, Non critique)
NIS 2 exige une priorisation fondée sur le risque.
Utilisez un modèle simple à trois niveaux, défendable en audit :
Critique
Si ce fournisseur est défaillant, les opérations s'arrêtent. Exemples : hébergement cloud, SaaS cœur de métier, fournisseurs d'identité, MSP.
Important
La disruption affecte l'efficacité, la sécurité ou les obligations légales. Exemples : plateformes RH, CRM, paie, paiements.
Non critique
La défaillance est gérable. Exemples : outils marketing, analytics non sensibles.
Conseil : Vous classifiez sur la base de votre impact métier, pas en fonction de la taille ou de la réputation du fournisseur.
3. Réalisez des analyses de risque structurées (obligatoires sous NIS 2)
Pour les fournisseurs critiques et importants, vous devez produire une analyse de risque documentée et auditable.
Évaluez :
- la posture de sécurité (contrôles)
- la posture de résilience (BC/DR)
- l'historique des incidents
- la sensibilité des données
- l'exposition réglementaire
- les chaînes de sous-traitance
- les risques liés à la région cloud
- le risque de concentration
- la faisabilité d'une sortie
Livrables :
Une analyse claire, datée et liée aux preuves correspondantes.
Outils utiles :
- Eramba (meilleur rapport qualité-prix)
- CISO Assistant (léger)
- OneTrust (enterprise)
- Vanta/Drata (automatisation, marché intermédiaire)
Conseil : Commencez par les 10 premiers fournisseurs, puis élargissez.
4. Intégrez les clauses contractuelles obligatoires NIS 2
C'est l'un des changements les plus significatifs. NIS 2 vous oblige à imposer des exigences de cybersécurité par contrat.
Vos contrats doivent inclure :
- les exigences de sécurité
- les attentes en matière de journalisation et de surveillance
- les délais de notification d'incident
- la transparence sur les sous-traitants ultérieurs
- le droit d'audit ou de revue
- les attentes en matière de BC/DR
- la transparence sur la localisation des données
- les plans de sortie et de transition
Exemple concret : Une entité financière a refusé un éditeur SaaS qui ne pouvait pas divulguer ses sous-traitants ultérieurs. Les régulateurs auraient de toute façon rejeté cette relation.
Si un fournisseur refuse les obligations contractuelles, il n'est pas conforme NIS 2 pour vous.
5. Évaluez les fournisseurs cloud et MSP avec une rigueur accrue
Le cloud et les MSP sont traités comme des dépendances à haut risque sous NIS 2.
Vous devez évaluer :
- la redondance géographique
- les capacités de DR
- l'historique des pannes
- les engagements d'escalade
- l'intégration SOC/SIEM
- le modèle d'accès privilégié
- les sous-traitants (ex. : hébergement DB tiers)
- la stratégie de sortie
- la localisation des données
NIS 2 attend une assurance approfondie sur le cloud et les MSP, pas des questionnaires à cocher.
6. Mettez en place une surveillance continue (les enquêtes annuelles ne suffisent plus)
Le risque fournisseur ne se gère plus avec un questionnaire annuel. NIS 2 attend une supervision en continu.
Approches de surveillance continue :
- revues trimestrielles
- suivi des trust centers et pages de statut cloud
- veille sur les avis de sécurité CIS
- scoring de sécurité automatisé (limité mais utile)
- réévaluation après chaque incident majeur
- surveillance des changements de sous-traitants
- revue continue des SLA
Si vous réévaluez vos fournisseurs une fois par an, vous n'êtes pas prêt pour NIS 2.
7. Construisez une stratégie de sortie pour les fournisseurs critiques
NIS 2 pousse à la résilience opérationnelle ; vous devez être en mesure de continuer à opérer même si un fournisseur s'effondre.
Un plan de sortie comprend :
- comment exporter vos données
- comment reconstruire le service
- les alternatives disponibles sur le marché
- l'effort de migration
- les délais
- les blocages techniques
- le support contractuel à l'offboarding
La sortie cloud est obligatoire.La sortie SaaS est attendue pour les outils critiques.
Si vous ne pouvez pas quitter un fournisseur, ce fournisseur représente un risque réglementaire.
8. Intégrez le risque tiers dans votre plan de réponse aux incidents
Quand un fournisseur subit un incident, vous subissez un incident.
Votre plan de réponse aux incidents doit inclure :
- les contacts d'escalade incident chez vos fournisseurs
- les workflows de notification à 24h/72h
- la cartographie des dépendances par criticité
- les scénarios d'incident cloud
- les scénarios de compromission d'un MSP
- le plan de communication
- les procédures de gestion des preuves
Un régulateur vous posera la question : « Comment gérez-vous une compromission chez un fournisseur que vous ne contrôlez pas ? »
Vous devez avoir la réponse documentée.
9. Documentez tout : les preuves sont ce qui établit la conformité
La conformité NIS 2 = la capacité à présenter :
- les analyses de risque
- les contrats
- les journaux de surveillance
- les comptes rendus de réunion
- les mesures correctives
- les plans de sortie
- les mises à jour du plan de réponse aux incidents
- la classification des fournisseurs
- les cartographies des dépendances
Si ce n'est pas versionné et stocké dans votre bibliothèque de preuves, cela n'existe pas.
Pour conclure
NIS 2 transforme la sécurité de la chaîne d'approvisionnement d'un « programme souhaitable » en obligation réglementaire avec sanctions à la clé.
La conformité exige :
- la visibilité sur les dépendances
- la priorisation des fournisseurs
- des analyses structurées
- des contrôles contractuels
- une surveillance continue
- une capacité de réponse aux incidents
- des stratégies de sortie
- des preuves
Si vous gérez bien votre chaîne d'approvisionnement, NIS 2 devient un atout. Sinon, elle devient la plus grande surface d'attaque de votre organisation et la première préoccupation du régulateur.
La sécurité de la chaîne d'approvisionnement fait désormais partie de votre identité opérationnelle. Traitez-la comme telle.
Si vous souhaitez un guide complet et opérationnel pour la gouvernance fournisseurs sous NIS 2, de la classification aux plans de sortie, c'est exactement ce que nous enseignons dans le Cyber Academy Lead Implementer. Rejoignez la prochaine session et sécurisez votre écosystème numérique.