mon donneur d'ordre relève de NIS2 et moi non, qu'est-ce que cela signifie pour moi

Vous êtes concerné par le contrat, non par la loi

Vous ne relevez pas vous-même de NIS2, mais cela ne signifie pas que rien ne change. Votre client qui relève effectivement de la directive doit lui-même assurer la sécurité de la chaîne d'approvisionnement en vertu de l'article 21, paragraphe 2, de la Directive (UE) 2022/2555. Cela l'oblige à imposer des exigences à ses fournisseurs — c'est-à-dire à vous. Non pas parce que vous êtes une entité au sens de la loi, mais parce que votre client doit démontrer sa propre responsabilité, et vous en faites partie.

En pratique, vous remarquez cela sous la forme d'un questionnaire ou de conditions contractuelles supplémentaires, non comme une obligation légale qui pèse directement sur vous. Les questions portent généralement sur les mêmes dix mesures que votre client doit lui-même prendre : politique de risque, gestion des incidents, continuité, gestion des vulnérabilités, accès et cryptographie. Vous pouvez donc utiliser la même justification que vous avez déjà, même si vous n'aviez jamais eu besoin de l'établir pour vous-même. Si vous n'avez pas encore ces documents complets, il est recommandé de vérifier d'abord s'il existe une politique d'analyse des risques et de sécurité des systèmes d'information et si les exigences de sécurité imposées aux propres fournisseurs elle est déjà documentée quelque part — car ces deux domaines apparaissent dans pratiquement tous les questionnaires de la chaîne d'approvisionnement, que vous releviez vous-même d'une entité ou non.

Consacré à l'article 21, s'appliquant par le contrat

L'obligation de sécurité de la chaîne d'approvisionnement figure à l'article 21, paragraphe 2, point d, de la Directive (UE) 2022/2555 : les entités doivent prendre des mesures pour la sécurité de la chaîne d'approvisionnement, y compris les relations avec leurs fournisseurs directs. Sa transposition aux Pays-Bas s'effectue par la loi sur la cybersécurité, qui entrera en vigueur le 15 août 2026. Tant que vous ne relevez pas vous-même du champ d'application de cette loi, l'application à votre égard reste contractuelle : votre client détermine lui-même comment il vous pose l'exigence, et cela peut varier d'un client à l'autre.