nous devons prouver que nous vérifions nos fournisseurs sur la cybersécurité, comment faire

Sécurité de la chaîne d'approvisionnement : ce que demande l'article 21, paragraphe 2, point d

L'article 21, paragraphe 2, point d de la directive NIS2 mentionne la sécurité de la chaîne d'approvisionnement comme l'une des dix mesures obligatoires, y compris les aspects de sécurité des relations entre l'entité et ses fournisseurs directs. Concrètement, cela signifie : vous devez pouvoir démontrer que lors de l'établissement et du maintien des relations avec les fournisseurs, vous évaluez si ce fournisseur représente un risque pour votre propre prestation de services. Une politique de gestion des fournisseurs documentée comportant au minimum trois éléments couvre généralement cela : un critère de sélection préalable (quelles exigences posez-vous aux nouveaux fournisseurs), un test périodique pendant la durée de la relation, et un processus d'escalade si un fournisseur signale un incident. C'est la même question que votre client vous pose vous-même sur le risque de chaîne — vous remplissez en fait votre propre réponse, mais à un niveau plus profond dans la chaîne.

Ce qui compte comme preuve dépend de la maturité de votre processus. Une clause contractuelle par laquelle votre fournisseur s'engage à respecter certaines exigences de sécurité est un point de départ mais pas un test. Plus robuste est un questionnaire que vous envoyez vous-même aux fournisseurs, associé à un simple label de risque (faible/moyen/élevé) basé sur ce que ce fournisseur voit ou touche de vos systèmes. Si vous n'avez pas cela, la réponse la plus honnête est que vous devez encore mettre en place le processus — non pas que vous cochez « oui » sur une clause contractuelle qui n'a pas d'effet. Attention : c'est une question distincte de celle de savoir si votre propre entreprise est couverte par la directive; même si vous-même n'êtes pas directement couvert par la NIS2, un client peut néanmoins vous poser cette question via l'obligation de chaîne.

D'où vient cela : la directive et la loi néerlandaise

L'obligation figure à l'article 21, paragraphe 2, point d de la directive (UE) 2022/2555 ; la loi sur la cybersécurité la transpose en droit néerlandais et devrait entrer en vigueur le 15 août 2026. ISO/IEC 27001 Annex A contient une mesure de contrôle comparable concernant les relations avec les fournisseurs, ce qui explique pourquoi les clients ayant un questionnaire ISO posent souvent la même question que les clients se référant à la NIS2.