mon client envoie un questionnaire NIS2 complet alors que ce n'était pas le cas avant, que dois-je en faire

Votre client vous transfère son obligation de chaîne

Cela signifie généralement que votre client est lui-même soumis à la Cybersecurity Act, et qu'en tant qu'entité essentielle ou importante, il est tenu d'évaluer la sécurité de ses propres fournisseurs. Cette obligation découle des dix mesures de l'article 21, paragraphe 2, de la directive NIS2, et l'une d'entre elles porte spécifiquement sur la sécurité de la chaîne : l'organisation doit savoir à quel point ses fournisseurs sont sûrs, et doit pouvoir le démontrer. Votre client ne pose donc pas cette question de sa propre initiative — il y est lui-même tenu, et vous faites partie de sa « chaîne » à ce stade. C'est pourquoi la liste arrive maintenant, même si vous livriez depuis des années sans que cela ait jamais été demandé : l'obligation est nouvelle pour lui, non pour votre relation.

Ce à quoi vous pouvez vous attendre est une combinaison de questions qui relevaient auparavant de la politique d'accès et de la gestion des actifs des questions concernant la procédure en cas d'incident de sécurité et des questions sur la capacité de récupération après une perturbation. Si vous n'avez pas de certificat ISO 27001, ce n'est généralement pas un problème en soi — la directive n'exige pas que chaque fournisseur soit certifié, elle exige que le client sache comment vous vous situez. Une description de vos propres mesures, avec des pièces justificatives si vous en disposez, est alors une réponse valide. Lorsque vous n'avez rien, vous répondez qu'il n'y a rien ; une liste contenant uniquement des « oui » sans document sous-jacent expose votre client à plus de risques lors d'un audit ultérieur qu'un honnête « non, pas encore ».

Pourquoi cela arrive maintenant chez vous : article 21, paragraphe 2

L'obligation d'évaluer les fournisseurs figure à l'article 21, paragraphe 2, de la directive (UE) 2022/2555, et est mise en œuvre pour les entités néerlandaises dans la Cybersecurity Act, qui entre en vigueur le 15 août 2026. Pour savoir si votre client est lui-même soumis à cette loi et donc tenu de poser ces questions, vous pouvez généralement consulter la taille et le secteur de son entreprise — quelque chose qui est aussi pertinent à savoir si vous-même, en tant qu'entité, êtes soumis à la directive.