le questionnaire demande comment nous maîtrisons les risques de nos fournisseurs

La sécurité de la chaîne est l'une des dix mesures obligatoires

Ce n'est pas simplement une question supplémentaire : la sécurité de la chaîne d'approvisionnement est mentionnée comme un élément distinct à l'article 21, paragraphe 2, de la NIS2, aux côtés des neuf autres mesures comme l'analyse des risques, la gestion des incidents et la gestion des accès. Le client qui pose cette question vérifie si votre entreprise regarde aussi vers l'arrière : non seulement votre propre sécurité, mais aussi celle des parties dont vous dépendez. Cela s'inscrit dans les exigences de sécurité que l'entreprise elle-même impose à ses fournisseurs — le même principe, un pas plus loin dans la chaîne.

Concrètement, on demande généralement trois choses : disposez-vous d'une politique ou d'un processus pour évaluer les fournisseurs sur les risques de cybersécurité, imposez-vous des exigences contractuelles (pensez à l'obligation de notification en cas d'incidents, aux niveaux de sécurité minimaux), et en assurez-vous le suivi après la signature du contrat. Si vous n'avez pas ce processus, un « non » avec une brève explication est une excellente réponse — mieux qu'un « oui » que vous ne pouvez pas justifier. Si vous avez une évaluation des fournisseurs mais pas de volet cybersécurité distinct, nommez cela précisément ainsi : la preuve doit correspondre à ce que vous déclarez. Un certificat ISO 27001 avec l'Annexe A couvre généralement ce sujet, donc si l'entreprise est certifiée ISO 27001 c'est souvent la preuve la plus rapide à fournir.

D'où cela provient : article 21, paragraphe 2 et Annexe A

Les dix mesures de l'article 21, paragraphe 2, de la NIS2 mentionnent la sécurité de la chaîne comme un point distinct, séparé de l'analyse générale des risques. La norme ISO/IEC 27001 l'approfondit dans les mesures de contrôle de l'Annexe A, spécifiquement orientées vers les relations avec les fournisseurs et les exigences que vous leur imposez. La Loi sur la cybersécurité transpose cette obligation dans le droit néerlandais et entrera en vigueur le 15 août 2026 — pour l'instant, la directive de l'UE elle-même est la source, et le client pose souvent déjà cette question par anticipation.