le questionnaire demande quels risques existent dans notre chaîne d'approvisionnement, qu'est-ce que cela signifie

Les risques de chaîne sont la sécurité de vos propres fournisseurs

Les risques de chaîne concernent les fournisseurs et prestataires de services que vous engagez, et la question de savoir si ceux-ci créent une faille dans la sécurité de votre client. Cette question n'apparaît pas par hasard : il s'agit d'une mesure littérale de l'article 21 paragraphe 2 de la NIS2, point d, qui traite explicitement de la sécurité de la chaîne d'approvisionnement, y compris la relation avec les fournisseurs. Votre client doit pouvoir démontrer qu'il a posé cette question à ses propres fournisseurs — c'est-à-dire à vous. D'où la question dans le questionnaire.

En pratique, deux choses sont demandées simultanément. Premièrement : avez-vous vous-même une visibilité sur les risques que vos fournisseurs critiques (hébergement, logiciel, gestion informatique) entraînent avec eux ? Deuxièmement : imposez-vous vous-même des exigences à ces fournisseurs, contractuellement ou autrement ? Ce deuxième point chevauche la question de savoir si vos propres fournisseurs doivent satisfaire aux exigences de sécurité — souvent, c'est littéralement la même question présentée différemment, alors vérifiez d'abord si vous aviez déjà répondu à celle-ci. Si vous n'avez pas de politique formelle des fournisseurs, alors une réponse honnête « non, pas encore » est plus précise qu'une réponse qui promet plus qu'il n'y a.

À retracer à l'article 21 paragraphe 2 point d de la NIS2

Cette question découle directement des dix mesures de l'article 21 paragraphe 2 de la Directive (UE) 2022/2555, dans laquelle la sécurité de la chaîne d'approvisionnement figure comme élément distinct (point d) à côté de l'analyse des risques et de la gestion des incidents. Dans la Loi sur la cybersécurité, la transposition néerlandaise qui entrera en vigueur le 15 août 2026, cette mesure s'applique aux entités relevant de la loi. Si vous travaillez avec ISO/IEC 27001, vous reconnaîtrez la même exigence dans l'Annexe A parmi les mesures de contrôle relatives aux relations avec les fournisseurs. Le fait que votre entreprise elle-même relève du champ d'application de cette obligation dépend de si l'entreprise en tant qu'entité relève de la NIS2 ou de sa transposition nationale — cela détermine si c'est une obligation pour vous ou simplement une question que votre client vous transmet.