le questionnaire demande comment nous contrôlons la cybersécurité de nos propres fournisseurs

Sécurité de la chaîne : ce que le client veut exactement savoir

Cette question porte sur l'article 21, paragraphe 2, point d) de NIS2 : la sécurité de la chaîne d'approvisionnement, y compris la relation avec chaque fournisseur individuel. Le client ne veut donc pas savoir si vous êtes vous-même sûr, mais si vous l'exigez et le vérifiez également auprès de vos fournisseurs. Concrètement, le questionnaire recherche généralement trois choses : avez-vous inclus des exigences de sécurité dans les contrats avec les fournisseurs, évaluez-vous les fournisseurs avant de les engager, et les réévaluez-vous régulièrement. Une réponse telle que « nous faisons confiance à nos fournisseurs » n'est pas une preuve pour ce champ — il doit y avoir un processus derrière.

Si vous disposez de ce processus, la pièce justificative est généralement une politique des fournisseurs ou une clause du contrat-type, éventuellement complétée par un aperçu des évaluations effectuées. Si vous ne l'avez pas, alors « non » est la réponse honnête ici — remplir sur la base d'une hypothèse ne produit pas un oui, car le dossier n'a pas de source pour cela. Ce sujet est d'ailleurs lié à un autre champ du même questionnaire : si l'entreprise fixe des exigences de sécurité à ses propres fournisseurs est souvent une question posée séparément, mais la preuve chevauche ce qui est demandé ici. Il est également pertinent que votre propre analyse des risques considère les fournisseurs comme une catégorie de risque distincte ; cela correspond à la politique d'analyse des risques et de sécurité de l'information qui est demandée ailleurs dans la liste.

Fondement : article 21, paragraphe 2) et annexe A

L'obligation découle de l'article 21, paragraphe 2, point d) de la directive (UE) 2022/2555, qui mentionne la sécurité de la chaîne comme l'une des dix mesures obligatoires. ISO/IEC 27001 le développe à l'annexe A, parmi les mesures de contrôle pour les relations avec les fournisseurs : une distinction est faite entre les exigences au début de la relation et la surveillance périodique. Pour les entreprises néerlandaises, la même obligation se retrouve dans la Loi sur la cybersécurité, qui entre en vigueur le 15 août 2026 en tant que transposition de NIS2. Si cette obligation s'applique à votre propre entreprise dépend de votre assujettissement à la directive ; c'est une autre question que celle posée ici, et est expliquée séparément dans si l'entreprise elle-même est soumise à NIS2.