notre client relève de la NIS2 et nous pose maintenant des exigences, que cela signifie-t-il

Votre client vous communique les dix mesures de l'article 21

Cela signifie que vous faites partie de l'approche en chaîne que prescrit l'article 21, paragraphe 2, de la NIS2. Une entité relevant de la NIS2 doit elle-même prendre des « mesures de sécurité dans la chaîne d'approvisionnement » — point (d) de ce paragraphe — et votre client le fait en vous imposant les exigences qu'il s'impose à lui-même. Vous ne devenez donc pas vous-même soumis aux obligations de la NIS2 du fait de ce questionnaire ; vous subissez les conséquences de l'obligation de votre client. La question de savoir si vous relevez vous-même de la directive est une question distincte — vous y répondez séparément, par exemple avec l'explication sur ou si l'entreprise elle-même relève de la directive NIS2.

En pratique, le questionnaire traduit l'article 21, paragraphe 2, en questions distinctes : avez-vous une analyse des risques et une politique de sécurité de l'information, comment traitez-vous les incidents, en est-il de vos sauvegardes et de votre récupération, comment gérez-vous l'accès et utilisez-vous l'authentification multifacteur, et — la disposition que votre client vous impose maintenant — imposez-vous vous-même des exigences à vos fournisseurs. Pour chacun de ces points, il existe une explication distincte dans la base de connaissances, telle que politique d'analyse des risques et de sécurité des systèmes d'information et exigences de sécurité imposées aux propres fournisseurs. Si vous disposez déjà d'un certificat ISO 27001, celui-ci couvre une grande partie de ces questions d'un seul coup.

Où cela figure dans la directive : article 21, paragraphe 2

L'article 21, paragraphe 2, de la Directive (UE) 2022/2555 énumère les dix mesures littéralement, de la politique d'analyse des risques (a) à la sécurité lors de l'acquisition de produits et de services et à la relation avec les fournisseurs (d), jusqu'à la gestion des accès et l'authentification multifacteur (j). La loi néerlandaise sur la cybersécurité transpose cette directive en droit national et entre en vigueur le 15 août 2026 ; jusqu'à cette date, votre client peut déjà vous transférer sa propre préparation, même si la loi ne s'applique pas encore. Quiconque reconnaît les dix mesures comme des contrôles distincts de l'Annexe A d'ISO/IEC 27001 peut reprendre de nombreuses réponses directement à partir d'un SGSI existant.