le client demande comment nous gérons l'accès des fournisseurs externes

L'accès pour les fournisseurs externes fait partie de l'article 21, paragraphe 2

Cette question porte sur la manière dont vous gérez l'accès des tiers à vos systèmes et données, et elle touche à deux des dix mesures de l'article 21, paragraphe 2 de NIS2 à la fois : point (i), la politique d'accès, et point (d), la sécurité de la chaîne d'approvisionnement vis-à-vis des fournisseurs. Le client souhaite donc non seulement savoir si des tiers externes ont accès, mais aussi comment cet accès est délimité, qui l'accorde et le révoque, et si ce processus est documenté. Une réponse telle que « les fournisseurs n'obtiennent accès qu'après approbation » est trop vague sans préciser comment cette approbation se déroule et à quelle fréquence elle est réexaminée.

Ce qu'il vous faut concrètement : une description du processus d'autorisation pour les comptes externes, de préférence avec une mention du principe du moindre privilège (l'accès limité à ce qui est nécessaire) et du délai selon lequel l'accès est réexaminé ou révoqué à la fin de la mission. Si ce processus fait défaut, alors « non » est ici la réponse honnête — un « oui » suggestif sans document sous-jacent causera plus de dégâts lors d'un contrôle du client qu'un non accompagné d'une explication selon laquelle la politique est en cours de développement. Ce sujet chevauche la politique d'accès et à la gestion des biens de l'entreprise, où la structure d'autorisation plus large est traitée, et avec la question de savoir si l'entreprise impose des exigences à ses propres fournisseurs, car la gestion de l'accès externe fait souvent partie de la même politique de chaîne en pratique.

Où cela se trouve : article 21, paragraphe 2, points (d) et (i)

L'article 21, paragraphe 2 de la Directive (UE) 2022/2555 mentionne au point (i) « politique de contrôle d'accès » comme l'une des dix mesures obligatoires, et au point (d) la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs — l'accès externe relève des deux. Dans la norme ISO/IEC 27001 Annexe A, les mesures de contrôle correspondantes pour la gestion des accès et pour les relations avec les fournisseurs sont détaillées au niveau des contrôles, ce qui explique pourquoi un client demande souvent un numéro de contrôle spécifique de l'Annexe A plutôt que le texte de la directive lui-même. Pour les entreprises relevant de la transposition néerlandaise, cette obligation est reprise dans la Loi sur la cybersécurité, qui entrera en vigueur le 15 août 2026.