L'entreprise impose-t-elle des exigences de sécurité à ses propres fournisseurs ?

La chaîne d'approvisionnement est l'une des dix mesures

Oui, dans la plupart des cas, il est pertinent de répondre en se référant à une politique concrète de fournisseurs, et non par une assurance générale. La question provient directement de l'article 21, paragraphe 2 de la directive NIS2, où la « sécurité de la chaîne d'approvisionnement » figure comme point distinct aux côtés des neuf autres mesures. Le client ne veut donc pas savoir si vous êtes vous-même bien sécurisé, mais si vous répercutez cette exigence auprès des parties dont vous dépendez : fournisseurs d'hébergement, éditeurs de logiciels, prestataires de services informatiques.

Concrètement, il s'agit de questions telles que : les exigences de sécurité figurent-elles dans les contrats avec les fournisseurs critiques, y a-t-il une évaluation du niveau de sécurité lors de l'appel d'offres ou de l'intégration, et existe-t-il une visibilité sur les dépendances plus loin dans la chaîne. Une entreprise qui dispose déjà d'une politique de sécurité de l'information — voir aussi la question sur politique relative à l'analyse des risques et à la sécurité des systèmes d'information — dispose souvent déjà d'un cadre dans lequel l'évaluation des fournisseurs est une partie intégrante. Si cela fait défaut, « non » ou « partiellement » est une réponse honnête ; un engagement sur ce qui devrait se produire n'est pas de notre ressort ici.

Où cela figure dans l'article 21, paragraphe 2 de la NIS2

L'article 21, paragraphe 2 de la directive (UE) 2022/2555 mentionne la sécurité de la chaîne d'approvisionnement comme l'une des dix mesures qu'une entité doit prendre, notamment en accordant une attention particulière à la relation entre l'entité et ses fournisseurs ou prestataires directs. Ce point est souvent lié à d'autres mesures de la même liste : un fournisseur qui ne signale pas les vulnérabilités affecte aussi le processus d'identification et de traitement des vulnérabilités, et un incident chez un fournisseur doit suivre le même circuit qu'un incident au sein de l'entreprise. Le caractère obligatoire ou non de cette question dépend de savoir si l'entreprise elle-même est soumise à la directive — c'est une question distincte avec sa propre réponse.