Une PME peut parfaitement découvrir NIS 2 sans jamais avoir lu la directive. Il suffit parfois qu’un client important lui adresse un questionnaire fournisseur : politique de sécurité, gestion des vulnérabilités, sauvegardes, notification des incidents, continuité d’activité, contrôle des sous-traitants… L’entreprise pensait ne pas être concernée. Son client, lui, l’est.
Quelques semaines plus tard, une partie des exigences issues de NIS 2 entre dans leur relation commerciale. Le phénomène n’est pas nouveau, le RGPD l’a largement rendu visible dans les relations entre responsables de traitement et sous-traitants. DORA en fournit aujourd’hui une autre illustration, particulièrement prescriptive, en encadrant les contrats conclus entre les entités financières et leurs prestataires TIC. ISO/IEC 27001 montre même qu’une exigence peut se diffuser sans obligation réglementaire générale : une certification volontaire peut devenir, dans les faits, une condition d’accès à certains clients ou marchés.
La conformité possède ainsi un périmètre juridique. Mais elle possède également un « périmètre économique, beaucoup plus difficile à tracer. Dans les faits, le contrat peut donc propager certaines exigences plus rapidement et beaucoup plus largement que leur application juridique directe.
Ne pas être assujetti ne signifie pas rester à l’écart
Une entreprise qui fournit un service à une entité soumise à NIS 2 ne devient pas automatiquement, pour cette seule raison, une entité essentielle ou importante au sens de la directive. De la même manière, un prestataire informatique travaillant pour une banque ne devient pas nécessairement une entité financière soumise à DORA. Le contrat ne modifie pas le champ d’application d’un règlement ou d’une directive.
En revanche, il peut rendre contractuellement obligatoires certaines mesures que le donneur d’ordre doit lui-même maîtriser : délais de notification d’un incident, exigences de continuité, mesures de sécurité, droits d’audit ou encadrement du recours à d’autres prestataires. Le fournisseur n’est peut-être pas assujetti au texte, mais il doit désormais respecter une partie de ses conséquences s’il souhaite conserver la relation commerciale.
Cette distinction est fondamentale, l’obligation réglementaire demeure supportée par l’organisation désignée par le texte. L’obligation du fournisseur résulte, quant à elle, du contrat qu’il a accepté.
NIS 2 intègre les fournisseurs dans l’analyse du risque
La directive NIS 2 ne s’intéresse pas uniquement à la sécurité interne des entités essentielles et importantes, son article 21 inclut parmi les mesures de gestion des risques la sécurité de la chaîne d’approvisionnement, notamment les aspects concernant les relations entre une entité et ses fournisseurs ou prestataires directs. Lorsqu’elles déterminent les mesures appropriées, les entités doivent également tenir compte des vulnérabilités propres à leurs fournisseurs, de la qualité globale de leurs produits et services ainsi que de leurs pratiques de sécurité.
Pour les catégories d’acteurs directement couvertes par le règlement d’exécution européen 2024/2690, cette logique est encore plus explicite. Elles doivent établir une politique de sécurité de la chaîne d’approvisionnement, définir des critères de sélection et de contractualisation et prévoir, lorsque cela est approprié, certaines exigences dans les contrats conclus avec leurs fournisseurs.
Une organisation soumise à NIS 2 ne peut donc pas se contenter d’affirmer que son fournisseur est responsable de sa propre sécurité. Elle doit évaluer le risque que celui-ci introduit dans son système d’information et dans la fourniture de ses services. Pour obtenir les garanties nécessaires, le contrat devient naturellement l’un des instruments disponibles.
D’où la multiplication des questionnaires, clauses de sécurité, demandes de preuves et évaluations de fournisseurs. NIS 2 peut ainsi produire des effets bien au-delà de la liste officielle des entités assujetties, sans pour autant étendre juridiquement son champ d’application.
Le RGPD avait déjà organisé cette transmission
Le mécanisme est particulièrement visible avec le RGPD. Lorsqu’un responsable de traitement confie des données personnelles à un sous-traitant, il doit sélectionner un prestataire présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. L’article 28 du RGPD impose également que la relation soit encadrée par un contrat ou un autre acte juridique précisant les obligations du sous-traitant, le recours ultérieur à d’autres sous-traitants est lui-même encadré.
Le contrat n’est donc pas un simple choix commercial : le droit organise lui-même la transmission de certaines exigences dans la relation de sous-traitance. La situation diffère néanmoins de celle d’un fournisseur seulement affecté par ricochet. Le sous-traitant au sens du RGPD supporte également plusieurs obligations directement prévues par le règlement et peut engager sa propre responsabilité.
Depuis 2018, de nombreuses entreprises ont ainsi découvert les conséquences du RGPD moins par la lecture du règlement que par un avenant envoyé par un client. Confidentialité, sécurité des traitements, assistance en cas de violation, sort des données en fin de contrat ou encadrement des sous-traitants ultérieurs : la conformité du responsable de traitement dépend en partie de ce que son prestataire est capable de garantir.
La mise en conformité au RGPD ne peut donc pas ignorer la gestion du cycle de vie des sous-traitants.
DORA fait du contrat un instrument réglementaire
DORA fournit probablement l’exemple le plus abouti de cette propagation contractuelle, le règlement DORA impose aux entités financières de gérer le risque associé à leurs prestataires tiers de services TIC.
Avant de conclure certains contrats, elles doivent notamment évaluer les risques, exercer une diligence appropriée à l’égard du prestataire et vérifier son adéquation. Elles ne peuvent contracter qu’avec des prestataires respectant des normes appropriées en matière de sécurité de l’information.
DORA encadre également le contenu des contrats : description des services, lieux de traitement et de stockage des données, conditions de sous-traitance, niveaux de service, obligations d’assistance, continuité, mesures de sécurité, droits d’accès, d’inspection et d’audit ou encore modalités de résiliation.
Un prestataire TIC peut ne pas être une entité financière. Pourtant, s’il souhaite travailler avec une banque, un assureur ou un autre acteur entrant dans le champ de DORA, il devra accepter que la relation contractuelle reflète les obligations de son client. La réglementation descend ainsi d’un étage, lorsqu’il sous-traite lui-même une partie du service, certaines exigences peuvent continuer à descendre dans la chaîne.
Cette propagation contractuelle ne doit pas être confondue avec le dispositif spécifique de supervision prévu par DORA pour les prestataires tiers de services TIC désignés comme critiques. Tous les fournisseurs d’une entité financière ne deviennent pas directement supervisés du seul fait de leur contrat.
Pour l’entité financière, la difficulté ne réside donc pas uniquement dans la rédaction de clauses conformes. Elle suppose également d’identifier les dépendances, d’évaluer les prestataires et de vérifier que les engagements pris peuvent réellement être respectés. Cette dimension fait partie intégrante d’une démarche d’[évaluation de la maturité DORA](https://cybersecurite-management.fr/conformite/dora/).
ISO 27001 montre que la loi n’est pas indispensable
ISO/IEC 27001 ajoute une autre dimension au phénomène. La mise en œuvre de la norme et la certification associée ne constituent pas, de manière générale, une obligation légale. Une organisation reste libre d’engager ou non une démarche de certification.
L’ISO rappelle toutefois qu’une certification permet notamment de démontrer qu’un produit, un service ou un système répond aux attentes des clients. Elle peut également devenir, selon les secteurs, une exigence légale ou contractuelle. La frontière entre volontariat et contrainte économique devient alors plus incertaine.
Une entreprise peut rester juridiquement libre de ne pas obtenir la certification ISO/IEC 27001, mais si un client stratégique, un appel d’offres ou une politique de groupe exige des fournisseurs certifiés, cette liberté devient beaucoup plus théorique.
La norme reste volontaire, « l’accès au marché peut, lui, être conditionné ». Ce n’est plus le législateur qui impose directement la démarche, c’est le donneur d’ordre qui transforme la certification en critère de sélection.
Le questionnaire fournisseur devient la porte d’entrée
Pour les PME, la rencontre avec ces exigences prend souvent une forme beaucoup plus concrète qu’un texte publié au Journal officiel. Elle arrive sous la forme d’un fichier Excel comprenant cinquante, cent ou deux cents questions :
- disposez-vous d’une politique de sécurité ?
- comment gérez-vous les comptes à privilèges ?
- dans quel délai notifiez-vous un incident ?
- testez-vous votre plan de continuité ?
- comment contrôlez-vous vos propres sous-traitants ?
- disposez-vous d’une certification ou d’un audit indépendant ?
- …
La relation commerciale ne porte alors plus uniquement sur la qualité, le prix et les délais du service. Elle porte également sur « la capacité du fournisseur à démontrer sa maîtrise des risques ».
Face à un client représentant une part importante du chiffre d’affaires, deux phrases peuvent produire des conséquences opérationnelles proches :
« La réglementation vous impose cette mesure. » et « Sans cette mesure, nous ne pouvons plus vous référencer comme fournisseur. »
Dans le second cas, aucune autorité publique ne prononce de sanction, la perte potentielle du contrat suffit à transformer une exigence indirecte ou volontaire en priorité immédiate. C’est probablement l’une des raisons pour lesquelles certaines réglementations produisent des effets beaucoup plus vastes que leur seul champ d’application juridique.
Éviter la conformité par photocopieuse
Cette diffusion possède néanmoins ses travers, une organisation peut être tentée de transmettre mécaniquement l’intégralité de ses propres exigences à tous ses fournisseurs. Ce n’est ni nécessairement pertinent ni toujours proportionné.
Un prestataire intervenant quelques heures par an sur un service périphérique ne présente pas le même risque qu’un hébergeur supportant une activité critique, leur adresser le même questionnaire et leur imposer les mêmes clauses peut produire beaucoup de documentation sans améliorer réellement la sécurité.
NIS 2 repose sur des mesures appropriées et proportionnées au risque. DORA adopte également une approche fondée sur le risque et accorde une attention particulière aux services TIC soutenant des fonctions critiques ou importantes.
La propagation des exigences ne devrait donc pas devenir une simple reproduction administrative.
La bonne question n’est pas « Comment transférer toutes nos obligations au fournisseur ? » mais plutôt « De quelles garanties avons-nous réellement besoin de sa part pour maîtriser notre risque ? »
Cette réflexion suppose de connaître le service fourni, les accès accordés, les données traitées, les dépendances techniques, les possibilités de remplacement et les conséquences d’une défaillance. Elle relève donc d’une véritable analyse de risques, et non de la reproduction d’un questionnaire standard.
Le contrat comme accélérateur de conformité
NIS 2, DORA, le RGPD et ISO/IEC 27001 ne sont pas comparables juridiquement. Les trois premiers relèvent du droit européen, avec des champs d’application, des obligations et des mécanismes propres. ISO/IEC 27001 est une norme internationale dont la mise en œuvre et la certification demeurent généralement volontaires.
Ils révèlent pourtant un phénomène commun : une exigence de sécurité ou de conformité ne s’arrête pas nécessairement à son destinataire initial. Elle peut devenir une clause contractuelle, puis un questionnaire fournisseur, une condition de référencement et enfin une exigence adressée au sous-traitant suivant. Le droit fixe un premier périmètre, la chaîne économique en dessine un second, parfois beaucoup plus vaste.
Le contrat ne remplace donc pas la loi et n’en étend pas artificiellement le champ d’application. Il en devient le vecteur opérationnel dans les relations économiques.
Pour un fournisseur, anticiper cette évolution suppose d’identifier les exigences susceptibles d’être imposées par ses clients, d’évaluer les écarts et de préparer les éléments permettant de démontrer sa maîtrise des risques. Cette démarche peut être engagée avant même de déterminer si l’entreprise entre directement dans le champ d’un texte.
La question ne sera donc plus seulement : Sommes-nous juridiquement soumis à NIS 2, à DORA ou à telle autre réglementation ? Elle deviendra de plus en plus souvent :nos clients le sont-ils, et qu’attendront-ils désormais de nous ?
C’est probablement ainsi que la conformité se diffuse le plus rapidement : non parce que le contrat irait juridiquement plus loin que la loi, mais parce qu’il transforme une exigence située en amont en condition immédiate de la relation commerciale.
