NIS2 et sécurité de la chaîne d'approvisionnement : maîtriser les risques liés aux tiers
Ce texte a été généré par l'intelligence artificielle (IA).
Souvent, les attaquants ne ciblent pas leur cible réelle, mais ses prestataires de services. La directive NIS2 en tire les conséquences et oblige les entreprises concernées à gérer activement la sécurité de leur chaîne d'approvisionnement. Cet article présente les exigences concrètes de la loi allemande de transposition et explique comment maîtriser efficacement les risques liés aux prestataires tiers (mise à jour : août 2026).
Dans le contexte professionnel, des notions telles que Gestion des risques liés aux fournisseurs, Gestion des risques fournisseurs (VRM), Gestion des risques liés aux tiers (TPRM) et Gestion des risques liés aux tiers. La directive NIS2 se concentre tout particulièrement sur les cyberrisques liés aux fournisseurs directs et aux prestataires de services.
L'essentiel en bref
La loi de transposition de la directive NIS2 est entrée en vigueur le 6 décembre 2025, sans période transitoire. Selon les informations fournies par le BSI, le nombre d'entités soumises à surveillance passe d'environ 4 500 à environ 29 500.
L'article 30, paragraphe 2, point 4, de la BSIG exige expressément la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs directs ou les prestataires de services.
Les entreprises doivent évaluer les vulnérabilités spécifiques de leurs fournisseurs, inscrire les exigences de sécurité dans leurs contrats et contrôler en permanence leur respect.
En cas d'infraction, l'article 65 de la loi allemande sur la sécurité des paiements (BSIG) prévoit des amendes pouvant aller jusqu'à dix millions d'euros, voire jusqu'à 2 % du chiffre d'affaires total pour les entreprises réalisant un chiffre d'affaires élevé. La direction est personnellement responsable de la mise en œuvre et du contrôle de ces dispositions.
Les notations de sécurité automatisées, associées à la gestion des risques liés aux fournisseurs, permettent d'évaluer de nombreux fournisseurs de manière pratique et documentée.
Pourquoi la directive NIS2 réglemente-t-elle expressément la chaîne d'approvisionnement ?
La directive NIS2 (UE) 2022/2555 classe la sécurité de la chaîne d'approvisionnement parmi les dix mesures minimales de gestion des risques cybernétiques. L'article 21, paragraphe 2, point d), la mentionne expressément, y compris les aspects liés à la sécurité dans les relations avec les fournisseurs directs ou les prestataires de services. Le législateur allemand a repris cette exigence presque mot pour mot à l'article 30, paragraphe 2, point 4, de la nouvelle loi sur le BSI.
Le considérant 85 de la directive en explique la raison : les incidents dans lesquels des entreprises sont compromises en raison de vulnérabilités présentes dans les produits et services de tiers se multiplient. Un accès de maintenance à distance, un composant logiciel altéré ou un service cloud insuffisamment sécurisé ouvre la voie aux attaquants vers des réseaux par ailleurs bien protégés. Le pare-feu de l'entreprise ne sert pas à grand-chose si un fournisseur disposant d'un accès privilégié est lui-même vulnérable.
La loi de transposition de la directive NIS2 est en vigueur en Allemagne depuis le 6 décembre 2025, et ce dès le premier jour, sans délai de grâce. Selon ses propres informations, le BSI supervise ainsi environ 29 500 entités issues de 18 secteurs, allant de l'énergie et de la santé aux transports en passant par l'industrie manufacturière. De nombreuses PME sont pour la première fois soumises à une réglementation en matière de cybersécurité. Notre article consacré à ce sujet offre un aperçu complet du champ d'application, des seuils et des obligations. directive NIS2.
Ce qu'exige concrètement la loi : évaluation, contrats, surveillance
L'obligation de sécurité de la chaîne d'approvisionnement repose sur trois piliers. Premièrement, l'évaluation des fournisseurs : l'article 21, paragraphe 3, de la directive exige de prendre en compte les vulnérabilités spécifiques de chaque fournisseur direct, ainsi que la qualité globale de ses produits et ses pratiques en matière de cybersécurité, y compris la sécurité des processus de développement. Une évaluation générale fondée sur une intuition ne satisfait pas à cette exigence.
Deuxièmement, l'ancrage contractuel. Les exigences de sécurité ne sont efficaces que si elles font l'objet d'un accord contraignant. Dans la pratique, cela comprend notamment :
exigences de sécurité précises imposées au prestataire de services, notamment en matière de gestion des correctifs et de chiffrement
Procédures de signalement et délais applicables en cas d'incidents de sécurité, conformément à vos propres obligations de signalement
Droits d'accès et de contrôle, afin que vous puissiez vérifier la conformité
Règles relatives au recours à des sous-traitants
Clauses de sortie et obligations de coopération dans le cadre d'une séparation à l'amiable
Troisièmement, la surveillance continue. Un contrôle ponctuel lors de l’intégration ne reflète pas la situation en matière de risques à long terme, car la surface d’attaque d’un fournisseur évolue à chaque nouveau système et à chaque modification de configuration. À cela s’ajoute le niveau de gouvernance : conformément à l’article 38 de la loi allemande sur la sécurité des systèmes d’information (BSIG), la direction doit mettre en œuvre les mesures de gestion des risques, en surveiller l’application et suivre régulièrement des formations. Si elle manque à ces obligations, elle est responsable envers son propre établissement des dommages causés par sa faute. Notre aperçu présente les autres mesures comprises dans le catalogue : Exigences NIS2 et mesures obligatoires.
Questionnaire, évaluation de la sécurité, audit : comparaison de trois méthodes
Trois méthodes se sont imposées pour l'évaluation des fournisseurs ; elles adoptent des perspectives différentes et se complètent mutuellement. Les questionnaires permettent de recenser les processus et l'organisation du point de vue du fournisseur. Un Note de sécurité mesure la surface d'attaque réellement visible depuis Internet. Les audits examinent en profondeur les processus internes. Le tableau suivant présente les différences.
critère
Questionnaire
Note de sécurité
Audit sur place
Perspective
Déclaration du fournisseur
Une vision globale des systèmes réellement accessibles
Analyse approfondie des processus internes
Coût par fournisseur
moyens : créer, assurer le suivi, analyser
faible : analyse sans participation du fournisseur
important : préparation, rendez-vous, compte-rendu
Actualité
Situation au moment de l'enquête
pouvant être mis à jour en continu
Situation à la date de l'examen
Objectivité
en fonction de l'auto-évaluation
résultats techniques mesurables
élevé grâce à un audit indépendant
Évolutivité
limité par le retour d'informations et l'analyse
élevé, l'ensemble du portefeuille en parallèle
faible, quelques fournisseurs
Utilisation typique
Questions relatives aux processus et à la conformité
suivi continu de tous les fournisseurs
partenaires critiques disposant d'un accès approfondi
Dans la pratique, cette combinaison fait ses preuves : les notations fournissent une base objective et actualisée pour l'ensemble du portefeuille. Les questionnaires permettent d'approfondir les aspects liés aux processus chez les partenaires concernés. Les audits sont réservés aux rares fournisseurs qui sont étroitement intégrés à vos systèmes. Vous répartissez ainsi les efforts là où se situent les risques.
Notations de sécurité automatisées et VRM : comment réussir leur mise en œuvre
Qu'il s'agisse d'évaluer 50 ou 200 fournisseurs, les méthodes manuelles atteignent rapidement leurs limites en termes de capacité. Les évaluations de sécurité automatisées résolvent ce problème d'évolutivité. L'analyse examine les systèmes d'un fournisseur accessibles depuis l'extérieur du point de vue d'un attaquant, sans installation d'agent et sans intervention de l'entreprise. La base technique de ce système est constituée par Gestion de la surface d'attaque externe (EASM). LocateRisk fournit les premiers résultats dans un délai de 48 heures, puis une réévaluation régulière permet de maintenir les informations à jour.
En matière d'évaluation des fournisseurs, la pertinence dépend également de l'actualité des données relatives aux points faibles. LocateRisk utilise Intelligence préemptive, afin de recouper les signalements provenant de plusieurs sources avec la surface d'attaque d'un fournisseur, même en l'absence d'une évaluation définitive du NVD. Les nouveaux risques potentiels apparaissent ainsi plus tôt, ce qui permet de les prendre en compte dans le cadre d'un contrôle fondé sur les risques.
Élément important pour définir des attentes réalistes : l'évaluation met en évidence les systèmes d'un fournisseur accessibles depuis Internet, les logiciels qui y sont utilisés et les lacunes de configuration existantes. En cas de doute, c'est au fournisseur lui-même qu'il revient de déterminer si une version concrètement installée est effectivement vulnérable. La notation fournit à cet effet des pistes d'action classées par ordre de priorité et permet d'ancrer la discussion dans le concret, là où un questionnaire reste abstrait.
Le deuxième volet consiste en une gestion structurée des risques fournisseurs. Il vous permet de gérer les questionnaires de manière centralisée, d'évaluer les réponses, d'enregistrer les justificatifs tels que les certificats et d'envoyer automatiquement des rappels aux fournisseurs concernant les réponses en attente. La combinaison d'une analyse technique externe et des informations fournies par les fournisseurs eux-mêmes permet d'obtenir une vue d'ensemble fiable pour chaque fournisseur, tout en générant la documentation dont vous avez besoin vis-à-vis de la direction et des autorités de contrôle. Pour découvrir comment cela se traduit au quotidien, consultez notre page consacrée à Gestion des risques par des tiers. LocateRisk exploite la plateforme dans le respect du RGPD, au sein de centres de données allemands certifiés, et dispose d'un SMSI certifié ISO 27001.
Processus pratique : la sécurité de la chaîne d'approvisionnement en cinq étapes
Il n'est pas nécessaire de se lancer dans un projet de grande envergure. Grâce à cette démarche, vous mettrez en place les processus requis étape par étape :
Recenser et classer les fournisseurs. Répertoriez tous vos fournisseurs directs et prestataires de services, des prestataires informatiques aux éditeurs de logiciels. Classez-les par ordre de criticité : qui a accès à vos systèmes ou à vos données, et dans quel délai un partenaire pourrait-il être remplacé ?
Évaluer les risques. Lancez une évaluation de la sécurité portant sur l'ensemble du portefeuille afin d'obtenir une base de référence objective. Pour les fournisseurs critiques, approfondissez l'analyse à l'aide d'un questionnaire ciblé portant sur les processus, les certifications et la préparation aux situations d'urgence.
Modifier les contrats. Intégrez les exigences de sécurité, les obligations de signalement en cas d'incident, les droits de contrôle et les règles applicables aux sous-traitants dans les nouveaux contrats. Classez les contrats existants par ordre de priorité en fonction de leur criticité et adaptez-les lors de leur prochain renouvellement.
Surveiller en permanence. Veillez à faire mettre à jour régulièrement les notations et définissez des seuils à partir desquels vous devez réagir, par exemple en cas de détérioration significative du niveau de sécurité. Prévoyez des réévaluations périodiques pour les partenaires critiques.
Documenter et rendre compte. Consignez les évaluations, les mesures et les décisions de manière à garantir leur traçabilité. Rendez régulièrement compte à la direction, car celle-ci doit contrôler la mise en œuvre conformément à l'article 38 de la loi allemande sur l'égalité salariale (BSIG) et a besoin, pour cela, d'indicateurs fiables.
La charge de travail est ainsi répartie sur l'année, et chaque étape permet en même temps de constituer les justificatifs qui seront exigés en cas d'urgence ou lors d'un contrôle.
Indirectement, oui. Les entreprises réglementées doivent évaluer leurs fournisseurs directs et leur imposer contractuellement des exigences de sécurité. Les fournisseurs ou prestataires de services informatiques travaillant pour des clients soumis à la directive NIS2 doivent donc s'attendre à des questionnaires, des notations et de nouvelles clauses contractuelles. Un niveau de sécurité avéré devient ainsi un facteur déterminant dans la vente, et pas seulement en matière de conformité.
Les questionnaires restent un outil utile, mais ne couvrent qu’une partie des exigences. L'article 21, paragraphe 3, de la directive exige de prendre en compte les vulnérabilités spécifiques de chaque fournisseur direct ainsi que la qualité de ses pratiques en matière de cybersécurité. Pour cela, il est nécessaire de disposer en outre d'une analyse technique de la surface d'attaque réelle et d'une surveillance continue entre les cycles d'enquête.
Cette obligation légale s'applique aux fournisseurs directs et aux prestataires de services, c'est-à-dire à vos partenaires contractuels directs. Il est judicieux d'adopter une approche fondée sur les risques : donnez la priorité aux partenaires ayant accès à des systèmes ou à des données, tels que les prestataires informatiques, les éditeurs de logiciels, les opérateurs de cloud et de centres de données, ainsi que les sociétés de maintenance disposant d'un accès à distance.
L'article 65 de la BSIG prévoit, pour les établissements particulièrement importants, des amendes pouvant aller jusqu'à dix millions d'euros, et jusqu'à 2 % du chiffre d'affaires total pour les établissements dont le chiffre d'affaires annuel dépasse 500 millions d'euros. Pour les établissements importants, ces montants s'élèvent respectivement à sept millions d'euros et 1,4 %. Par ailleurs, conformément à l’article 38 de la BSIG, en liaison avec les règles du droit des sociétés, la direction est responsable envers sa propre entité des dommages causés par une faute résultant d’un manquement à ses obligations.
Conclusion : d'une obligation à un processus maîtrisable
La directive NIS2 fait de la sécurité de la chaîne d'approvisionnement une mission de gestion vérifiable : évaluer les fournisseurs, ancrer les exigences dans les contrats, surveiller en permanence leur respect. Grâce à des notations de sécurité automatisées et à une gestion structurée des risques fournisseurs, vous remplissez ces obligations sans avoir à augmenter considérablement vos effectifs et vous gardez une vue d'ensemble de l'ensemble de votre portefeuille de fournisseurs. Notre page vous explique concrètement comment vous lancer : La gestion du risque vendeur en toute simplicité. Vous pouvez y demander une démonstration et commencer immédiatement à évaluer vos premiers fournisseurs.
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Toujours activé
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English