Chaîne d'approvisionnement NIS 2 : les bases
L'article 21(2)(d) NIS 2 impose aux entreprises réglementées de prendre des mesures de sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité de leurs relations avec leurs fournisseurs et prestataires de services directs. Cette page couvre les bases : ce que dit la règle, qui elle atteint, ce que vos clients peuvent demander et comment les fournisseurs prouvent leur cybersécurité sans devenir eux-mêmes une entité réglementée.
Pourquoi les petits fournisseurs sont concernés par NIS2
NIS2 (art. 21(2)(d) NIS 2, transposé au § 30(2) Nr. 4 BSIG) impose à chaque entité essentielle et importante (environ 29 500 en Allemagne selon le BSI) de prendre des mesures de sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité de ses relations avec ses fournisseurs et prestataires de services directs. Pour choisir ces mesures, elle doit tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité globale des produits et des pratiques de sécurité de ses fournisseurs (art. 21(3)). Le contrat est la voie habituelle : l'exposé des motifs allemand cite les accords contractuels avec les fournisseurs comme exemple.
Si votre entreprise compte moins de 50 salariés et que son chiffre d'affaires annuel et son total de bilan ne dépassent pas tous deux 10 millions d'EUR, vous n'êtes en général pas directement réglementé par NIS2. Certains types d'entités sont réglementés quelle que soit leur taille, comme les prestataires de services de confiance, les fournisseurs DNS, les registres TLD, les petits fournisseurs de télécommunications publiques et les exploitants d'installations critiques (§ 28 BSIG). Si vous fournissez des services informatiques, des logiciels, des composants, de la logistique ou un autre service à une entreprise réglementée, les exigences NIS2 peuvent vous atteindre par vos contrats.
§30(2) no 4 BSIG : sécurité de la chaîne d'approvisionnement
Les entités réglementées doivent prendre des mesures pour la « sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité des relations avec les fournisseurs ou prestataires de services directs » (§ 30(2) Nr. 4 BSIG, transposant l'art. 21(2)(d) NIS 2). L'obligation reste à la charge de l'entité réglementée ; un fournisseur n'assume des obligations que par ce qu'il convient avec ce client.
Exigences contractuelles
Beaucoup d'entreprises réglementées par NIS2 se servent des contrats fournisseurs pour remplir leur obligation relative à la chaîne d'approvisionnement ; l'exposé des motifs allemand cite comme exemples des accords sur les mesures de gestion des risques, le traitement des incidents et la gestion des correctifs. Attendez-vous à de telles clauses au prochain contrat ou à la prochaine reconduction.
Audits et questionnaires fournisseurs
Vos clients peuvent envoyer des questionnaires de sécurité et mener des audits. Des réponses déjà rédigées se donnent vite.
Obligations de notification d'incident
Si un incident de sécurité dans votre entreprise provoque un incident important chez un client réglementé par NIS2, ce client doit le notifier au BSI : une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final un mois après (§ 32 BSIG). Pour tenir ces délais, il doit être informé rapidement par vous.
Avantage concurrentiel
Lorsqu'une entreprise réglementée choisit entre deux fournisseurs et que l'un peut démontrer une sécurité alignée sur NIS2 tandis que l'autre ne le peut pas : le choix est évident. La conformité devient un facteur de différenciation commercial.
Évaluation des risques
Identifiez et documentez les risques pesant sur les systèmes que vous utilisez pour le travail réalisé pour vos clients. Cela n'a pas besoin d'être complexe : une liste structurée assortie de plans de traitement suffit.
Contrôle d'accès
Qui peut accéder aux données et aux systèmes des clients ? Accès fondé sur les rôles, MFA pour l'accès à distance et gestion documentée des utilisateurs.
Gestion des incidents
Un processus documenté pour détecter les incidents de sécurité, y répondre et les notifier. Aucune loi ne fixe de délai à un fournisseur ; ce que vous convenez avec votre client en fixe un, et le délai propre du client commence à 24 heures.
Continuité d'activité
Que se passe-t-il si vos systèmes tombent en panne ? Stratégie de sauvegarde, procédures de rétablissement et plans testés pour continuer à livrer vos clients.
Politiques et preuves
Politiques de sécurité écrites, registres de formation et une piste d'audit prouvant que vous suivez vos propres règles. C'est ce que les auditeurs vérifient réellement.
Vérifiez votre exposition
Utilisez notre vérification d'applicabilité gratuite pour confirmer votre statut NIS2. Même si vous n'êtes pas directement dans le champ d'application, identifiez lesquels de vos clients sont réglementés par NIS2 : ces contrats s'accompagneront de nouvelles exigences.
Réalisez une évaluation des écarts
Comparez vos pratiques de sécurité actuelles aux 10 mesures du §30 BSIG. La plupart des petites entreprises en font déjà une partie de façon informelle : l'écart porte généralement sur la documentation, pas sur la pratique.
Mettez en œuvre les bases
Commencez par les éléments à plus fort impact : contrôle d'accès, stratégie de sauvegarde, processus de réponse aux incidents. La plateforme nisd2.eu vous accompagne à travers chaque exigence avec des modèles préétablis.
Constituez votre dossier de preuves
Lorsque votre client envoie un questionnaire de sécurité, vous devez avoir vos réponses prêtes. Politiques, registres de formation, évaluations des risques et mesures techniques : tout documenté et exportable.
Révisez chaque année
La conformité NIS2 n'est pas un projet ponctuel. Planifiez une révision annuelle de vos risques, mettez à jour vos politiques et actualisez la formation des collaborateurs.
Questions fréquentes
Suis-je légalement tenu de me conformer à NIS2 en tant que petit fournisseur ?▾
Pas directement : NIS2 s'applique aux entreprises au-dessus du seuil européen de moyenne entreprise (50 salariés ou plus OU (plus de 10 M€ de chiffre d'affaires ET plus de 10 M€ de total de bilan), au titre de la recommandation 2003/361/CE de la Commission) dans un secteur réglementé. Certains types d'entités sont couverts quelle que soit leur taille (§ 28 BSIG). Toutefois, vos clients réglementés par NIS2 sont légalement tenus de prendre des mesures de sécurité de la chaîne d'approvisionnement (§ 30(2) Nr. 4 BSIG, transposant l'art. 21(2)(d) NIS 2). Votre client peut vous répercuter des exigences dans le contrat. Vous ne serez pas sanctionné par le BSI, mais vous pourriez perdre des contrats.
Que se passe-t-il si je ne me conforme pas ?▾
Vos clients réglementés par NIS2 encourent des amendes pouvant atteindre 10 M€ / 2 % du chiffre d'affaires annuel mondial (entités essentielles) ou 7 M€ / 1,4 % (entités importantes) s'ils manquent à leurs obligations de sécurité de la chaîne d'approvisionnement (§65 BSIG). Ils exigeront soit que vous vous conformiez, soit ils vous remplaceront par un fournisseur qui le peut. La conséquence pratique est la perte d'activité, et non une amende du BSI.
Combien coûte la conformité d'un fournisseur ?▾
Pour une petite entreprise, le coût principal est le temps. Son ampleur dépend de ce qui existe déjà : la loi demande des mesures proportionnées à l'exposition au risque et à la taille de l'entreprise (§ 30(1) BSIG), et un fournisseur non réglementé ne doit que ce qu'il convient avec ses clients.
Puis-je utiliser la conformité NIS2 comme argument de vente ?▾
Oui. Lorsque vous pouvez démontrer des pratiques de sécurité alignées sur NIS2 avec des preuves documentées, vous facilitez à votre client le respect de son obligation relative à la chaîne d'approvisionnement.
Et si mon client ne m'a pas encore rien demandé ?▾
Il se peut. Le délai d'enregistrement auprès du BSI est passé le 6 mars 2026, et la sécurité de la chaîne d'approvisionnement est l'une des 10 mesures du § 30(2) BSIG (Nr. 4). Anticiper la demande rend la réponse facile le moment venu.
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.
Supply Chain Security
Record what you have agreed with your suppliers
For each supplier: what does the contract say about security?
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
