NIS2 dans la chaîne d'approvisionnement : questionnaires et clauses contractuelles pour les fournisseurs non concernés

L'essentiel en bref

• Une entreprise qui ne relève pas elle-même de NIS2 n'a en règle générale aucune obligation propre au titre de la loi allemande BSIG : pas d'enregistrement auprès du BSI, pas d'obligation de notification au BSI et pas de risque d'amende. Pour un fournisseur, les obligations liées à NIS2 découlent uniquement du contrat avec le client.
• Les clients réglementés posent des questions parce que l'article 30, paragraphe 2, phrase 2, n° 4 du BSIG les oblige à sécuriser leur chaîne d'approvisionnement et que l'article 30, paragraphe 1, phrase 3 du BSIG les oblige à documenter cette conformité.
• Cinq fondamentaux couvrent les questions habituelles des questionnaires fournisseurs : une vue d'ensemble des accès, la MFA, une sauvegarde testée, un circuit de signalement des incidents et des formations attestées.
• Une certification ISO 27001 répond à de nombreuses questions, mais seulement si son périmètre couvre la prestation achetée par le client. Il n'existe pas de certificat NIS2 officiel pour les fournisseurs.
• Chaque réponse au questionnaire devrait indiquer le statut, le périmètre, la preuve et le responsable. L'affirmation générale « Nous sommes conformes à NIS2 » n'a sa place dans aucune réponse.

Selon votre propre analyse, votre entreprise ne relève pas de NIS2. NIS2 vous atteint pourtant par la chaîne d'approvisionnement : le premier questionnaire de sécurité d'un client arrive sur votre bureau, parfois avec un délai serré, et le prochain renouvellement de contrat apporte de nouvelles clauses sur la notification des incidents et les droits d'audit.

Si vous remplissez le questionnaire rapidement en répondant « oui » partout, attendez-vous à des questions complémentaires. À ce stade au plus tard, le client voudra voir des preuves, par exemple sur votre dernier test de sauvegarde, la couverture MFA ou les formations.

D'après mon expérience, de nombreuses entreprises de taille intermédiaire sont confrontées à certaines exigences NIS2 par leurs clients et non par la loi. En Allemagne, les obligations s'appliquent depuis le 6 décembre 2025. Beaucoup d'entreprises réglementées commencent seulement maintenant à interroger leurs fournisseurs de façon systématique. En vous préparant tôt et de manière structurée, vous gagnez du temps avec chaque nouveau client.

Cet article montre ce que vous devez fournir en tant que fournisseur non concerné, ce que vous pouvez vous engager à faire et ce qu'il vaut mieux éviter.

Vérification de l'applicabilité de NIS2 : êtes-vous concerné vous-même ?

Indépendamment de toute demande client, vérifiez d'abord si votre entreprise constitue elle-même une entité importante ou essentielle au sens de l'article 28 du BSIG, la loi qui transpose NIS2 en Allemagne. Si vous dépassez les seuils, la question suivante est de savoir si votre activité correspond à l'un des types d'entités énumérés par le BSIG. Certaines entreprises de taille intermédiaire qui se croient non concernées le sont en réalité. Pour elles, les obligations s'appliquent directement, y compris l'enregistrement auprès du BSI.

Les seuils se situent en général à au moins 50 salariés, ou à un chiffre d'affaires annuel et un total de bilan annuel supérieurs chacun à 10 millions d'euros (article 28 du BSIG). Le moyen le plus rapide d'obtenir une première évaluation est le vérificateur NIS2.

NIS2 dans la chaîne d'approvisionnement : pourquoi votre client vous interroge-t-il si vous n'êtes pas concerné ?

Votre client doit démontrer qu'il maîtrise de manière appropriée les risques de sa chaîne d'approvisionnement, et il a besoin de preuves de votre part pour cela.

Les entités réglementées doivent assurer la sécurité de leur chaîne d'approvisionnement, y compris les aspects liés à la sécurité des relations avec leurs fournisseurs et prestataires de services directs (article 30, paragraphe 2, phrase 2, n° 4 du BSIG). Elles doivent aussi documenter cette conformité (article 30, paragraphe 1, phrase 3 du BSIG).

Le BSIG transpose la directive NIS 2 (UE) 2022/2555, et sur ce point la directive va plus loin que la lettre de l'article 30 du BSIG. Comme l'article 30 du BSIG doit être interprété conformément à la directive, cette précision s'applique aussi aux entités établies en Allemagne. Elles doivent tenir compte des vulnérabilités propres à chaque fournisseur direct, de la qualité de ses produits et de ses pratiques de cybersécurité ainsi que de ses procédures de développement sécurisé (article 21, paragraphe 3 de la directive NIS 2).

Attendez-vous donc à ce que votre client demande des preuves, au plus tard lors de questions complémentaires ou d'un audit fournisseur. Votre client a besoin, pour chaque fournisseur, d'une preuve qu'il peut archiver et présenter lors d'un contrôle. C'est pourquoi de nombreuses questions portent sur la mise en œuvre effective d'une mesure et pas seulement sur son existence, et pour les points critiques comme les sauvegardes ou les plans d'urgence, sur les tests. Notre guide NIS2 sur la sécurité de la chaîne d'approvisionnement décrit comment les entreprises réglementées abordent cette obligation de leur côté.

Pour vous, la situation est différente : vous n'êtes pas destinataire de la loi. Vous n'avez pas à vous enregistrer auprès du BSI, vous n'avez aucune obligation de notification envers le BSI et vous ne risquez aucune amende au titre du BSIG. Vos obligations liées à NIS2 découlent uniquement du contrat avec votre client. Si votre client ne peut pas évaluer votre sécurité, cela peut toutefois vous desservir dans l'évaluation des fournisseurs et lors de futurs appels d'offres.

Que contiennent habituellement le questionnaire et le contrat ?

La plupart des questionnaires et des annexes de sécurité s'appuient sur les dix mesures de l'article 30, paragraphe 2 du BSIG, que nous détaillons dans notre article sur les exigences NIS2 en matière de gestion des risques. Les questions portent généralement sur les accès, les sauvegardes, les incidents, les formations et vos propres sous-traitants. C'est surtout le niveau de détail qui varie.

Il n'existe pas de format officiel. Chaque client traduit lui-même son obligation en questions. Les questionnaires diffèrent donc par leur structure et leur formulation, même lorsqu'ils portent sur les mêmes exigences. La sélection ci-dessous montre, à partir d'exemples typiques, ce qui se cache derrière les questions et quelles preuves conviennent.

En plus du questionnaire, les annexes de sécurité aux contrats se généralisent. Préparez-vous donc à en recevoir une lors du prochain renouvellement de contrat. Elles fixent des mesures minimales, des obligations de notification envers le client et des droits d'audit. La section sur les clauses contractuelles indique lesquelles vérifier avant de signer.

Quel socle devriez-vous avoir avant de répondre ?

Cinq fondamentaux couvrent les sujets sur lesquels les clients interrogent habituellement. Un fournisseur non concerné n'a généralement pas besoin de mettre en œuvre l'intégralité des dix mesures de l'article 30 du BSIG.

Les dix mesures constituent certes un cadre pertinent pour la sécurité de l'information. Les mettre toutes en œuvre uniquement à la demande d'un client serait toutefois le plus souvent disproportionné pour un fournisseur non concerné, car votre client s'intéresse à ce qui touche ses propres risques. Les mesures de votre client doivent elles aussi être proportionnées (article 30, paragraphe 1, phrase 2 du BSIG). Ce qu'il exige de ses fournisseurs dépend donc du risque lié à chaque prestation. Vous devriez disposer de ces cinq fondamentaux :

1. Vue d'ensemble des accès : quels collaborateurs et quels sous-traitants ont accès aux systèmes, aux données ou aux locaux, par exemple aux salles serveurs ?
2. MFA : sur tous les accès depuis l'extérieur et sur la messagerie.
3. Sauvegarde testée : un test de restauration avec date et résultat.
4. Circuit de signalement des incidents : qui décide si un incident concerne le client, et qui l'informe ? Avec un suppléant, y compris le week-end.
5. Formation attestée : au moins une fois par an, direction comprise.

Je recommande de rédiger, comme base de vos réponses, une auto-déclaration écrite sur la sécurité de l'information. Elle décrit de façon concise vos mesures, vos responsables et vos preuves. Son ampleur dépend de votre prestation et des risques qui concernent vos clients. Avec ce document, vous répondez beaucoup plus vite à chaque nouveau questionnaire, car vous n'avez pas à rassembler réponses et preuves à chaque fois.

Une certification ISO 27001 suffit-elle comme réponse ?

Souvent oui, mais seulement si le périmètre du système de management de la sécurité de l'information (SMSI), tel qu'il figure sur le certificat, couvre la prestation achetée par votre client.

Ne confondez pas pour autant une certification ISO 27001 avec la conformité à NIS2. Une idée reçue répandue veut qu'ISO 27001 couvre entièrement les exigences de NIS2. Si vous relevez vous-même de NIS2, les obligations légales vont plus loin, par exemple pour la notification au BSI. Notre comparaison NIS2 et ISO 27001 montre où les deux référentiels se recoupent et où ils divergent. Pour vous, en tant que fournisseur non concerné, une autre question compte : votre certificat couvre-t-il ce que votre client demande ?

Si la prestation achetée par votre client se situe hors du périmètre de votre SMSI, le certificat seul ne suffit pas. Le client interrogera alors séparément sur ces points.

Vérifiez trois choses avant l'envoi :

• Périmètre : le périmètre indiqué sur le certificat couvre-t-il les sites, les systèmes et les prestations que le client utilise ?
• Déclaration d'applicabilité (DdA) : les mesures pertinentes pour le client sont-elles applicables et mises en œuvre, par exemple le contrôle d'accès (A.5.15), l'authentification sécurisée (A.8.5) et la sauvegarde des informations (A.8.13) ?
• Validité : le certificat est-il valide et le dernier audit de surveillance a-t-il eu lieu dans les délais ?

Même avec un certificat adapté, les clients envoient souvent un questionnaire. Renvoyez alors au certificat pour chaque question et joignez la preuve concrète partout où le client demande des détails.

Et si vous n'avez pas encore de certificat ?

Pour des questionnaires ponctuels, l'auto-déclaration recommandée plus haut suffit souvent, complétée par les preuves correspondantes.

À mon avis, une certification vaut surtout la peine si l'un de ces points vous concerne :

• Vous livrez plusieurs clients réglementés ou recevez régulièrement des questionnaires.
• Vous avez accès aux systèmes ou aux données de vos clients.
• Des appels d'offres ou des contrats-cadres exigent un certificat.
• Vos clients viennent de secteurs dotés de normes établies.

Le certificat adapté dépend de votre secteur et des exigences de vos clients. Sur de nombreux sujets, une certification va au-delà de ce que demande un questionnaire isolé. En contrepartie, vous renvoyez chaque nouveau client vers un système audité au lieu de rassembler des preuves à chaque fois. Les grandes entreprises en particulier exigent en outre ce type de certificat comme base de collaboration, indépendamment de NIS2, et d'après mon expérience cette exigence continue de progresser. Un SMSI certifié renforce aussi votre propre sécurité de l'information, car les risques sont recensés de façon systématique, les responsabilités clarifiées et les mesures réexaminées régulièrement. Notre guide de la certification ISO 27001 décrit le chemin pour y parvenir.

Comment répondre sans trop promettre ?

Répondez à chaque question en indiquant le statut, le périmètre, la preuve et le responsable, et ne vous engagez sur rien que vous ne puissiez prouver.

Supposons que vous répondiez « oui » à la question « Plan d'urgence en place et testé chaque année ? », alors que le plan existe mais n'a pas encore été testé. Si le client demande le procès-verbal du test lors d'un audit fournisseur, le rapport mentionne un écart et vos autres réponses perdent en crédibilité. La réponse « Partiellement mis en œuvre, test prévu au deuxième trimestre » aurait en revanche donné au client une image exacte de l'état d'avancement.

Chaque réponse devrait contenir quatre éléments :

• Statut : mis en œuvre, partiellement mis en œuvre, prévu (avec date) ou non applicable (avec justification)
• Périmètre : pour quels sites, systèmes et prestations
• Preuve : quel élément démontre la mise en œuvre, par exemple un document, une capture d'écran des paramètres système ou un journal, consultable sur demande
• Responsable : qui en a la charge chez vous

N'écrivez jamais de façon générale « Nous sommes conformes à NIS2 ». Il n'existe pas de certificat NIS2 officiel pour les fournisseurs, et vous n'êtes pas destinataire de la loi. L'affirmation n'est pas démontrable et peut se retourner contre vous sur le plan contractuel. Considérez le questionnaire comme une déclaration que votre client archive et ressortira lors de la prochaine évaluation des fournisseurs.

Quelles clauses contractuelles ne faut-il pas signer sans les vérifier ?

Négociez avec une contre-proposition concrète plutôt que de refuser en bloc. Votre client a avant tout besoin de quelque chose qu'il peut documenter.

Une annexe de sécurité qui accompagne un renouvellement de contrat peut contenir des exigences maximales. Les points typiques et des contre-propositions possibles :

Clarifiez les plafonds de responsabilité et les pénalités contractuelles avec votre conseil juridique. Cette section ne remplace pas un conseil juridique.

Combien de temps faut-il pour pouvoir répondre de manière solide ?

Si vous disposez déjà des cinq fondamentaux, vous pouvez généralement répondre à un questionnaire en quelques semaines. Si vous partez de zéro, comptez plutôt plusieurs mois. Il n'existe pas de chiffre universel : l'effort dépend de l'ampleur du questionnaire et de la maturité des mesures de sécurité déjà en place.

Un exemple typique est celui d'un éditeur de logiciels situé sous les seuils, qui ne relève donc pas lui-même de NIS2. Plusieurs de ses clients appartiennent à des secteurs concernés par NIS2 et lui ont déjà envoyé des questionnaires de sécurité, et d'autres sont attendus. Certains clients ont même exigé une « conformité NIS2 », alors que l'éditeur n'est pas du tout destinataire de la loi.

Les questionnaires comptent le plus souvent 10 à 20 pages et 50 à 100 questions. S'y ajoutent des politiques que le client souhaite consulter et une liste des sous-traitants. Le délai de réponse est en général de deux à quatre mois, parfois de quelques semaines seulement. Comme l'éditeur a déjà mis en place des mesures de sécurité de l'information, un questionnaire isolé est faisable dans ce délai. Cela se complique lorsque plusieurs demandes arrivent en même temps et que des lacunes restent à combler en parallèle, car l'activité courante continue.

Un déroulement réaliste pour un premier questionnaire, en trois étapes :

1. Lire le questionnaire et clarifier avec le client la prestation concernée et la date à laquelle il attend la réponse. Désigner une personne responsable. Notre article sur la responsabilité NIS2 explique qui assume généralement ce rôle dans les entreprises de taille intermédiaire.
2. Combler les lacunes rapides, par exemple la MFA, le test de sauvegarde et le circuit de signalement.
3. Rédiger l'auto-déclaration sur la sécurité de l'information et étayer les réponses par des preuves. Indiquer les sujets de plus longue haleine, comme une certification, avec la mention « prévu, avec date ».

Si le délai est trop court, demandez une prolongation et joignez un point d'étape.

Comment Kertos accompagne les fournisseurs face aux demandes NIS2

Kertos est une plateforme européenne de conformité sur laquelle les entreprises construisent leur SMSI et gèrent politiques, responsabilités, risques et preuves en un seul endroit. Pour un fournisseur, cela signifie qu'à l'arrivée du prochain questionnaire, les preuves sont déjà organisées au lieu de devoir être rassemblées. La formation « Information Security Basics » est incluse dans la plateforme, en allemand et en anglais, et son suivi par chaque collaborateur est enregistré comme preuve dans le SMSI.

Si vous visez une certification ISO 27001, des experts certifiés de Kertos vous accompagnent jusqu'à l'audit. La mise en œuvre des mesures reste de votre ressort, Kertos structure, documente et accompagne. Jusqu'à présent, tous les clients de Kertos ont réussi leur audit. Lors d'une démo personnalisée, nous vous montrons à quoi cela pourrait ressembler pour votre entreprise.

Questions fréquentes

Dois-je m'enregistrer auprès du BSI en tant que fournisseur ?

Non, tant que vous n'êtes pas concerné vous-même. L'obligation d'enregistrement s'applique aux entités essentielles et importantes ainsi qu'aux fournisseurs de services d'enregistrement de noms de domaine (article 33, paragraphe 1 du BSIG).

Existe-t-il un certificat NIS2 pour les fournisseurs ?

Non. NIS2 ne prévoit aucun certificat permettant à un fournisseur de prouver sa « conformité NIS2 ». Les clients acceptent des preuves portant sur des mesures concrètes ou des attestations établies, comme une certification ISO 27001, un label TISAX ou une attestation C5.

Que se passe-t-il si je ne réponds pas au questionnaire NIS2 de mon client ?

Vous ne risquez aucune amende au titre du BSIG. Si votre contrat prévoit une obligation de coopération, des conséquences contractuelles sont toutefois possibles. Votre client doit en outre évaluer et documenter le risque. Sans votre réponse, il vous classera dans le doute de façon plus prudente, prendra des mesures supplémentaires de son côté ou reconsidérera la collaboration.

Dois-je reprendre le délai de notification de 24 heures de mon client en tant que fournisseur ?

Pas en vertu de la loi ; sur le plan contractuel, c'est une question de négociation. Le délai de 24 heures de votre client ne court qu'à partir du moment où il prend lui-même connaissance d'un incident de sécurité important (article 32, paragraphe 1, n° 1 du BSIG). Il souhaite néanmoins être informé rapidement pour évaluer l'impact sur ses services. Un engagement raisonnable consiste à signaler les incidents pertinents sans délai injustifié après en avoir pris connaissance, à un contact désigné.

Dois-je contrôler mes propres fournisseurs en tant que fournisseur ?

Pas au titre de NIS2. Votre client peut toutefois l'exiger par contrat, généralement pour les sous-traitants ayant accès à ses systèmes ou à ses données. Vérifiez séparément si d'autres réglementations, comme le RGPD, créent des obligations propres.