le client demande comment est sécurisée notre fournisseur cloud que dois-je répondre

Le fournisseur de cloud relève de l'article 21 alinéa 2 point d

Répondez avec ce que vous pouvez réellement justifier : les accords contractuels avec votre fournisseur de cloud concernant la sécurité, et le cas échéant un certificat ou un rapport d'audit fourni par le prestataire. La question de la sécurité de votre fournisseur de cloud relève de la catégorie sécurité des fournisseurs : l'article 21 alinéa 2 point d de la NIS2 mentionne explicitement la sécurité de la chaîne d'approvisionnement, y compris la relation avec les fournisseurs de services cloud. Votre dossier n'a donc pas besoin de prouver la sécurité du fournisseur de cloud lui-même — c'est le fournisseur qui le fait lui-même, via son propre certificat ou rapport de transparence. Ce que vous devez pouvoir montrer, c'est que vous avez vérifié cette sécurité avant d'adopter le service et que vous le faites périodiquement.

Si vous ne disposez pas de cette preuve — pas de copie d'un certificat ISO 27001 du fournisseur, pas de rapport SOC 2, pas de clause contractuelle concernant l'obligation de signalement des incidents — alors « non » ou « non démontré » est la bonne réponse, même si vous faites confiance au fournisseur. La confiance n'est pas une preuve. Concrètement : demandez cette preuve au fournisseur (les grands partenaires cloud disposent généralement de cela en standard dans un centre de confiance ou un portail similaire) et mettez-la dans votre dossier de chaîne dès que vous l'avez. La même question est souvent liée à exigences de sécurité que vous imposez vous-même aux fournisseurs — si vous avez déjà établi une politique à ce sujet, le fournisseur de cloud en est un exemple concret.

Où cela figure dans les dix mesures

L'article 21 alinéa 2 de la NIS2 énumère dix mesures qu'une entité doit prendre ; le point d concerne spécifiquement la sécurité de la chaîne d'approvisionnement, avec une référence explicite aux aspects de sécurité des relations avec les fournisseurs. ISO/IEC 27001 l'explicite dans l'Annexe A parmi les mesures de gestion pour les relations avec les fournisseurs, qui incluent également les exigences relatives aux fournisseurs de services cloud et TIC. Si votre propre entreprise est elle-même une entité soumise à la Loi sur la cybersécurité, ce n'est pas une question isolée mais une partie d'une obligation — vérifiez-le le cas échéant auprès de la question de savoir si votre entreprise relève de la NIS2.