le client veut savoir si notre service cloud est suffisamment sécurisé que je réponds

Le fournisseur de services cloud relève de la politique de sécurité de la chaîne, pas d'une rubrique séparée

Cette question n'est presque jamais une simple question oui/non. Le client demande en réalité si votre gestion des fournisseurs s'applique également à votre fournisseur de services cloud, ce qui relève de les exigences de sécurité imposées aux propres fournisseurs — point (d) des dix mesures à l'article 21, paragraphe 2 de la directive NIS2. La réponse se compose donc de deux volets : l'entité dispose-t-elle d'une politique relative aux fournisseurs, et le fournisseur de services cloud a-t-il fait l'objet d'une évaluation concrète à cet égard. Un « oui » au seul premier volet sans que le fournisseur de services cloud ait jamais été évalué est une demi-vérité qui ressurgira lors d'un audit.

La preuve qui compte varie selon la maturité du dossier. Si le fournisseur de services cloud dispose lui-même d'un certificat ISO 27001 ou d'un rapport SOC 2, c'est la pièce la plus solide — comparez-la avec la question de savoir si l'entité elle-même est certifiée ISO 27001, car ce sont deux certificats distincts qui ne doivent pas être confondus dans la réponse. En l'absence de certificat, un accord de traitement avec un addendum de sécurité, ou une évaluation des fournisseurs datée en interne, constitue la deuxième meilleure preuve. Sans l'un ou l'autre, « non » ou « en cours » est la réponse appropriée, même si le fournisseur de services cloud est probablement très bien sécurisé — la probabilité n'est pas une preuve.

Tel qu'il ressort de ceci : article 21, paragraphe 2, point d et Annexe A.15

L'obligation d'évaluer les fournisseurs et prestataires de services sur la sécurité figure explicitement à l'article 21, paragraphe 2, point d de la directive NIS2, comme l'une des dix mesures qu'une entité doit prendre. ISO/IEC 27001 le développe davantage à l'Annexe A sous les mesures de maîtrise relatives aux relations avec les fournisseurs. Aux Pays-Bas, cela passera bientôt par la loi sur la cybersécurité, la transposition nationale de NIS2 qui entrera en vigueur le 15 août 2026 — jusqu'à cette date, la directive elle-même reste le texte de référence. Si vous doutez que ce soit déjà une obligation pour votre propre entité et non seulement une question d'un client, consultez ou si l'entreprise elle-même relève de la directive NIS2.