le questionnaire demande comment nous contrôlons la sécurité de nos fournisseurs

Sécurité de la chaîne : votre client fait des demandes supplémentaires concernant vos propres fournisseurs

Cette question porte sur l'article 21, paragraphe 2, point d de la NIS2 : la sécurité de la chaîne d'approvisionnement, y compris la relation avec chaque fournisseur ou prestataire de services direct. Votre client veut donc non seulement savoir comment vous êtes vous-même sécurisé, mais aussi comment vous l'imposez à vos sous-traitants. Concrètement, on demande généralement si vous incluez des exigences de sécurité dans les contrats, si vous évaluez les fournisseurs à l'avance, et si vous vérifiez régulièrement qu'ils respectent ces exigences.

Si vous n'avez pas encore mis en place ce processus formellement, la réponse la plus honnête est que vous le faites de manière informelle — par exemple par le biais de clauses contractuelles sans évaluation structurée — ou que vous ne le faites pas encore. Remplir un « oui » parce que cela semble logique n'aide pas : si votre client demande plus de détails sur un exemple de contrat ou une liste de fournisseurs avec score de risque, cela doit alors exister. La même question revient souvent sous une forme légèrement différente, à savoir si l'entreprise établit des exigences de sécurité envers ses propres fournisseurs — c'est en fait la même exigence, mais détachée de la question contractuelle. Il est donc judicieux de formuler une seule réponse que vous pouvez réutiliser sur plusieurs listes.

D'où cela vient : article 21, paragraphe 2 et Annexe A.5.19-21

La base juridique est l'article 21, paragraphe 2, point d de la directive NIS2, l'une des dix mesures obligatoires mentionnées là. Pour la pratique néerlandaise, cela se retrouve dans la Loi sur la cybersécurité, la transposition de NIS2 qui entrera en vigueur le 15 août 2026 — la demande de votre client devance donc souvent ce qui devient obligatoire pour vous-même que plus tard, sauf si vous êtes déjà couvert par la directive via la définition d'entité en vertu de la NIS2. Qui applique ISO/IEC 27001 reconnaît la même exigence dans l'Annexe A, les mesures de contrôle dans A.5.19 à A.5.21 concernant les relations avec les fournisseurs et les exigences de sécurité qui y sont établies. Les deux sources demandent essentiellement la même chose : non seulement savoir qui sont vos fournisseurs, mais démontrer de manière vérifiable que vous surveillez leur niveau de sécurité.