devons-nous poser les mêmes questions de cybersécurité à nos propres fournisseurs

Oui, car l'article 21 paragraphe 2 l'impose explicitement

Oui, dans la plupart des cas, c'est obligatoire. L'article 21 paragraphe 2 de la directive NIS2 énumère dix mesures qu'une entité doit prendre, et le point (d) porte spécifiquement sur la sécurité de la chaîne d'approvisionnement — notamment les relations avec chaque fournisseur ou prestataire de services. Si votre client demande donc la sécurité de la chaîne, il ne suffit pas de montrer ce que vous faites vous-même. Vous devez également pouvoir démontrer ce que vous exigez de vos propres sous-traitants et comment vous le contrôlez.

Dans la pratique, cela signifie généralement une approche en couches, et non une copie de l'intégralité du questionnaire de votre client. De votre côté, demandez généralement : le sous-traitant a-t-il les mesures de base en place (accès, sauvegardes, gestion des incidents), y a-t-il une clause contractuelle sur l'obligation de déclaration en cas d'incident, et — pour les fournisseurs critiques — existe-t-il une preuve telle qu'une certification ISO 27001 ou une déclaration propre. Plus le poids du sous-traitant est important dans votre prestation au client, plus spécifiques peuvent être les exigences que vous pouvez lui transmettre. C'est la même question que votre client vous pose maintenant sur les exigences de sécurité imposées aux propres fournisseurs — vous êtes ici au milieu de la chaîne, pas au début.

Où cela figure dans la directive et la norme

L'obligation elle-même figure à l'article 21 paragraphe 2 point (d) de la directive NIS2, qui énumère la sécurité de la chaîne d'approvisionnement comme l'une des dix mesures obligatoires. Pour la pratique néerlandaise, cela se traduit par la Loi sur la cybersécurité, la transposition de NIS2 qui entre en vigueur le 15 août 2026 — à partir de cette date, l'obligation s'applique également formellement au droit néerlandais pour les entités couvertes par la loi. Ceux qui peuvent démontrer que cela a été mis en place de manière systématique se réfèrent souvent à l'Annexe A de la norme ISO/IEC 27001, où les relations avec les fournisseurs et la sécurité dans la chaîne d'approvisionnement figurent comme des mesures de contrôle distinctes. La question de savoir si votre entreprise est elle-même couverte par la directive NIS2 en tant qu'entité est d'ailleurs une question distincte indépendante de ce que votre client exige contractuellement de vous ; cette distinction est traitée dans la question de savoir si l'entreprise est couverte par la directive.