le client veut que nous signions une déclaration de sécurité est-ce que c'est permis

Vous pouvez signer, mais lisez attentivement ce qu'il y a écrit

Oui, un client peut le demander — une déclaration de sécurité n'est pas une obligation légale mais une condition contractuelle, et le client est libre de l'imposer. La question n'est pas de savoir s'il peut la demander, mais si la déclaration couvre ce que vous faites réellement. Une signature au bas de « nous respectons les dix mesures de l'article 21 paragraphe 2 NIS2 » ou « nous sommes conformes à ISO 27001 » est un engagement ayant une valeur contractuelle, pas une case à cocher sur un questionnaire. En cas de litige — un incident chez le client qui vous serait imputable — cette déclaration sera le premier document consulté.

Examinez d'abord le format. La déclaration demande-t-elle un oui/non par mesure, ou s'agit-il d'une seule déclaration en blanc « nous sommes conformes à NIS2 » ? Le premier cas peut être justifié point par point ; le second est souvent plus large que ce que vous pouvez prouver, particulièrement si vous ne relevez pas vous-même de la directive mais en tant que fournisseur d'une entité qui en relève — ou si l'entreprise elle-même relève de la directive NIS2 est alors la première question que vous vous posez. Ne signez jamais une affirmation concernant une mesure que vous ne pouvez pas démontrer, par exemple ou s'il existe un processus de détection des vulnérabilités — si vous ne l'avez pas, vous l'écrivez ou vous demandez une version spécifiée.

D'où vient la responsabilité

La déclaration elle-même ne tire pas son poids de la loi sur la cybersécurité — qui n'oblige que les entités désignées elles-mêmes, pas directement leurs fournisseurs — mais du contrat que vous signez. NIS2 opère par l'article 21 paragraphe 2, qui oblige les entités à gérer les risques dans la chaîne d'approvisionnement ; c'est la raison pour laquelle cette entité vous la demande, non la raison pour laquelle vous y êtes lié. Ce que vous vous engagez à faire figure donc dans le texte de la déclaration elle-même, non dans la directive.