le client demande comment nous sommes protégés contre les attaques via nos fournisseurs

Cette question porte sur l'article 21, paragraphe 2, point d, et non sur l'ensemble de votre politique de sécurité

Cette question porte spécifiquement sur la sécurité de la chaîne d'approvisionnement : que faites-vous pour éviter qu'une faille chez vos fournisseurs ne rende une attaque contre vous possible. C'est l'une des dix mesures de l'article 21, paragraphe 2, directive NIS2, aux côtés notamment de l'analyse des risques, du traitement des incidents et de la cryptographie. Le demandeur ne souhaite donc pas savoir comment vos propres systèmes sont sécurisés — c'est une autre question de la liste — mais comment vous maîtrisez les risques qui vous parviennent par un tiers.

Une preuve concrète de cela consiste généralement en trois éléments : une évaluation des fournisseurs avant la conclusion d'un contrat, des exigences de sécurité consignées contractuellement (pensez à un accord de traitement ou à un avenant de sécurité distinct), et un aperçu des fournisseurs qui ont accès à quels systèmes ou données. Si vous ne disposez pas de cela, alors « non » est la réponse honnête — une liste de fournisseurs sans exigences sous-jacentes ne constitue pas une preuve de maîtrise. Si vous souhaitez mieux comprendre ce que le client entend exactement par cette question, il est utile de vérifier si l'entreprise établit des exigences de sécurité envers ses propres fournisseurs est séparé dans le dossier de chaîne, indépendamment de la question de savoir si vous-même êtes soumis à la directive.

Si vous êtes certifiée ISO 27001, la réponse est souvent déjà prête : l'Annexe A contient une mesure de maîtrise spécifique pour les relations avec les fournisseurs (A.5.19 à A.5.22 dans la version 2022), et un auditeur a déjà vérifié cela. Sans certification, la réponse n'est pas automatiquement « non » — il s'agit de ce que vous faites réellement, non du sceau. En cas de doute, vérifiez si l'entreprise est certifiée ISO 27001 est déjà consigné dans le dossier, ce qui vous épargne des recherches pour cette question.

D'où cela vient : article 21, paragraphe 2, point d, NIS2

L'article 21, paragraphe 2, point d, de la directive (UE) 2022/2555 mentionne explicitement « la sécurité de la chaîne d'approvisionnement » comme élément obligatoire de la gestion des risques, y compris la relation avec les fournisseurs individuels. La Loi relative à la cybersécurité reprend cette obligation dès son entrée en vigueur ; jusqu'à cette date, la question peut déjà se poser parce que le client lui-même est soumis à la directive et la transmet dans la chaîne, même si vous-même n'êtes pas une entité NIS2.