la liste de questions demande comment nous identifions les risques dans notre chaîne d'approvisionnement

Les risques de chaîne concernent deux questions différentes

La question sur les risques de la chaîne d'approvisionnement porte en pratique sur deux choses à la fois, et le questionnaire ne fait souvent pas cette distinction de manière explicite. Premièrement : l'entreprise elle-même a-t-elle une vue sur les risques qui entrent par ses propres fournisseurs et prestataires — pensez à un fournisseur informatique ayant accès au réseau, ou à un composant logiciel d'un tiers. Deuxièmement : l'entreprise impose-t-elle des exigences à ces fournisseurs, et les contrôle-t-elle. Ce deuxième point chevauche la question de savoir si l'entreprise impose des exigences de sécurité à ses propres fournisseurs — c'est souvent littéralement la même question, seulement formulée différemment ailleurs dans la liste.

Celui qui est certifié ISO/IEC 27001 peut généralement se référer aux mesures de contrôle pour les relations avec les fournisseurs figurant dans l'Annexe A — elles sont spécifiquement conçues pour cette partie, et un auditeur les a déjà évaluées. Sans certificat, la réponse n'est pas automatiquement « non » : ce qui importe est qu'il existe une analyse de risques dans laquelle les fournisseurs sont considérés comme un point d'attention, même si elle est informelle. Cela s'aligne avec la question plus large sur la politique d'analyse des risques, où les risques de chaîne sont généralement un paragraphe, non un document séparé. S'il n'y a rien de documenté, alors « non » est la réponse honnête — présenter un oui sans qu'il y ait une analyse de risques, une clause contractuelle ou un inventaire des fournisseurs pour le justifier, ne tiendra pas si le client demande la pièce justificative.

D'où cela provient : article 21, paragraphe 2, NIS2

La sécurité de la chaîne est mentionnée comme élément distinct à l'article 21, paragraphe 2, de la directive NIS2, entre les dix mesures qui y sont énumérées. Pour celui qui relève lui-même de la directive — ou bientôt de la Loi sur la cybersécurité, la transposition néerlandaise qui entrera en vigueur le 15 août 2026 — ce n'est pas une partie facultative mais l'une des mesures obligatoires. Pour celui qui n'y est pas soumis, mais reçoit quand même la question d'un client, c'est généralement une répercussion de cette même exigence : le client doit lui-même pouvoir démontrer qu'il maîtrise sa chaîne, et pose donc la question en cascade.