Ce que NIS 2 change pour vous si vous êtes fournisseur d'une grande entreprise

Le scénario en bref

Exemple, inventé pour illustrer. Une PME fictive de douze salariés entretient depuis des années les imprimantes et les copieurs d'un grand groupe. Un matin, le service achats du client envoie un tableur de 80 questions sur la sécurité informatique, à renvoyer sous trente jours, avec une phrase en gras : « Dans le cadre de notre mise en conformité NIS 2 ». Le dirigeant n'a jamais entendu parler de NIS 2. Il se demande s'il est désormais soumis à une loi qu'il ne connaît pas.

La réponse courte : pas forcément. Mais son client se prépare à l'être, et la directive lui demande de s'assurer que ses fournisseurs ne sont pas une porte d'entrée pour les pirates. C'est par ce chemin, le contrat, que NIS 2 arrive chez la plupart des PME.

Pourquoi votre client vous pose ces questions

NIS 2 est une directive européenne sur la cybersécurité. Une directive ne s'applique pas directement aux entreprises : chaque pays doit l'inscrire dans sa loi. En France, c'est le projet de loi « Résilience », adopté par le Sénat le 12 mars 2025 puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025. Au 28 octobre 2026, le dossier législatif n'indique encore aucun examen en séance : la loi n'est pas votée. L'autorité chargée de NIS 2 sera l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information.

Dans sa version adoptée par le Sénat, reprise sur ces points par la commission de l'Assemblée nationale, le texte vise surtout les entreprises d'au moins 50 personnes, ou dont le chiffre d'affaires et le total de bilan dépassent chacun 10 millions d'euros, dans des secteurs listés : énergie, santé, transport, industrie, services numériques et d'autres. Parmi les mesures demandées, il prévoit d'assurer la protection des systèmes d'information « y compris en cas de recours à la sous-traitance ». Ces seuils, repris de la directive, peuvent encore être ajustés avant le vote final.

La directive elle-même (article 21) cite noir sur blanc « la sécurité de la chaîne d'approvisionnement », c'est-à-dire la sécurité des relations avec les fournisseurs et prestataires directs. Ses considérants encouragent les organisations concernées à inscrire des mesures de cybersécurité dans leurs contrats. Et l'ANSSI, sur sa plateforme MesServicesCyber, invite les futures entités concernées à « s'engager dès à présent » dans une démarche de sécurisation, sans attendre la loi. Rien n'empêche donc un grand compte de commencer dès maintenant par ses fournisseurs.

Depuis le 17 mars 2026, l'ANSSI publie le Référentiel Cyber France (ReCyF), la liste des mesures qu'elle recommande pour atteindre les objectifs de NIS 2. Il reste à ce stade un document de travail, non obligatoire par défaut. Mais selon l'ANSSI, les futurs assujettis qui l'appliquent pourront s'en prévaloir en cas de contrôle : c'est donc une bonne base pour savoir ce qu'un grand compte peut attendre de vous.

Les trois formes que prend la demande

• Un questionnaire de sécurité. Souvent un tableur de dizaines de questions : double authentification, sauvegardes, mises à jour, gestion des incidents, formation du personnel.
• Une preuve. Une certification reconnue, comme la norme ISO 27001 (une norme internationale qui certifie qu'une entreprise gère sa sécurité informatique avec méthode, vérifiée par un auditeur externe), ou un rapport d'audit, qui dispense parfois d'une partie du questionnaire.
• Des clauses dans le contrat. Délai pour signaler un incident, droit d'audit, règles sur vos propres sous-traitants, sort des données en fin de contrat.

Les trois peuvent arriver ensemble, au moment d'un renouvellement de contrat ou d'un appel d'offres. Une réponse vague peut suffire à vous écarter : le client doit pouvoir montrer qu'il a évalué ses fournisseurs.

Le questionnaire : ce qu'on vous demandera vraiment

Chaque client a son propre modèle, mais les thèmes suivent les mesures minimales listées par la directive. Voici les questions qui reviennent le plus souvent, et ce qu'il faut pouvoir montrer.

La double authentification, mentionnée en premier, consiste à demander un code ou une validation sur le téléphone en plus du mot de passe : un mot de passe volé ne suffit plus pour entrer.

La règle d'or : répondre vrai. Un « oui » non tenu engage votre entreprise si un incident survient. Mieux vaut écrire « partiellement, en cours, prévu pour mars » qu'un « oui » impossible à prouver. Un client sait qu'une PME n'a pas les moyens d'une banque ; il attend surtout de la sincérité et un plan daté.

Rangez vos réponses dans un seul document, avec les preuves à côté. Le questionnaire du client suivant reprendra en grande partie les mêmes thèmes.

Les clauses à lire avant de signer

Pour savoir à quoi ressemblent ces clauses, le texte européen le plus précis est le règlement d'exécution 2024/2690. Il vise les fournisseurs numériques concernés par NIS 2, comme les hébergeurs et les prestataires de services informatiques gérés, et donne une bonne idée de ce que les grands comptes demandent. Il prévoit que les contrats avec les fournisseurs précisent, s'il y a lieu :

• les exigences de cybersécurité imposées au fournisseur ;
• les exigences de formation et, le cas échéant, de certification de son personnel ;
• la vérification des antécédents de ce personnel ;
• l'obligation de signaler sans retard injustifié un incident qui menace le client ;
• le droit d'audit, ou le droit de recevoir des rapports d'audit ;
• la gestion des failles de sécurité qui peuvent toucher le client ;
• les règles sur vos propres sous-traitants et ce qu'on attend d'eux ;
• ce qui se passe à la fin du contrat : restitution et destruction des informations.

Avant de signer, regardez trois points. Le délai de signalement : « sans retard » est tenable, « dans l'heure, jour et nuit » l'est rarement pour une petite équipe. Le droit d'audit : qui paie, avec quel préavis, combien de fois par an. La responsabilité : une clause qui vous rend responsable de tous les dommages du client après un incident mérite une relecture par votre avocat et un appel à votre assureur.

Si vous traitez des données personnelles pour votre client (fichiers clients, dossiers du personnel, données de patients), le RGPD vous impose déjà un contrat de sous-traitance (article 28) et vous oblige à signaler toute violation de données à votre client « dans les meilleurs délais » (article 33). La CNIL, dans sa fiche « Gérer la sous-traitance », recommande que ce contrat précise notamment les règles d'authentification, la notification des incidents et la restitution des données en fin de contrat, et met en garde contre toute prestation commencée sans contrat signé. Les clauses NIS 2 viennent souvent compléter ce contrat existant.

Par où commencer : les outils gratuits de l'État

Pour une PME, le plus simple est de partir des services publics gratuits, puis de viser une certification seulement si un client l'exige.

MonAideCyber, développé par l'ANSSI, propose un diagnostic gratuit réalisé avec un Aidant cyber. L'ANSSI précise qu'il n'est pas adapté aux particuliers ni aux micro-entreprises. Pour une PME de dix à cinquante salariés, c'est un bon point de départ : ses résultats nourrissent directement vos réponses aux questionnaires.

Vos gestes pour lundi matin

1. Listez vos clients concernés ou susceptibles de l'être : grands groupes, hôpitaux et cliniques, énergie, transport, industrie.
2. Désignez une personne qui centralise questionnaires et réponses, avec l'aide de votre prestataire informatique.
3. Activez la double authentification sur la messagerie et tous les accès à distance : c'est presque toujours la première question.
4. Testez une restauration de sauvegarde et notez la date et le résultat.
5. Écrivez votre procédure d'incident sur une page : qui appeler, qui prévient le client, dans quel délai.
6. Faites le test de l'ANSSI, puis demandez le diagnostic MonAideCyber si votre taille le permet.
7. Relisez vos contrats en cours et à venir : délai de signalement, audit, responsabilité, fin de contrat.

NIS 2 peut sembler une affaire de grandes entreprises. Pour un fournisseur, c'est surtout l'occasion de mettre en ordre des mesures qui le protègent lui aussi, et de rassurer des clients qui comptent, avant même le vote de la loi.

Préparer vos réponses à vos clients→