NIS2 et sous-traitance : ce que vos clients vont exiger de vous en 2026

Vous découvrirez NIS2 par un email, pas par le Journal officiel

La scène revient souvent. Un client important envoie un questionnaire de sécurité, entre trente et cent vingt questions, avec une date de retour. Personne ne sait qui doit y répondre. Le commercial le transmet à l'informatique, qui le renvoie à la direction. Trois semaines passent, le client relance, et le ton a changé.

C'est ainsi que la plupart des PME rencontrent NIS2. Non parce qu'elles sont dans le périmètre de la directive, mais parce que leur client y est.

Pourquoi une directive qui ne vous vise pas finit par vous concerner

L'article 21 de NIS2 impose dix mesures aux entités régulées. La quatrième porte sur la sécurité de la chaîne d'approvisionnement. Une entreprise soumise à la directive doit évaluer la sécurité de ses fournisseurs et sous-traitants, et intégrer ce risque à sa propre gouvernance.

Elle n'a aucune latitude sur ce point. Si elle ne contrôle pas ses prestataires, c'est elle qui est en défaut devant l'ANSSI. Elle répercute donc l'exigence par contrat, ce qui est la seule chose qu'elle puisse faire.

Une entreprise de quinze personnes, formellement hors périmètre, se retrouve ainsi à répondre aux mêmes questions qu'un opérateur télécom. Elle n'a pas d'obligation légale. Elle a une obligation commerciale, ce qui revient au même quand le client représente 30 % du chiffre d'affaires.

Êtes-vous réellement hors périmètre ?

Avant de conclure que vous n'êtes pas concerné directement, vérifiez les seuils.

Les exceptions sectorielles attrapent plus de monde qu'on ne le croit. Un prestataire informatique de dix personnes qui administre les serveurs d'un hôpital n'échappe pas au sujet, même si les seuils le placent hors du champ.

Et pour tous les autres, le raisonnement à tenir n'est pas « suis-je dans le périmètre » mais « mes clients y sont-ils ». Regardez votre portefeuille : santé, énergie, transport, banque, eau, administrations, industrie agroalimentaire. Si trois de vos dix plus gros clients relèvent de ces secteurs, le questionnaire arrivera.

Ce qu'on va vous demander

Les questionnaires varient dans la forme, beaucoup moins dans le fond. Ils reprennent la structure des dix mesures de l'article 21, elle-même très proche de l'Annexe A de l'ISO 27001. Voici ce qui revient dans presque tous.

Cette dernière ligne surprend, alors qu'elle est logique. Vos clients vous demandent de faire avec vos prestataires ce qu'ils font avec vous. La chaîne se propage vers le bas.

Une question mérite une attention particulière, celle du test de restauration. Presque toutes les entreprises sauvegardent. Très peu ont restauré pour de vrai, chronomètre en main, et conservé le compte rendu. C'est là que les dossiers se distinguent.

La réponse au coup par coup finit par coûter plus cher

Face au premier questionnaire, on improvise. Quelqu'un remplit les cases au mieux, parfois en arrondissant les angles. Le client accepte, l'affaire suit son cours.

Puis un deuxième client envoie le sien, dans un format différent. Puis un troisième réclame des preuves plutôt que des déclarations. Au quatrième, l'entreprise a passé plus de temps à remplir des tableurs qu'elle n'en aurait mis à structurer les choses une bonne fois.

Reste un risque plus sérieux que le temps perdu : l'écart entre ce que vous avez déclaré et ce que vous pouvez prouver. Une réponse arrondie devient une clause contractuelle, que le client ressortira après un incident.

Ce que change un certificat

Une entreprise certifiée ISO 27001 répond à la plupart de ces questionnaires par un document unique. Le certificat, accompagné de la Déclaration d'Applicabilité, couvre en une fois les domaines que le client passe en revue. Beaucoup de grands comptes acceptent d'ailleurs le certificat en substitution de leur questionnaire.

Le recouvrement avec NIS2 est important, sans être total. Les dix mesures de l'article 21 et l'Annexe A traitent largement les mêmes sujets. Une PME certifiée aborde la conformité NIS2 avec l'essentiel du travail déjà fait, mais le certificat ne vaut pas conformité automatique : NIS2 ajoute ses propres obligations, notamment l'enregistrement auprès de l'ANSSI et les délais de notification d'incident, que j'ai détaillés dans l'article consacré à la directive.

La certification n'est pas la seule voie. Pour une entreprise de vingt personnes, elle est souvent disproportionnée. Un SMSI structuré sans démarche de certification suffit à répondre sérieusement, à condition que la documentation existe et que les preuves suivent.

Par où commencer si vous n'avez rien

Trois questions arrivent en tête de presque tous les questionnaires, et ce sont aussi celles qui prennent le plus de temps à traiter si vous partez de zéro. Traitez-les en premier.

Avez-vous une politique de sécurité écrite et approuvée par la direction ? Une PSSI de dix pages qui décrit vos règles réelles vaut mieux qu'un document de cinquante pages emprunté ailleurs. J'ai publié une trame en dix sections pour ça.

Vos sauvegardes ont-elles été restaurées récemment ? Faites le test cette semaine, notez la durée, gardez le compte rendu daté. Cette seule pièce vous distinguera de la majorité des répondants.

Savez-vous qui appeler en cas d'incident, et sous quel délai prévenir vos clients ? Regardez vos contrats en cours : certains contiennent déjà des délais de notification que personne n'a relevés.

Ensuite seulement viennent l'analyse de risques, les revues d'accès et le programme de sensibilisation. Dans cet ordre, parce que le premier questionnaire n'attendra pas que tout soit parfait.

Pourquoi maintenant

L'échéance de mise en conformité opérationnelle est fixée au 17 octobre 2026. Les entités régulées ne s'y prennent pas la veille : elles auditent leurs fournisseurs en amont, ce qui signifie que la vague de questionnaires précède l'échéance plutôt qu'elle ne la suit.

Autrement dit, si vous fournissez des entreprises concernées, le sujet arrive maintenant, pas en octobre.

En résumé

NIS2 ne vous impose peut-être rien directement. Vos clients, eux, ont l'obligation de vous évaluer, et ils la répercuteront par contrat. Répondre au coup par coup fonctionne une ou deux fois, puis devient plus coûteux que de structurer.

Vous venez de recevoir un questionnaire et vous ne savez pas quoi en faire, ou vous voulez savoir ce qu'il faudrait pouvoir prouver avant qu'il n'arrive ? Parlons-en 30 minutes, sans engagement.