Accueil / Directive UE
Directive UE
NIS2
NIS2 peut créer une exposition directe ou influencer les exigences de chaîne d’approvisionnement de clients européens, y compris lorsque la fourniture n’est pas un produit numérique.
Effet de cette exigence
Cette règle ne se lit pas seule.
- Transferts
- Relation bilatérale
- Sources pays revues le
Hypothèses, limites et sources de cette lecture
Point de lecture
La relation fournisseur devient le point d’entrée
Le fournisseur examine ce que son client européen dépend réellement de lui pour protéger.
- Secteur et taille de l’entité concernée
- Transposition nationale applicable
- Exigences imposées par le client
- Sécurité des fournisseurs, accès et dépendances
Chaîne de dépendance
Lire NIS2 depuis l’organisation européenne jusqu’aux opérations confiées au fournisseur.
Entité européenne concernée
Elle organise la maîtrise de ses risques et de sa chaîne d’approvisionnement.
Service ou composant dépendant
La criticité de la fourniture détermine la profondeur des attentes.
Exigence fournisseur
Accès, incident, continuité, vulnérabilités et sous-traitance deviennent examinables.
Preuve opérationnelle
Le fournisseur démontre ce qu’il peut effectivement soutenir dans son périmètre.
Chemin de décision
Relier NIS2 à la dépendance réelle du client
La directive devient exploitable lorsque la chaîne d’approvisionnement est traduite en services, accès, événements et responsabilités observables.
01Client concerné
Identifier l’entité européenne, son secteur et la transposition nationale pertinente sans étendre automatiquement son statut au fournisseur.
02Dépendance critique
Décrire ce que le client ne pourrait plus protéger ou maintenir si le service, le composant ou l’accès du fournisseur devenait indisponible.
03Attente répercutée
Isoler les exigences de sécurité, de notification, de continuité, de vulnérabilité et de sous-traitance effectivement transmises au fournisseur.
04Soutien démontrable
Relier chaque réponse à une pratique, une configuration, une preuve datée et une limite explicite dans le périmètre fourni.
Attentes dans la chaîne d’approvisionnement
Ce que le client cherche à maîtriser au-delà de ses propres systèmes.
Questions à traiter
- Votre dispositif de gestion des risques et d’incident
- Vos mesures de sécurité de la chaîne d’approvisionnement
- Vos délais de notification et votre organisation de crise
- Si vous êtes vous-même une entité essentielle ou importante
Éléments qui étayent la réponse
- Politique de sécurité et analyse de risques datées
- Processus incident exercé avec comptes rendus
- Registre des sous-traitants et de leurs engagements
- Preuves des contrôles imposés par le client (MFA, journaux, sauvegardes)
Confusions à éviter
- Traiter NIS2 comme une certification à obtenir
- Recopier les obligations de l’entité cliente dans ses propres politiques
- Négliger la transposition nationale applicable au client
- Promettre des délais de notification alignés sur le texte sans capacité opérationnelle
Dossier d’assurance, ST-029Exemple de démonstration
Clause d’annexeSous-traitants déclarés et approuvés avant interventionConstat
Registre déclaréQuatre sous-traitants listés au contratConstat
Réalité opérationnelleUn cinquième intervient sur la supervision de nuitConstat
Divergence observéeUn sous-traitant actif est inconnu du clientÉcart
ImpactViolation d’annexe découvrable au premier auditÉcart
ActionRégulariser la déclaration avant qu’elle ne soit découverteDécision
Lecture des couleursConstat factuelÉcart ou risqueDécision ou action
Démonstration
Une dépendance du client devient une question précise pour le fournisseur.
Le cas relie l’activité européenne, le service dépendant, l’attente transmise et la preuve opérationnelle que le fournisseur peut réellement produire.
Comprendre la qualification d’une preuve →Appliquer cette lecture
Identifier la dépendance que le client européen cherche à maîtriser.
Le secteur du client, le service fourni et les conséquences d’une interruption permettent de cibler les attentes de chaîne d’approvisionnement à instruire.