Soixante-deux pour cent des incidents de sécurité signalés à l'ANSSI en 2025 impliquaient un accès tiers ou un composant fournisseur compromis. Pourtant, lorsque les organisations analysent leur portefeuille de contrats sous le prisme NIS2, le même constat revient : les clauses de sécurité existent, mais elles ne couvrent pas ce que la directive exige désormais.
NIS2 n'est pas seulement une obligation interne. L'article 21 impose explicitement aux entités essentielles et importantes de gérer les risques liés à leurs chaînes d'approvisionnement — y compris de s'assurer que leurs fournisseurs respectent des exigences de sécurité proportionnées. En d'autres termes : votre conformité est conditionnée par celle de vos sous-traitants critiques. Ce que vos contrats disent aujourd'hui — ou ne disent pas — détermine en partie votre exposition.
Dans cet article, vous verrez les trois lacunes contractuelles les plus fréquentes que nous observons lors d'audits de portefeuille, comment qualifier rapidement le risque fournisseur sans lancer un audit complet, et ce que la mise en conformité implique concrètement.
Le cadre : NIS2 et l'obligation de chaîne d'approvisionnement
L'article 21 de la directive NIS2 liste les mesures de sécurité que les entités doivent mettre en œuvre. Parmi elles : « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». Le texte ne se contente pas de recommander une vigilance générale — il impose une démarche structurée.
Ce que cela signifie en pratique : vous devez identifier les fournisseurs critiques (ceux dont la compromission aurait un impact significatif sur vos systèmes ou vos services), évaluer leur niveau de sécurité, et avoir des mécanismes contractuels permettant d'exercer un droit de regard et, si nécessaire, d'agir.
Les guides de l'ENISA publiés en mars 2026 précisent la notion de « fournisseur critique » : tout prestataire qui traite vos données sensibles, accède à vos systèmes d'information, ou dont la défaillance perturberait directement votre continuité d'activité. Pour une organisation de taille intermédiaire, ce périmètre dépasse souvent les ESN et les éditeurs logiciels : il inclut les prestataires de maintenance industrielle avec accès distant, les intégrateurs cloud, les fournisseurs de services de communication.
Lacune 1 : l'absence d'obligation de notification d'incident
La majorité des contrats de prestation signés avant 2025 contiennent une clause de confidentialité des données, parfois une clause de sécurité générale — mais rarement une obligation explicite de notifier un incident de sécurité dans un délai défini.
NIS2 impose aux entités essentielles de notifier l'ANSSI dans les 24 heures suivant la détection d'un incident significatif. Si cet incident prend sa source chez un fournisseur — ce qui est le cas dans la majorité des compromissions de chaîne — vous devez être informé à temps. Un contrat qui ne prévoit pas ce délai expose l'entité à une double sanction : ne pas notifier, ou notifier sur la base d'informations incomplètes.
Ce que le contrat devrait prévoir : une clause de notification d'incident dans les 24 heures, avec un canal de communication défini, un interlocuteur identifié chez le fournisseur, et une obligation de transmission des informations techniques nécessaires à la qualification de l'incident.
Lacune 2 : l'absence de droit d'audit réel
Les contrats incluent souvent une clause de droit d'audit — rédigée de façon si restrictive qu'elle devient inopérante. Délais de préavis de 60 à 90 jours, périmètre limité aux « pratiques générales de sécurité », refus implicite de communication des rapports de tests de pénétration tiers : autant de formulations qui protègent le fournisseur, pas l'entité.
Un exemple concret : une organisation du secteur santé ayant subi une compromission de son hébergeur a découvert, lors de la phase de réponse à incident, que son contrat ne lui donnait accès qu'aux rapports de certification ISO 27001 — et non aux journaux d'accès ou aux configurations de son environnement hébergé. L'audit contractuel n'était en réalité qu'un droit de demander un document.
Ce que le contrat devrait prévoir : un droit d'audit réel portant sur les journaux d'accès à votre environnement, les configurations de sécurité qui vous concernent, et les résultats de tests de sécurité récents. Les certifications (ISO 27001, SOC 2) peuvent compléter mais non remplacer ce droit.
Lacune 3 : l'absence de clauses de sous-traitance en cascade
Un fournisseur qui respecte vos exigences de sécurité peut lui-même recourir à des sous-traitants qui ne les respectent pas. NIS2 impose une réflexion en cascade : vous êtes responsable de l'ensemble de votre chaîne, y compris des niveaux que vous ne contractualisez pas directement.
En pratique, la grande majorité des contrats de prestation signés avec des ESN ou des éditeurs SaaS ne contiennent aucune clause exigeant que leurs propres fournisseurs respectent des standards équivalents à ceux que vous leur imposez. Cette asymétrie est un angle mort fréquent — et l'un des vecteurs d'attaque les plus exploités en 2025 (attaques de type Kaseya, SolarWinds : dans les deux cas, le vecteur initial était un prestataire de niveau 2 ou 3).
Ce que le contrat devrait prévoir : une clause de flux descendant exigeant que vos obligations de sécurité soient transmises aux sous-traitants du prestataire qui accèdent à vos données ou systèmes, avec une obligation de notification si ce périmètre évolue.
Comment qualifier rapidement votre risque fournisseur
Un audit contractuel complet d'un portefeuille de 50 fournisseurs prend plusieurs semaines. Une approche plus pragmatique consiste à prioriser d'abord les fournisseurs critiques, puis à les analyser selon trois critères.
Criticité : ce fournisseur accède-t-il à mes systèmes, traite-t-il mes données sensibles, ou sa défaillance interromprait-elle mon activité ?
Contractualisation : les trois lacunes ci-dessus (notification, audit, cascade) sont-elles couvertes dans le contrat existant ?
Capacité effective : au-delà du contrat, ce fournisseur dispose-t-il réellement des pratiques de sécurité qu'il certifie ? Un questionnaire standardisé (CAIQ, SIG) ou la communication de rapports récents (pen test, certification) permet une qualification rapide sans engagement d'audit complet.
Cette matrice à trois variables permet de trier un portefeuille de 50 fournisseurs en quelques jours, et d'identifier les 5 à 10 contrats qui nécessitent une révision prioritaire.
Ce que la mise en conformité implique concrètement
La révision d'un contrat de prestation avec une ESN ou un hébergeur cloud prend en général 4 à 8 semaines, selon la réactivité du prestataire et la complexité des clauses à négocier. Les fournisseurs hyperscalers (AWS, Azure, GCP) proposent des avenants standardisés « NIS2-ready » — mais ces avenants ne couvrent pas toujours les spécificités de votre contexte, notamment les obligations de notification vers l'ANSSI.
Les prestataires plus petits sont souvent disposés à réviser leurs contrats — à condition que vous leur proposiez un modèle de clause plutôt qu'une demande ouverte. Avoir un template interne de clauses de sécurité NIS2 est un accélérateur significatif.
Presidio permet de cartographier votre portefeuille fournisseurs, de documenter le statut contractuel de chaque prestataire critique et de suivre l'avancement des révisions contractuelles dans le même flux de travail que vos autres obligations NIS2. Pour cadrer votre exposition et prioriser les contrats à réviser en premier, un entretien de 30 minutes suffit. Voir aussi notre analyse sur la gouvernance des tiers et TPRM sous NIS2.
Conclusion
Les contrats fournisseurs ne sont pas un sujet juridique : ils sont une surface d'attaque. Trois lacunes — absence de notification dans les délais, droit d'audit inopérant, absence de flux descendant vers les sous-traitants — couvrent la grande majorité des expositions contractuelles que nous observons. Les organisations qui avancent le plus vite sur ce sujet ne font pas d'audit complet de tous leurs fournisseurs en même temps : elles priorisent les 5 à 10 contrats critiques, définissent un modèle de clause interne, et avancent prestataire par prestataire.
La conformité contractuelle NIS2 n'est pas un projet de 18 mois. C'est un projet de 6 à 8 semaines, bien ciblé.
Lire aussi : Gouvernance des tiers sous NIS2/DORA — SBOM et inventaire logiciel sous NIS2/DORA.