NIS2 et fournisseurs IT en Belgique : 15 preuves à vérifier en 2026

Ce que NIS2 demande réellement pour la chaîne d’approvisionnement

NIS2 impose une gestion du risque fournisseur, pas la collecte mécanique d’un dossier identique pour chaque prestataire. L’article 21 de la directive européenne cite la sécurité de la chaîne d’approvisionnement, y compris les aspects liés aux relations entre une entité et ses fournisseurs ou prestataires directs. Il demande aussi une approche tous risques, appropriée et proportionnée.

La page officielle du CCB consacrée à la loi NIS2 confirme cette obligation en Belgique. Elle précise que l’entité doit considérer les vulnérabilités propres à chaque fournisseur direct ainsi que la qualité globale de ses produits et pratiques de cybersécurité, notamment les procédures de développement sécurisé lorsque cela s’applique.

La responsabilité de l’organisation ne disparaît donc pas après externalisation. Confier Microsoft 365, un ERP, la paie, le réseau, le support ou un portail client crée des dépendances différentes, mais la direction doit comprendre lesquelles peuvent interrompre un service essentiel, exposer des données ou ouvrir un accès privilégié. Le fournisseur apporte des informations et des garanties ; l’organisation conserve la décision de risque.

Cette checklist traduit ce principe en preuves pratiques. Elle n’est pas une liste légale exhaustive. Le périmètre exact dépend de la qualification NIS2, du secteur, du niveau CyberFundamentals ou ISO choisi, des obligations contractuelles et d’autres règles comme le RGPD. Pour cadrer une revue accompagnée et fondée sur des pièces, la page sur la méthode d’audit et de collecte de preuves de GVISION explique la différence entre indication, constat et recommandation.

Classer les fournisseurs avant de leur envoyer un questionnaire

La criticité se mesure par l’impact et l’exposition, pas par le montant de la facture. Un petit prestataire qui détient un compte administrateur peut représenter plus de risque qu’un grand fournisseur de fournitures de bureau. Commencez par un registre des tiers : service fourni, propriétaire interne, données, systèmes, accès, sous-traitants connus, pays d’hébergement, dépendances et solution de remplacement.

Posez quatre questions. Le fournisseur peut-il interrompre une activité importante ? Peut-il lire, modifier ou supprimer des informations sensibles ? Dispose-t-il d’un accès distant, privilégié ou permanent ? Serait-il difficile à remplacer dans le délai acceptable par le métier ? Plus les réponses positives s’accumulent, plus la preuve doit être récente, précise et contrôlable.

Une classification simple fonctionne souvent mieux qu’un modèle complexe. Le niveau critique couvre les services dont la défaillance provoque un arrêt majeur, une compromission étendue ou une récupération difficile. Le niveau élevé concerne un accès important ou des données sensibles avec solutions de repli limitées. Le niveau standard couvre les services remplaceables, faiblement connectés et sans accès significatif.

Les 15 preuves à vérifier chez un fournisseur IT

Demandez une preuve qui éclaire une décision précise, puis vérifiez sa date, son périmètre et son propriétaire. Un document ancien ou limité à une filiale peut être exact sans couvrir votre service.

1. Gouvernance et responsable de la sécurité

Demandez une politique de sécurité approuvée, sa date de révision et le rôle responsable. La pièce ne doit pas dévoiler des secrets internes ; elle doit montrer que des responsabilités existent, que la direction supervise les risques et que les exceptions sont traitées. Pour un service critique, vérifiez aussi la fréquence des revues et l’escalade vers la direction.

2. Périmètre du service et flux de données

Obtenez une description de l’architecture, des données traitées, des lieux d’hébergement, des interfaces et des dépendances. Un schéma de flux à jour permet de savoir où circulent identités, sauvegardes et journaux. Comparez-le au contrat et à la réalité technique : les outils annexes de support, télémétrie et facturation sont souvent oubliés.

3. Inventaire des accès privilégiés

Le fournisseur doit expliquer qui peut administrer votre environnement, par quel canal, avec quel niveau de privilège et pendant combien de temps. Recherchez des comptes nominatifs, une authentification multifacteur résistante lorsque possible, un coffre de secrets, une élévation temporaire et une procédure d’urgence. Demandez un exemple anonymisé de revue d’accès plutôt qu’une simple affirmation.

4. Arrivées, changements de fonction et départs

Vérifiez le processus d’habilitation et de suppression des comptes pour employés et sous-traitants. Une preuve utile peut être un échantillon de ticket d’onboarding et d’offboarding, expurgé de données personnelles, avec approbation et délai. Contrôlez aussi les appareils, clés API, tokens et accès hors bande qui survivent parfois au compte principal.

5. Gestion des vulnérabilités et correctifs

Demandez la politique de scan, de qualification et de remédiation, ainsi que des résultats synthétiques récents. Les délais doivent varier selon la gravité, l’exposition et l’existence d’une exploitation active. Un rapport sans plan d’action n’est pas suffisant : vérifiez les exceptions, mesures compensatoires, responsables et dates cibles.

6. Développement et changements sécurisés

Pour un éditeur, une agence ou une intégration sur mesure, recherchez revue de code, gestion des dépendances, séparation des environnements, secrets hors du code, tests avant mise en production et validation des changements. Demandez comment les vulnérabilités signalées sont reçues et traitées. Un SBOM peut aider pour certains logiciels, mais sa présence seule ne prouve pas que les composants sont sûrs.

7. Journalisation et surveillance

Vérifiez quelles actions administratives, connexions, changements et événements de sécurité sont journalisés, combien de temps les traces sont conservées et qui les surveille. Demandez un exemple de rapport ou d’alerte anonymisé. Les journaux doivent pouvoir soutenir une enquête sans être accessibles aux mêmes comptes susceptibles de les altérer.

8. Détection et réponse aux incidents

Demandez un plan de réponse, les rôles d’astreinte, les critères d’escalade et un compte rendu d’exercice récent. Le fournisseur doit savoir distinguer un incident interne sans impact de celui qui touche votre service ou vos données. Vérifiez les coordonnées utilisables hors heures ouvrables et la capacité à préserver les preuves.

9. Notification et coopération

La notification contractuelle du fournisseur doit arriver assez tôt pour permettre à votre organisation d’évaluer ses propres obligations. N’inscrivez pas automatiquement « 24 heures » partout : définissez le déclencheur, les informations minimales, les mises à jour et les canaux sûrs en fonction du service. La directive prévoit pour les entités concernées une alerte précoce dans les 24 heures après avoir pris connaissance d’un incident significatif, puis d’autres étapes ; votre contrat doit laisser le temps de décider et notifier.

10. Sauvegarde, restauration et séparation

Une politique de sauvegarde ne prouve pas la récupération. Demandez la portée, la rétention, la protection contre la modification, la séparation des comptes et le résultat d’un test de restauration. Vérifiez aussi qui sauvegarde quoi : dans un SaaS, le fournisseur protège souvent la plateforme sans garantir votre granularité, votre rétention métier ou votre export.

11. Continuité et reprise

Recherchez une analyse d’impact, des objectifs de reprise définis, un plan testé et des dépendances identifiées. Comparez RTO et RPO aux besoins du métier plutôt qu’au marketing. Demandez ce qui s’est passé lors du dernier exercice, quelles lacunes ont été trouvées et si elles ont été corrigées.

12. Sous-traitants et chaîne en cascade

Le fournisseur doit pouvoir identifier les sous-traitants qui contribuent réellement au service, leur rôle, leur localisation et le mécanisme d’information en cas de changement. L’objectif n’est pas de connaître chaque fournisseur de bureau, mais de voir les dépendances capables d’affecter disponibilité, confidentialité, intégrité ou réponse à incident.

13. Assurance indépendante et périmètre

Un certificat ISO/IEC 27001, une attestation CyberFundamentals ou un rapport d’assurance peut réduire l’effort si le document est valide et couvre le service. Examinez organisme émetteur, dates, sites, activités, exclusions et éventuelles réserves. Une certification n’annule pas les risques propres à votre configuration, à vos accès ou à votre contrat.

14. Protection des données et conservation

Lorsque le fournisseur traite des données personnelles, vérifiez l’accord de sous-traitance, les catégories de données, la durée de conservation, l’assistance aux droits, les mesures de sécurité et les transferts. Le RGPD et NIS2 se recoupent sur certaines pratiques sans se confondre. Faites intervenir le DPO ou le conseil juridique pour les clauses et transferts complexes.

15. Réversibilité, suppression et sortie

Demandez comment exporter les données et configurations, dans quel format, avec quel délai et quel coût vérifié dans le contrat. Prévoyez la révocation des accès, la restitution des actifs, la suppression attestée et l’assistance de transition. Un service très sécurisé mais impossible à quitter reste un risque de continuité.

Adapter la profondeur de contrôle au risque

Le meilleur contrôle est celui qui réduit une incertitude importante sans exiger inutilement des documents sensibles. Une auto-déclaration courte peut suffire pour un service standard. Un fournisseur élevé mérite pièces ciblées et entretien. Un fournisseur critique justifie une revue documentée plus profonde, des tests, une assurance indépendante ou un droit d’audit encadré.

Transformer les constats en clauses et décisions

Une évaluation sans traduction contractuelle laisse les principaux risques sans levier. Le contrat doit préciser les mesures attendues, les responsabilités partagées et la manière de réagir lorsqu’un contrôle se dégrade. Évitez les formules vagues comme « sécurité conforme aux meilleures pratiques » sans périmètre, délai ni preuve.

Traitez au minimum l’accès, la confidentialité, la notification des incidents, la coopération, la continuité, les sauvegardes, les sous-traitants, les changements importants, la réversibilité et la suppression. Définissez qui peut demander une preuve, avec quel préavis et quelles protections de confidentialité. Un droit d’audit absolu peut être irréaliste chez un grand SaaS ; un rapport indépendant, une réunion d’assurance et des preuves ciblées peuvent être des alternatives.

Organiser une revue fournisseur reproductible

Une revue efficace suit un flux commun entre métier, achats, IT, sécurité, juridique et DPO. Le propriétaire métier décrit l’usage et l’impact. L’IT confirme les intégrations et accès. Les achats obtiennent les documents et négocient. La sécurité évalue les contrôles. Le juridique et le DPO traitent les clauses relevant de leur compétence.

Créez un dossier par fournisseur avec version, date, service couvert, décision, exceptions et prochaine revue. N’y copiez pas inutilement des informations très sensibles. Limitez les accès et fixez une conservation. Les preuves changent : certificat expiré, sous-traitant ajouté, région déplacée, incident majeur ou produit profondément modifié doivent déclencher une réévaluation.

Huit erreurs fréquentes à éviter

Les programmes fournisseurs échouent lorsqu’ils accumulent des formulaires sans améliorer les décisions.

1. Envoyer 200 questions à tout le monde. La fatigue produit des réponses génériques et ralentit les achats.
2. Confondre déclaration et preuve. Demandez un échantillon pertinent, pas un « oui » non daté.
3. Accepter un certificat sans vérifier son périmètre. Le service ou la région peut être exclu.
4. Oublier les accès du support. Les comptes d’urgence, outils RMM et consoles partenaires sont critiques.
5. Fixer les mêmes délais à tous. La remédiation doit tenir compte de gravité, exposition et mesures compensatoires.
6. Ignorer la chaîne en cascade. Un fournisseur robuste peut dépendre d’un sous-traitant essentiel mal documenté.
7. Ne jamais rejouer la sortie. Un export théorique peut être incomplet, illisible ou trop lent.
8. Classer le dossier après signature. Sans suivi, les preuves expirent et les exceptions deviennent permanentes.

Un plan d’action réaliste en 30 jours

En un mois, une organisation peut identifier ses principaux tiers, définir ses exigences et lancer les revues prioritaires. Elle ne peut pas garantir en quatre semaines la conformité de toute une chaîne complexe.

Semaine 1 : inventorier et classer

Rassemblez contrats, factures, connexions SSO, comptes administrateurs et applications. Désignez un propriétaire métier. Classez impact, données, accès et remplacabilité. Sélectionnez cinq à dix fournisseurs qui concentrent le risque, au lieu de démarrer par ordre alphabétique.

Semaine 2 : demander les preuves ciblées

Adaptez la liste des quinze catégories au service. Expliquez le périmètre et protégez les pièces reçues. Organisez un entretien pour les réponses ambiguës. Notez ce qui est fourni, manquant, expiré ou hors périmètre.

Semaine 3 : analyser et décider

Comparez les preuves aux risques et aux engagements. Formulez chaque écart avec impact, recommandation, propriétaire et date. Faites accepter les exceptions par le niveau adéquat. Pour un environnement multi-sites ou plusieurs prestataires critiques, un Audit Professionnel peut structurer la collecte, les constats et une feuille de route prioritée sans présenter l’exercice comme une certification.

Semaine 4 : contractualiser et suivre

Mettez à jour les clauses lors du renouvellement ou par avenant lorsque nécessaire. Enregistrez les actions, dates de revue et événements déclencheurs. Présentez à la direction les risques non couverts, les dépendances sans solution de sortie et les décisions attendues.