Ce qu'un client des services TIC exige après la NIS2
Un donneur d'ordre qui relève lui-même de l'obligation de diligence NIS2 doit démontrer qu'il maîtrise également les risques dans sa chaîne d'approvisionnement. Si vous fournissez une gestion à distance, de l'hébergement, une gestion d'applications ou un service d'assistance à un tel donneur d'ordre, cela figure dans le contrat : exigences concernant qui a accès aux systèmes, comment cet accès est enregistré, et si vous faites appel à des sous-traitants sans l'avoir signalé au préalable.
Les exigences elles-mêmes varient selon le donneur d'ordre et le secteur, mais un certain nombre de sujets reviennent presque toujours : la gestion des accès, l'enregistrement des actions de gestion, les délais de notification en cas d'incident de votre côté, et la visibilité sur qui d'autre est impliqué dans le travail. Ce dernier point — les sous-traitants — est pour de nombreux prestataires TIC le sujet sur lequel le questionnaire s'attarde le plus longtemps.
Pourquoi cela figure maintenant dans le contrat
La Directive NIS2 oblige les organismes assujettis, en vertu de l'article 21, à évaluer également la sécurité de leurs fournisseurs et prestataires de services. Un donneur d'ordre qui est lui-même soumis à des obligations de conformité ne peut pas le démontrer par une simple promesse orale ; il a besoin d'un accord écrit qu'il puisse présenter à son propre organisme de contrôle. Pour vous en tant que prestataire TIC, cela signifie : la même question revient, mais elle est désormais consignée dans un addendum ou une annexe du contrat au lieu de figurer dans un simple e-mail.
C'est un changement de forme, pas nécessairement de contenu. Une grande partie de ce qui est demandé, vous le faisiez probablement déjà en tant que gestionnaire. La nouveauté est que vous devez pouvoir le prouver, avec une date et un nom à l'appui.
Accès aux systèmes des clients : ce qui est exactement demandé
Les donneurs d'ordre demandent de plus en plus souvent un aperçu de qui a accès chez eux, avec quels droits, et comment cet accès est révoqué dès qu'une personne quitte l'équipe. L'authentification multifacteur pour l'accès de gestion est désormais une exigence très courante, tout comme un journal qui enregistre quand et par qui un système a été consulté. Certains contrats demandent en outre un point de contact fixe de votre côté, afin que le donneur d'ordre ne dépende pas de qui assure le service cette semaine-là.
La question sous-jacente du donneur d'ordre est toujours la même : en cas de problème, peut-il retracer qui avait accès où et quand. C'est aussi la raison pour laquelle les réponses génériques comme « nous travaillons selon les bonnes pratiques » sont rarement suffisantes — on demande une preuve concrète, pas une intention.
Gestion à distance : attention particulière à l'authentification et à l'enregistrement
La gestion à distance fait l'objet d'un paragraphe séparé dans de nombreux questionnaires, précisément parce qu'une personne malveillante qui y pénètre peut se retrouver chez plusieurs clients en une seule étape. Les questions portent alors sur le chiffrement de la connexion, sur le fait que l'accès à la gestion à distance soit ou non séparé du réseau ordinaire de votre entreprise, et sur la rapidité avec laquelle vous pouvez fermer une session si vous soupçonnez un abus. Ici aussi, il ne s'agit pas de juger la qualité de votre sécurité, mais de montrer que vous pouvez la démontrer.
Ceux qui reçoivent ce type de questions pour la première fois le considèrent souvent comme une action ponctuelle pour un seul client. En pratique, la preuve que vous rassemblez pour un donneur d'ordre peut, avec de petits ajustements, être utilisée pour le suivant. parcourir les sujets selon la situation donne une image des questions qui reviennent pour chaque type de service.
Sous-traitants : le risque que vous ne contrôlez pas seul
La partie la plus délicate pour de nombreux prestataires de services informatiques n'est pas leur propre sécurité, mais celle des tiers qu'ils engagent : un fournisseur d'hébergement, un service de surveillance, un spécialiste indépendant. Un client qui est lui-même soumis aux obligations de gestion des risques veut savoir si vous faites appel à des sous-traitants, qui ils sont, et s'ils satisfont à des exigences comparables. Certains contrats vous obligent à signaler à l'avance tout changement dans cette chaîne, ou à imposer contractuellement les mêmes exigences de sécurité à vos propres fournisseurs.
Pour une petite entreprise informatique, ce n'est pas toujours facile à mettre en place, surtout si le sous-traitant lui-même ne comprend pas pourquoi cette question lui est soudainement posée. Une première étape consiste à établir un simple aperçu : qui fait quoi pour vous, et quel accord avez-vous mis en place à ce sujet. Sans cet aperçu, chaque nouveau questionnaire devient à nouveau du travail de recherche.
Ce que vous pouvez et ne pouvez pas promettre
Il est judicieux de n'inclure dans un contrat que les engagements que vous pouvez également justifier. Un client qui demande des délais de réaction en cas d'incident, un service 24/7 ou une garantie que rien ne s'en ira jamais de travers, demande en fait une promesse que peu de prestataires informatiques peuvent tenir sans mettre en place un service distinct et coûteux. C'est à vous et, le cas échéant, à un juriste de décider quelles clauses sont raisonnables et lesquelles vont au-delà de ce que l'obligation de gestion des risques de votre client exige réellement.
Que votre propre organisation soit directement soumise à l'obligation de gestion des risques de la Directive (EU) 2022/2555 — en tant qu'entité essentielle ou importante, ou par la chaîne d'approvisionnement — peut être examiné avec quelques questions. Cette distinction détermine si vous préparez simplement des réponses pour vos clients, ou si vous devez également tenir un dossier vous-même.
Commencer
Pour votre client, au final, ce qui compte n'est pas votre intention, mais le fait que la réponse à sa question soit prête au moment où il la demande. Une fois que vous avez établi, pour chaque mesure, un statut, une pièce justificative et un responsable, vous n'avez pas besoin de rechercher à nouveau lors du prochain questionnaire. Consultez les coûts du dossier et des questionnaires si vous souhaitez aborder cette préparation de manière structurée, ou lisez d'abord les questions fréquemment posées sur le fonctionnement de la plateforme.
Commencez sans engagement avec le contrôle gratuit de la Directive (EU) 2022/2555 pour voir si votre organisation est elle-même assujettie, affectée par la chaîne d'approvisionnement, ou aucun des deux — et consultez la base de connaissances pour en savoir plus sur les sujets pertinents pour votre secteur.