Un donneur d'ordre qui relève lui-même de la directive NIS2 ne peut pas limiter son obligation de diligence à sa propre organisation. Cette obligation s'étend à la chaîne d'approvisionnement : le donneur d'ordre doit évaluer les risques que les fournisseurs présentent, ce qui se traduit par des exigences contractuelles. Pour l'industrie métallurgique et manufacturière, il ne s'agit souvent pas seulement d'informatique de gestion, mais aussi de machines, de systèmes de contrôle et de lignes de production connectés d'une manière ou d'une autre au réseau du donneur d'ordre ou à Internet.
Les exigences les plus courantes portent sur l'accès, la séparation des réseaux, la politique de mise à jour et la notification des incidents au donneur d'ordre lui-même — indépendamment de l'obligation légale de notification qui ne s'applique qu'aux entités soumises à l'obligation. Vous trouverez ci-dessous une description des dispositions qui reviennent régulièrement et de ce qu'elles signifient en pratique dans un environnement de production.
Quelles dispositions figurent dans le contrat
Les contrats révisés après la NIS2 contiennent généralement une combinaison d'obligations : le droit d'envoyer périodiquement des questionnaires, un délai de notification des incidents affectant la prestation de services au donneur d'ordre, une obligation de documenter les mesures de sécurité, et parfois un droit d'audit. La formulation varie considérablement selon le donneur d'ordre et le secteur ; il n'existe pas de texte standard applicable à tous les contrats. Pour avoir une image plus claire de ce qu'il est raisonnable de demander ou non, il est utile de consulter les questions les plus fréquemment posées sur ce qu'un client peut demander .
Important à distinguer : le donneur d'ordre pose ces questions en vertu de sa propre obligation de diligence, non parce que le fournisseur relève lui-même de la directive. Un fabricant de machines ou un fournisseur de l'industrie métallurgique et manufacturière peut donc se voir imposer des exigences contractuelles sans être lui-même une entité essentielle ou importante. Que ce soit le cas pour une relation spécifique dépend du secteur et de la taille du donneur d'ordre et du rôle que le fournisseur joue dans cette chaîne.
Ce que cela signifie pour les systèmes de production en réseau
Dans l'industrie métallurgique et manufacturière, la combinaison de l'IT (informatique de gestion) et de l'OT (technologies opérationnelles telles que les machines CNC, les API et les lignes de production) est un point d'attention récurrent dans les questions que posent les donneurs d'ordre. Les machines accessibles à distance pour la maintenance, ou qui transmettent des données de production à un environnement cloud, font l'objet de la même attention qu'un ordinateur portable au bureau.
Séparation entre le réseau de bureau et le réseau de production
Une question récurrente est de savoir si le réseau de production est séparé du réseau de bureau, et si une panne ou une contamination d'un réseau peut se propager à l'autre. Ce n'est pas une question qui se règle par oui ou non dans un questionnaire seul ; les autorités de surveillance et les donneurs d'ordre examinent la configuration réelle, non pas une simple déclaration d'intention.
Accès à distance pour la maintenance
De nombreuses machines de l'industrie métallurgique et manufacturière sont entretenues à distance par le fournisseur de la machine lui-même, parfois via une connexion permanente toujours ouverte. Les exigences contractuelles se concentrent souvent spécifiquement sur ce point : qui a accès, comment cet accès est-il consigné, et peut-il être retiré à tout moment. Cela concerne à la fois le fournisseur qui fabrique la machine et l'entreprise qui l'utilise.
Ce que les donneurs d'ordre demandent comme preuve
Au-delà du questionnaire lui-même, un donneur d'ordre demande souvent une forme de justification : un document politique, un aperçu de qui a accès à quels systèmes, ou une déclaration sur la façon dont les mises à jour sont gérées. Un certificat ou un rapport d'audit peut être demandé, mais n'est en soi pas une obligation légale découlant de NIS2 — c'est un choix du donneur d'ordre individuel. Pour ceux qui souhaitent vérifier comment ces exigences contractuelles se rapportent à leur propre position dans la chaîne d'approvisionnement, il est judicieux de d'abord en quelques questions vérifier où se situe votre organisation.
Ce que vous pouvez en faire vous-même
La plupart des exigences qui reviennent dans les contrats pour l'industrie métallurgique et manufacturière découlent des dix mesures de diligence raisonnable de la directive : le contrôle d'accès, la segmentation du réseau, l'enregistrement des incidents et les plans de récupération réapparaissent tous, mais adaptés à la question posée par le donneur d'ordre. Un aperçu par situation, incluant les sujets qui s'appliquent spécifiquement aux environnements de production, se trouve dans l'aperçu des sujets par secteur et situation.
Pour la formulation précise d'un contrat, et pour la question de savoir si une exigence spécifique est raisonnable par rapport à la relation, les conseils juridiques restent la voie appropriée ; cet article décrit les modèles qui reviennent, non la réponse à un contrat individuel. Pour plus d'informations sur l'origine des informations sur ce site et sur la façon dont elles sont maintenues à jour, consultez la page sur la façon dont nous maintenons les sources à jour.
Voulez-vous vérifier rapidement si votre organisation est touchée par la chaîne d'approvisionnement, et quelle est l'étape suivante correspondante ? Le contrôle NIS2 gratuit vous donne en quelques questions une première orientation à ce sujet, sans que vous ayez besoin d'un compte.