Ce qui change dans le contrat avec votre maître d'ouvrage
Un maître d'ouvrage qui est lui-même soumis à l'obligation de diligence de la directive NIS2 — un hôpital, une entreprise énergétique, un grand hub logistique — doit démontrer de manière vérifiable que les risques au sein de sa propre chaîne d'approvisionnement sont identifiés. Les entreprises d'installation se situent souvent au cœur de cette chaîne, non parce qu'elles sont elles-mêmes soumises à l'obligation, mais parce qu'elles ont un accès physique et numérique au bâtiment et aux systèmes du maître d'ouvrage. C'est précisément pour cette raison que les exigences contractuelles que vous rencontrerez prochainement se concentrent sur l'accès : qui peut entrer, par quels moyens, et qu'est-ce qu'on peut faire à partir de là.
Le principe est simple à comprendre sans lire le texte législatif lui-même : un maître d'ouvrage peut vous demander comment vous empêchez une clé, un badge ou une connexion d'entretien de devenir un accès pour quelqu'un d'autre. La formulation précise varie selon les maîtres d'ouvrage, mais la question sous-jacente est pratiquement la même chez tous.
Ce qu'un maître d'ouvrage soumis à l'obligation demande exactement
La directive NIS2 oblige les entités essentielles et importantes à évaluer les risques chez leurs prestataires — c'est le cœur de l'obligation de diligence de l'article 21. Cette obligation est transposée dans la pratique en trois catégories d'exigences qui reviennent chez les entreprises d'installation : les exigences concernant les personnes (qui peut venir sur site en votre nom), les exigences concernant les moyens (comment les clés, badges et ordres de travail sont gérés) et les exigences concernant les connexions (comment se fait la connexion à distance aux systèmes de bâtiment). Aucune de ces exigences n'apparaît littéralement comme telle dans la directive ; ce sont des applications pratiques que les maîtres d'ouvrage choisissent eux-mêmes pour respecter leur propre obligation de diligence.
Si vous n'êtes pas certain que votre maître d'ouvrage y est lui-même obligé, vous pouvez vérifier cela via une vérification rapide qui montre qui est touché dans la chaîne d'approvisionnement. Cela aide à mieux contextualiser la discussion avec le maître d'ouvrage : s'agit-il d'une obligation qui vient de sa part, ou d'un choix propre de son département achats.
Accès aux bâtiments : clés, badges et systèmes de gestion des bâtiments
Pour l'accès physique, il y a souvent trois questions qui reviennent dans les contrats : un registre des clés ou badges est-il tenu par agent, cet accès est-il révoqué dès que quelqu'un quitte le projet ou l'entreprise, et existe-t-il une procédure établie pour signaler les sous-traitants qui viennent sur site en votre nom. Pour les entreprises d'installation qui travaillent avec des monteurs et des sous-traitants variables, c'est souvent la partie qui nécessite le plus d'ajustement — non parce que c'est techniquement compliqué, mais simplement parce que ce n'était pas encore formalisé.
Les systèmes de gestion de bâtiment — les systèmes qui contrôlent le chauffage, l'éclairage, les ascenseurs ou le contrôle d'accès — constituent une catégorie distincte. Un maître d'ouvrage veut souvent savoir si le mot de passe d'un tel système a été modifié après la livraison, qui gère les identifiants de connexion, et si un ancien mot de passe d'un projet précédent a été réutilisé. Ce n'est pas une méfiance excessive : les systèmes de gestion de bâtiment sont précisément le type de système où une panne ne reste pas isolée dans un service informatique, mais devient visible dans le bâtiment lui-même.
Accès aux systèmes : gestion à distance et connexions d'entretien
Lorsque des entreprises d'installation supervisen de loin ou effectuent la maintenance — via une connexion VPN, un outil de type TeamViewer ou une adresse IP fixe autorisée — le maître d'ouvrage veut généralement savoir comment cette connexion est sécurisée, si elle est fermée après utilisation, et qui dans votre entreprise y a accès. Cela touche directement à la gestion des accès au sein de votre propre organisation : une connexion que n'importe quel membre de l'équipe peut utiliser sans journal ni limite de temps est précisément le type de réponse qui fait échouer un questionnaire de sécurité.
Les sujets qui s'y rapportent — de la politique de mots de passe au retrait de l'accès lors du départ du personnel — sont décrits de manière claire dans l'aperçu des sujets selon votre situation, afin que vous n'ayez pas à chercher dans la directive complète la partie qui s'applique à vous.
Ce que vous pouvez déjà préparer
Même en l'absence de contrat concret pour le moment, il est utile de savoir quelles clés, badges et connexions sont actuellement actifs dans les projets en cours, et si cet enregistrement est à jour. Ce n'est pas un travail juridique mais un travail administratif, et c'est exactement le type de preuve qu'un client peut vous demander ultérieurement. Si vous doutez qu'une exigence spécifique dans un avant-projet de contrat soit raisonnable ou dépasse ce que l'obligation de diligence justifie, c'est une question pour un juriste ou, en cas de doute sur l'obligation du client lui-même, pour l'autorité de contrôle — secria.eu prépare la documentation sous-jacente, mais n'évalue pas les contrats individuels.
Souhaitez-vous d'abord voir comment secria.eu soutient ce type de questions, du premier contrôle aux modèles de questionnaire ? Sur la page qui explique l'origine des informations se trouve la structure de la plateforme étape par étape, et les questions les plus fréquemment posées sur le rôle et l'obligation répond à des doutes similaires d'autres entreprises d'installation.
Si vous vous demandez si votre propre situation s'inscrit dans la chaîne d'approvisionnement et ce que cela signifie concrètement pour les contrats que vous signez, le contrôle NIS2 gratuit est une première étape logique, tout comme la base de connaissances accessible sans compte.