pourquoi suis-je responsable de la sécurité de mes fournisseurs

La chaîne n'est aussi solide que son maillon le plus faible

La responsabilité de la sécurité des fournisseurs incombe aux entités essentielles et importantes car leur propre sécurité numérique dépend en grande partie des systèmes, logiciels et services d'autres organisations. Une organisation peut bien sécuriser son propre réseau, mais si un fournisseur ayant accès à ces systèmes est mal sécurisé, cela crée un point d'entrée qui contourne les mesures mises en place. L'obligation de diligence ne se concentre donc pas uniquement sur la sécurité de la propre organisation, mais sur l'ensemble de la chaîne d'approvisionnement.

Cela touche en pratique beaucoup plus d'entreprises que les seules organisations soumises à l'obligation. Lorsqu'une entité essentielle ou importante doit évaluer sa chaîne d'approvisionnement, elle transmet souvent cette évaluation sous forme de questionnaire de sécurité ou de clause contractuelle à ses fournisseurs — même si ces derniers ne sont pas eux-mêmes soumis à la loi. Celui qui reçoit un tel questionnaire de sécurité d'un client subit donc les conséquences de la NIS2 sans en être directement assujetti. Les mesures concernées sont décrites dans les dix mesures que la directive distingue.

D'où découle cette obligation

L'article 21, paragraphe 2 de la directive NIS2 mentionne explicitement la sécurité de la chaîne d'approvisionnement comme faisant partie des dix mesures relevant de l'obligation de diligence, y compris les aspects de sécurité des relations avec les fournisseurs et prestataires directs. La Loi relative à la cybersécurité reprend cette obligation dans la législation néerlandaise. L'NCSC précise que cette obligation de diligence est fondée sur l'analyse des risques : une entité doit identifier où se situent les risques dans sa chaîne et mettre en place des mesures appropriées, ce qui signifie souvent en pratique que les fournisseurs sont invités à fournir la preuve de leur sécurité. La norme ISO/IEC 27001 propose dans l'Annexe A un ensemble de mesures de maîtrise traitant les relations avec les fournisseurs et sert donc souvent de cadre de référence pour ce type d'évaluation.