Introduction
La directive NISv2 marque une rupture profonde dans la manière dont les organisations doivent appréhender la cybersécurité. Désormais, la conformité NIS2 ne se limite plus au périmètre interne des systèmes d’information. Elle s’étend à l’ensemble de l’écosystème numérique, incluant les prestataires, fournisseurs et sous-traitants informatiques.
La gestion des fournisseurs devient ainsi un critère central de la gouvernance cybersécurité, au même titre que l’audit de sécurité informatique, l’analyse de risques ou l’homologation des systèmes d’information. À Rennes, en Bretagne et partout en France, ORNISEC accompagne les entités essentielles et importantes dans la mise en conformité NISv2, en apportant une expertise reconnue en audit des fournisseurs, gouvernance SSI et sécurisation de la chaîne de sous-traitance.
La directive NISv2 : une responsabilité étendue à l’écosystème numérique
La directive NISv2 repose sur un principe fondamental : l’externalisation d’un service informatique n’emporte jamais externalisation de la responsabilité. Lorsqu’une entité confie tout ou partie de ses activités numériques à un prestataire, elle demeure pleinement responsable de la sécurité des systèmes d’information réglementés. Cette approche traduit une prise de conscience européenne face à la multiplication des attaques exploitant les failles de la chaîne d’approvisionnement.
NISv2 impose ainsi aux organisations de maîtriser leur écosystème numérique dans sa globalité. Les prestataires IT, hébergeurs, éditeurs SaaS, infogérants, intégrateurs ou sous-traitants cloud deviennent des maillons critiques du dispositif de cybersécurité. Leur niveau de maturité, leurs pratiques de sécurité et leur capacité à démontrer leur conformité conditionnent directement la conformité NIS2 de l’entité cliente.
Pourquoi la gestion des fournisseurs devient un critère clé de conformité NIS2
Les attaques par rebond via des prestataires constituent aujourd’hui l’un des vecteurs les plus efficaces pour compromettre des systèmes critiques. La cybersécurité en France et en Europe ne peut plus se limiter à un périmètre technique fermé. La directive NISv2 introduit une approche systémique, dans laquelle chaque interconnexion avec un tiers est considérée comme un risque potentiel.
La gestion des fournisseurs n’est donc plus une simple bonne pratique. Elle devient une obligation réglementaire structurante. Les entités doivent être en mesure de démontrer qu’elles connaissent leurs prestataires, qu’elles évaluent les risques associés et qu’elles imposent des exigences de sécurité proportionnées. Cette démarche s’inscrit pleinement dans une logique de gouvernance cybersécurité et de gestion du risque.
Identifier et qualifier les prestataires critiques dans une démarche NISv2
NISv2 n’impose pas un contrôle uniforme de tous les prestataires. La directive adopte une approche fondée sur le risque. L’enjeu pour les entités est donc d’identifier les prestataires réellement critiques pour leurs activités réglementées.
Un prestataire est considéré comme critique dès lors qu’il intervient sur un système d’information réglementé, qu’il dispose d’un accès aux données sensibles ou qu’il est interconnecté au cœur du système d’information. Cette qualification repose sur une cartographie précise des prestataires et des flux, associée à une analyse de risques prenant en compte les impacts métier, opérationnels et réglementaires.
ORNISEC accompagne ses clients dans cette phase structurante, en identifiant les prestataires critiques, en analysant les dépendances numériques et en hiérarchisant les risques fournisseurs dans une logique conforme à la directive NISv2.
La cartographie des prestataires : socle de la conformité NISv2
La cartographie des prestataires constitue le point d’entrée obligatoire de toute démarche NIS2 sur le volet sous-traitance. Elle permet à l’entité de disposer d’une vision exhaustive de son écosystème numérique et des interconnexions avec ses systèmes d’information réglementés.
Cette cartographie ne se limite pas à une liste administrative. Elle intègre les rôles des prestataires, les services fournis, les niveaux d’accès, les flux échangés et les points de contact opérationnels. Elle sert de base à l’analyse de risques, à la définition des exigences contractuelles et à la priorisation des audits de sécurité.
ORNISEC accompagne les organisations dans la construction et la mise à jour de cette cartographie, en l’alignant avec les exigences NISv2 et les référentiels de l’ANSSI.
Intégrer la sécurité dans les relations contractuelles avec les prestataires
La directive NISv2 impose explicitement l’intégration de la sécurité numérique dans les relations contractuelles avec les prestataires informatiques. Cette exigence marque la fin des clauses de sécurité génériques et non opposables.
Les contrats doivent désormais prévoir des engagements clairs en matière de cybersécurité, de conformité NIS2 et de gestion des incidents. Ils doivent également offrir à l’entité cliente une capacité réelle de contrôle, incluant des droits d’audit et des obligations de transparence.
ORNISEC conçoit et rédige des clausiers SSI sur mesure, adaptés aux enjeux métiers et au niveau de criticité des prestataires, afin de sécuriser contractuellement la chaîne de sous-traitance et renforcer la conformité NISv2.
Le Plan d’Assurance Sécurité : un outil central pour encadrer les prestataires
Le Plan d’Assurance Sécurité s’impose comme un document clé dans la gestion des prestataires au sens de NISv2. Il permet de formaliser l’ensemble des mesures organisationnelles, techniques et humaines mises en œuvre par un prestataire pour assurer la sécurité des services fournis.
Contrairement à un document purement technique, le PAS décrit les méthodes, les processus et la gouvernance de la sécurité. Il couvre l’organisation de la sécurité, la gestion des accès, la supervision, la gestion des incidents, la continuité d’activité et la gestion des sous-traitants de second rang.
ORNISEC accompagne ses clients dans la rédaction, l’analyse et la validation de Plans d’Assurance Sécurité conformes aux exigences NISv2, en s’appuyant sur les référentiels ANSSI et les meilleures pratiques du marché.
Mesures de sécurité concrètes à imposer aux prestataires dans un cadre NISv2
La directive NISv2 impose aux entités essentielles et importantes de maîtriser les risques liés à l’externalisation de leurs activités numériques. Cette maîtrise repose sur une démarche structurée, proportionnée et démontrable, fondée sur l’analyse des risques et la formalisation d’exigences de sécurité opposables aux prestataires.
Démarche attendue par NISv2
La démarche consiste d’abord à réaliser une analyse de risques spécifique à la prestation externalisée. Cette analyse porte sur les accès aux systèmes d’information réglementés, les données traitées, les interconnexions techniques, la dépendance opérationnelle et les impacts potentiels sur les activités ou services critiques.
À partir de cette analyse, l’entité sélectionne les risques significatifs et définit les mesures de sécurité nécessaires pour les réduire à un niveau acceptable. Ces mesures sont ensuite formalisées dans deux documents complémentaires.
Le Plan d’Assurance Sécurité précise les exigences opérationnelles que le prestataire doit respecter.
Le clausier sécurité, intégré au contrat, rend ces exigences juridiquement opposables et encadre les responsabilités, la confidentialité, la sous-traitance et les droits de contrôle.
La certification ISO 27001 d’un prestataire peut constituer un élément d’appréciation, mais elle ne dispense jamais de cette démarche. D’une part, le périmètre du SMSI certifié peut ne pas couvrir l’activité réellement externalisée. D’autre part, les mesures retenues dans la Déclaration d’Applicabilité peuvent être insuffisantes au regard des risques spécifiques identifiés pour la prestation. Un PAS reste donc indispensable dans tous les cas.
Checklist – 20 mesures de sécurité NISv2 à imposer aux prestataires
- Définition d’une gouvernance de la sécurité chez le prestataire, avec des rôles et responsabilités clairement identifiés.
- Désignation d’un point de contact sécurité opérationnel et joignable en cas d’incident.
- Cartographie des actifs utilisés pour fournir la prestation, incluant systèmes, applications et données.
- Limitation des accès aux systèmes du client selon le principe du besoin d’en connaître.
- Revue périodique des habilitations et suppression immédiate des accès non nécessaires.
- Authentification multifacteur obligatoire pour tout accès aux systèmes d’information réglementés.
- Chiffrement des accès distants et des communications entre le prestataire et le client.
- Cloisonnement des environnements techniques utilisés pour la prestation.
- Filtrage des flux réseau avec documentation des flux autorisés et blocage par défaut.
- Gestion des correctifs de sécurité avec des délais compatibles avec la criticité des systèmes.
- Protection contre les codes malveillants sur les postes et serveurs utilisés pour la prestation.
- Journalisation des accès, actions et événements de sécurité liés à la prestation.
- Conservation et protection des journaux permettant une analyse a posteriori.
- Procédure formalisée de détection et de gestion des incidents de sécurité.
- Obligation de notification des incidents de sécurité au client dans des délais compatibles NISv2.
- Existence d’un plan de continuité et de reprise d’activité couvrant la prestation externalisée.
- Sensibilisation et formation des personnels du prestataire intervenant sur la prestation.
- Encadrement contractuel strict de la sous-traitance en cascade avec autorisation préalable.
- Engagements contractuels en matière de confidentialité, de protection des données et de RGPD.
- Droit d’audit de sécurité accordé au client ou à un tiers qualifié, avec fourniture de preuves de conformité.
Formalisation des exigences
L’ensemble de ces mesures doit être décliné de manière opérationnelle dans un Plan d’Assurance Sécurité spécifique à la prestation, puis rendu opposable via un clausier sécurité intégré au contrat. Cette double formalisation constitue le socle de la conformité NISv2 sur le volet gestion des prestataires et permet à l’entité de démontrer sa maîtrise de la chaîne de sous-traitance en cas de contrôle.
Auditer la sécurité des prestataires : une exigence opérationnelle NISv2
La conformité NIS2 ne peut reposer sur de simples déclarations. Les entités doivent être en mesure de vérifier la sécurité effective de leurs prestataires. L’audit des fournisseurs devient ainsi un levier central de la gouvernance cybersécurité.
Ces audits peuvent porter sur la conformité organisationnelle, l’architecture des systèmes, les configurations de sécurité, les interfaces exposées ou encore les processus de gestion des incidents. Pour les entités essentielles, le recours à un prestataire qualifié PASSI permet d’apporter une présomption de conformité et un niveau de confiance élevé.
ORNISEC, cabinet qualifié PASSI, réalise des audits de sécurité informatique et des audits de conformité des prestataires, en couvrant l’ensemble des exigences NISv2 applicables à la gestion de la sous-traitance.
Vérifier les périmètres ISO 27001 et SMSI des prestataires
De nombreux prestataires mettent en avant une certification ISO 27001 comme gage de sécurité. NISv2 impose cependant une lecture beaucoup plus exigeante. Une certification n’est pertinente que si le périmètre du SMSI couvre effectivement les services et activités sous-traités.
Les entités doivent donc vérifier l’adéquation entre le périmètre certifié et leurs propres systèmes d’information réglementés. Une certification partielle ou mal alignée peut créer un faux sentiment de conformité.
ORNISEC accompagne ses clients dans l’analyse des périmètres ISO 27001 des prestataires et dans la vérification de la couverture réelle des activités concernées par la sous-traitance.
Nouveaux prestataires et prestataires existants : une approche différenciée
La directive NISv2 n’impose pas une remise en conformité immédiate et uniforme de tous les prestataires existants. Elle exige en revanche une démarche progressive, pilotée par le risque et démontrable.
Pour les nouveaux prestataires, la sécurité doit être intégrée dès la phase de sélection et de contractualisation. Pour les prestataires existants, l’entité doit prioriser les acteurs critiques, évaluer les écarts de sécurité et définir des plans d’actions correctifs.
ORNISEC aide les organisations à structurer cette trajectoire de mise en conformité, en conciliant exigences réglementaires, contraintes opérationnelles et réalité contractuelle.
Gouvernance cybersécurité et pilotage du risque fournisseur
La gestion des prestataires au sens de NISv2 s’inscrit pleinement dans une démarche de gouvernance cybersécurité. Elle implique une implication forte de la direction, une coordination entre les fonctions métiers, juridiques, achats et SSI, ainsi qu’un pilotage structuré du risque.
La gouvernance doit permettre de suivre l’évolution du niveau de sécurité des prestataires, d’anticiper les risques émergents et de démontrer la conformité en cas de contrôle. Elle repose sur des indicateurs, des revues périodiques et une capacité de réaction en cas d’incident.
ORNISEC accompagne ses clients dans la mise en place de cette gouvernance, en lien avec les exigences de la directive NISv2 et les référentiels de l’ANSSI.
NISv2, cybersécurité et intelligence artificielle
L’intégration croissante de solutions d’intelligence artificielle dans les services numériques renforce les enjeux liés à la sous-traitance. Les prestataires exploitant des technologies d’IA doivent être intégrés dans la cartographie NISv2 et soumis aux mêmes exigences de sécurité.
La cybersécurité d’intelligence artificielle devient ainsi un nouveau champ de vigilance, notamment en matière de protection des données, de gouvernance des modèles et de maîtrise des risques.
ORNISEC accompagne les organisations dans l’analyse des risques liés à l’IA et à leur intégration dans une démarche de conformité NIS2 globale.
https://www.ornisec.com/cybersecurite-et-intelligence-artificielle-comprendre-les-risques-et-renforcer-la-securite-de-vos-systemes-dia/
ORNISEC, acteur rennais de référence pour la conformité NISv2
Basé à Rennes, ORNISEC est un acteur reconnu de la cybersécurité en France et en Europe. Cabinet de conseil qualifié PASSI et PACS, ORNISEC accompagne les entités essentielles et importantes dans leurs démarches de conformité NISv2, de gouvernance cybersécurité et de gestion des fournisseurs.
Nos prestations couvrent l’ensemble du cycle de conformité NIS2 : conseil cybersécurité, audit de sécurité informatique, audit des fournisseurs, rédaction de Plans d’Assurance Sécurité, clausiers SSI, analyse de risques, homologation des systèmes d’information, formation et sensibilisation.
ORNISEC intervient également dans le cadre de dispositifs publics et de subventions cybersécurité, afin d’aider les organisations à renforcer durablement leur posture de sécurité.
https://www.ornisec.com/livre-blanc-subventions-cyber/
https://www.ornisec.com/optimisez-votre-cybersecurite-avec-la-canut-accord-cadre-amoa-cyber/
Se mettre en conformité NISv2 : une démarche structurée et progressive
La conformité NISv2 ne s’improvise pas. Elle nécessite une approche structurée, progressive et alignée avec les réalités opérationnelles. La gestion des prestataires en est l’un des piliers les plus sensibles et les plus exposés.
ORNISEC accompagne ses clients à chaque étape, de l’analyse initiale à la mise en œuvre opérationnelle, en s’appuyant sur une expertise reconnue et une parfaite maîtrise des exigences réglementaires.
https://www.ornisec.com/comment-se-mettre-en-conformite-avec-la-directive-nis-2-guide-etape-par-etape-pour-les-entreprises-concernees/
https://www.ornisec.com/directive-nis-2-vers-une-cybersecurite-renforcee-en-europe-point-de-situation-06-25/
Vous êtes concerné par la directive NISv2 et souhaitez sécuriser votre chaîne de sous-traitance ? Vous avez besoin d’un audit de sécurité informatique, d’un audit des fournisseurs ou d’un accompagnement en gouvernance cybersécurité ? Contactez ORNISEC, cabinet PASSI basé à Rennes, pour un accompagnement sur mesure vers la conformité NIS2.