NIS2 : pourquoi vos clients grands comptes vous posent des questions de cybersécurité

Le scénario devient courant : une PME reçoit de son principal client, un grand compte, un questionnaire de plusieurs pages sur sa cybersécurité. Authentification, sauvegardes, gestion des incidents, parfois une clause contractuelle à signer. En arrière-plan de ces demandes, il y a le plus souvent la même origine : la directive européenne NIS2. Voici ce qu'il faut en comprendre, sans jargon, et comment répondre sans y laisser vos soirées.

NIS2 en deux paragraphes

NIS2 est une directive européenne de 2022 qui renforce considérablement les exigences de cybersécurité, en élargissant le champ de la première directive NIS. Elle couvre les entités dites essentielles et importantes de nombreux secteurs : énergie, transports, santé, eau, numérique, mais aussi agroalimentaire, fabrication, services postaux, gestion des déchets. Selon les estimations publiques, des milliers d'entités sont concernées en France, contre quelques centaines auparavant. En France, la transposition est pilotée avec l'ANSSI, et le calendrier précis des obligations dépend des textes d'application ; l'ANSSI propose un outil en ligne pour vérifier si votre entreprise entre dans le champ.

Le point qui vous concerne même si vous n'êtes pas dans la liste : NIS2 impose aux entités régulées de maîtriser la sécurité de leur chaîne d'approvisionnement. Autrement dit, vos clients régulés deviennent responsables du risque que leurs fournisseurs, dont vous, font peser sur eux. D'où les questionnaires.

Ce qu'on va vous demander

Les questionnaires varient, mais les fondamentaux reviennent systématiquement :

• Authentification : double authentification (MFA) sur la messagerie, les accès distants et les comptes administrateur.
• Sauvegardes : existence, externalisation, tests de restauration. Notre checklist sauvegarde couvre précisément ce que ces audits vérifient.
• Mises à jour : un processus régulier de correctifs sur les postes et serveurs.
• Gestion des incidents : savoir qui prévenir et quoi faire en cas d'attaque, sujet que nous avons détaillé dans les premières 24 heures d'une cyberattaque, et être capable de notifier vos clients rapidement.
• Sensibilisation : la preuve que vos équipes sont formées aux bases (hameçonnage, mots de passe).
• Parfois, des clauses contractuelles : engagement de notification d'incident sous un délai donné, droit d'audit, exigences sur vos propres sous-traitants.

Rien d'exotique : c'est l'hygiène informatique de base, formalisée.

Le vrai risque pour une PME sous-traitante

Le risque n'est pas l'amende, qui vise les entités régulées, pas leurs fournisseurs. Le risque est commercial : à prestation égale, le donneur d'ordre choisira le fournisseur capable de répondre proprement au questionnaire. Un dossier de sécurité vide devient un motif d'éviction des appels d'offres, discret mais bien réel. À l'inverse, une PME capable de répondre en deux jours avec des preuves se distingue immédiatement de ses concurrents.

Comment répondre sans paniquer

1. Ne répondez pas « oui » à tout. Les déclarations engagent, et un audit ou un incident révélera les écarts. Répondez ce qui est vrai, avec un plan pour le reste : « MFA déployée sur la messagerie, extension aux accès distants planifiée » est une réponse crédible et acceptable.
2. Centralisez vos preuves. Attestation de sauvegarde et rapport de dernier test de restauration, politique de mots de passe, liste des mesures en place. Constituer ce dossier une fois vous évite de réinventer la réponse à chaque questionnaire.
3. Appuyez-vous sur votre prestataire informatique. La moitié des réponses relève de lui : c'est à lui de fournir les attestations sur la supervision, les mises à jour, les sauvegardes. S'il ne peut pas documenter ce qu'il fait, le questionnaire de votre client vient de vous apprendre quelque chose sur votre prestataire. Les clauses de votre contrat d'infogérance devraient d'ailleurs prévoir cette assistance.
4. Traitez les écarts par ordre de risque. MFA et sauvegardes testées d'abord : ce sont les deux mesures qui neutralisent le plus d'attaques réelles, et les deux les plus scrutées.

En faire un avantage plutôt qu'une corvée

La conformité de chaîne d'approvisionnement va se banaliser : ce que NIS2 impose aux grands comptes ruisselle mécaniquement vers leurs fournisseurs, comme le RGPD l'a fait en son temps. Les PME qui structurent leur sécurité maintenant transforment une contrainte en argument commercial : « nous savons répondre à vos exigences sécurité » est une phrase qui gagne des marchés. C'est exactement le genre de mise à niveau que nous pilotons dans le cadre de nos contrats d'infogérance, le dossier de preuves compris.