NIS 2 et sous-traitants : votre client est-il une entité essentielle ?

Votre entreprise n'est peut-être pas directement assujettie à la directive NIS 2. Pourtant, si vous fournissez une PME industrielle, une ETI de transport, un hébergeur, un acteur de santé ou un opérateur d'énergie, votre niveau de cybersécurité va devenir un sujet commercial. La raison est simple : NIS 2 impose aux entités essentielles et importantes de maîtriser les risques liés à leurs fournisseurs et prestataires directs. Le sujet "NIS 2 sous-traitant" n'est donc pas seulement juridique ; il devient un critère de sélection, de renouvellement et parfois de rupture de contrat.

Pour un dirigeant de PME fournisseur, la bonne question n'est plus seulement "suis-je dans le périmètre NIS 2 ?" mais aussi : mon client est-il une entité essentielle ou importante, et que va-t-il me demander pour sécuriser sa supply chain NIS 2 PME ?

Pourquoi les sous-traitants sont concernés par NIS 2

L'article 21 de la directive demande aux entités essentielles et importantes de mettre en place des mesures techniques, opérationnelles et organisationnelles adaptées au risque. Parmi les mesures minimales figure la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs et prestataires de services directs. En pratique, une entreprise soumise à NIS 2 doit être capable d'expliquer comment elle sélectionne, encadre et surveille ses tiers critiques.

C'est l'effet cascade : même si votre société n'est pas dans l'Annexe I ou II, elle peut être intégrée au dispositif de conformité de son client. Un prestataire de maintenance qui possède un accès VPN, un éditeur SaaS qui héberge des données métier, un sous-traitant industriel connecté à un portail fournisseur ou un cabinet externe qui manipule des plans sensibles deviennent des maillons de risque.

Comment savoir si mon donneur d'ordre est EE ou EI ?

La directive distingue les entités essentielles (EE) et les entités importantes (EI). La qualification dépend principalement du secteur d'activité, de la taille et de certains cas spécifiques. Pour qualifier votre client, commencez par croiser trois indices simples.

1. Son secteur est-il dans les annexes NIS 2 ?

Les secteurs hautement critiques incluent notamment l'énergie, les transports, la santé, l'eau potable, les eaux usées, les infrastructures numériques, la gestion des services TIC, les administrations publiques et l'espace. Les autres secteurs critiques incluent les services postaux, la gestion des déchets, la chimie, l'alimentaire, la fabrication de produits critiques, certains fournisseurs numériques et la recherche. Un client présent dans ces familles doit être analysé avec attention, surtout s'il est structurant dans sa filière.

2. Dépasse-t-il les seuils de taille ?

La règle générale vise les entreprises moyennes et grandes : au moins 50 salariés ou plus de 10 M€ de chiffre d'affaires ou de bilan pour entrer dans la zone d'analyse, puis un niveau de criticité renforcé lorsque l'entreprise dépasse les seuils de grande entreprise. Une PME de 80 salariés dans la fabrication de composants critiques peut donc être concernée ; une ETI de 600 salariés dans l'énergie l'est très probablement.

3. Vous demande-t-il déjà des preuves cyber ?

Les signaux faibles sont révélateurs : questionnaire sécurité, clause de notification d'incident, exigence MFA, demande de PCA/PRA, audit fournisseur, revue des accès distants, clause de sous-traitance en cascade. Même sans courrier officiel "directive NIS 2 fournisseur", ces demandes indiquent que le donneur d'ordre prépare sa conformité et cartographie ses tiers critiques.

Ce que NIS 2 implique concrètement pour le sous-traitant

Pour un fournisseur, les impacts les plus probables sont contractuels et opérationnels. Votre client ne vous demandera pas nécessairement d'être "certifié NIS 2" ; il voudra surtout réduire son exposition et pouvoir démontrer qu'il pilote ses tiers. Attendez-vous à des demandes plus structurées sur cinq sujets.

• Gouvernance : un responsable sécurité identifié, une politique cyber minimale, une preuve de sensibilisation des équipes exposées.
• Accès : MFA, comptes nominatifs, suppression rapide des comptes dormants, séparation des droits administrateurs.
• Résilience : sauvegardes testées, plan de reprise, capacité à continuer ou reprendre le service après incident.
• Notification : engagement d'alerter rapidement le client en cas d'incident susceptible d'affecter ses données, ses accès ou sa production.
• Preuves : réponses documentées, procédures à jour, journal des correctifs, attestations d'hébergement ou de tests, registre des sous-traitants critiques.

Le risque principal n'est pas seulement l'amende. Pour une PME fournisseur, le risque immédiat est la perte d'un appel d'offres, la dégradation d'une note fournisseur ou l'obligation de corriger en urgence des pratiques qui auraient pu être traitées progressivement.

Étapes pour se préparer sans surinvestir

La bonne approche consiste à construire un dossier de confiance proportionné. L'objectif n'est pas de produire une usine documentaire, mais de prouver que les risques essentiels sont maîtrisés et que les écarts sont pilotés.

Le bon réflexe : vous auto-évaluer avant le questionnaire client

Répondre à un questionnaire fournisseur sous pression conduit souvent à des réponses approximatives, difficiles à tenir dans la durée. À l'inverse, un auto-diagnostic vous permet d'identifier vos écarts, de formuler des réponses factuelles et de montrer une trajectoire de progrès. C'est précisément l'objectif du self-assessment CyberSommet: évaluer votre maturité cyber sur les domaines clés de NIS 2 et transformer le résultat en plan d'action lisible.

Si votre client est ou devient une entité essentielle, vous gagnerez du temps en arrivant avec un état des lieux clair, des priorités assumées et des preuves prêtes à partager. C'est aussi une façon de transformer la contrainte NIS 2 en avantage commercial : être le fournisseur qui répond vite, clairement et sérieusement.