NIS2 pour les prestataires IT : ce que vos clients vous demanderont

NIS2 est la directive (UE) 2022/2555. Une directive ne s'impose pas directement aux entreprises : chaque État membre la transpose dans sa propre loi et désigne son autorité compétente et son CSIRT. Le champ, les délais et les sanctions peuvent varier d'un pays à l'autre, et un État peut aller plus loin que la directive (article 5). Vérifiez la loi de votre pays et, si vos clients sont dans d'autres États membres, la leur aussi.

En France, la transposition est toujours en cours. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025 ; au 24 octobre 2026, la dernière étape publiée sur le dossier de l'Assemblée nationale est le texte de la commission spéciale du 10 septembre 2025. L'ANSSI l'indique sur sa page NIS 2 et invite les futures entités essentielles et importantes à renforcer dès maintenant leur niveau de sécurité.

La directive s'applique aux entités des types énumérés à ses annexes I et II qui sont des entreprises moyennes ou plus grandes (article 2, paragraphe 1). La limite est donc le plafond de la petite entreprise : moins de 50 personnes et un chiffre d'affaires annuel ou un total du bilan annuel ne dépassant pas 10 millions d'euros (recommandation 2003/361/CE).

Avant de conclure que vous n'êtes pas concerné, vérifiez trois cas :

• Vous gérez des systèmes de vos clients, même à distance, et vous êtes une entreprise moyenne ou plus grande. Les « fournisseurs de services gérés » et les « fournisseurs de services de sécurité gérés » figurent à l'annexe I, secteur 9, « Gestion des services TIC (interentreprises) ». La définition (article 6, point 39) couvre l'installation, la gestion, l'exploitation ou l'entretien de produits, de réseaux, d'infrastructures ou d'applications TIC, « soit dans les locaux des clients, soit à distance ». À l'annexe I, une entité qui dépasse les plafonds de l'entreprise moyenne est une entité essentielle ; une entreprise moyenne, une entité importante (article 3).
• Votre État membre vous a identifié quelle que soit votre taille, par exemple parce que vous êtes le seul fournisseur d'un service essentiel dans ce pays, ou parce qu'une perturbation de votre service pourrait entraîner un risque systémique important (article 2, paragraphe 2, points b) à e)).
• La loi de votre pays va plus loin que la directive. La directive le permet (article 5) : lisez le texte national, pas seulement la directive.

Si vous n'êtes dans aucun de ces cas, NIS2 ne vous impose pas d'obligations directes. Mais si vos clients comptent des entités essentielles ou importantes, leurs obligations envers leurs fournisseurs deviennent des demandes qui vous sont adressées.

L'article 21 impose aux entités NIS2 des mesures de gestion des risques en matière de cybersécurité qui comprennent au moins, au paragraphe 2, point d) :

« la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs »

Et le paragraphe 3 dit comment les apprécier : les États membres veillent à ce que,

« lorsqu’elles examinent lesquelles des mesures visées au paragraphe 2, point d), du présent article sont appropriées, les entités tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé. »

L'article 20 demande que les organes de direction des entités NIS2 approuvent ces mesures, supervisent leur mise en œuvre et puissent être tenus responsables des violations. C'est pourquoi votre client ne peut pas se contenter d'une assurance orale : il doit pouvoir montrer ce qu'il a demandé à ses fournisseurs et comment il l'a vérifié.

En cas d'incident important, le client doit adresser à son CSIRT ou à son autorité compétente une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification d'incident dans les 72 heures et un rapport final au plus tard un mois après cette notification (article 23 ; les trois délais sont expliqués sur la page NIS2). Si l'incident part d'un système que vous gérez, ces 24 heures dépendent aussi de la rapidité avec laquelle vous le prévenez.

Pour certains types d'entités, la Commission a précisé les mesures dans le règlement d'exécution (UE) 2024/2690 : fournisseurs de services DNS, registres de noms de domaine de premier niveau, fournisseurs de services d'informatique en nuage, de centres de données et de réseaux de diffusion de contenu, fournisseurs de services gérés, fournisseurs de services de sécurité gérés, places de marché en ligne, moteurs de recherche en ligne, plateformes de réseaux sociaux et prestataires de services de confiance. Un règlement s'applique directement dans tous les États membres. Si vous êtes un fournisseur de services gérés dans le champ de NIS2, il s'applique à vous ; si votre client est l'une de ces entités, voici les clauses qu'il doit envisager pour votre contrat. Les autres entités NIS2 suivent les mesures fixées par leur loi et leur autorité nationales, qui peuvent être formulées autrement.

Le point 5.1.4 de son annexe énumère ce que précisent, s'il est besoin, les contrats passés avec les fournisseurs et prestataires de services :

Le point 5.2 demande en outre un registre à jour des fournisseurs et prestataires de services directs, avec un point de contact pour chacun et les produits, services et processus TIC qu'il fournit. Les points 5.1.6 et 5.1.7 demandent au client de réexaminer à intervalles planifiés les pratiques de ses fournisseurs : suivre les rapports sur les accords de niveau de service, examiner les incidents liés à leurs produits et services, et consigner ses constatations.

Ce « s'il est besoin » compte : le client choisit les exigences qu'il vous répercute selon ce que vous lui fournissez. Attendez-vous à des demandes différentes d'un client à l'autre.

Les mesures se traduisent par des questions comme celles-ci, dans un questionnaire ou une annexe au contrat :

• Quels systèmes gérez-vous chez nous, et avec quel niveau d'accès ?
• Qui y accède, avec des comptes nominatifs ou partagés ? Y a-t-il une authentification à deux facteurs ? Comment révoquez-vous l'accès de quelqu'un qui part ?
• Comment gérez-vous les vulnérabilités et les mises à jour de sécurité, et avec quelles preuves ?
• Journalisez-vous et surveillez-vous les événements de sécurité sur les systèmes que vous gérez ? Combien de temps les conservez-vous ?
• En cas d'incident, dans quel délai nous prévenez-vous, et avec quelles informations ?
• Quels sous-traitants utilisez-vous (hébergement, outils, services cloud), et où traitent-ils les données ?
• Que deviennent les données et les accès à la fin du contrat ?

Il n'existe pas de certificat de « fournisseur NIS2 ». Se mettre en règle, c'est pouvoir répondre à ces questions avec des faits et des documents, client par client :

1. Recensez vos clients NIS2 et, pour chacun, les systèmes que vous gérez et votre niveau d'accès. C'est la base de leur registre des fournisseurs (point 5.2).
2. Mettez de l'ordre dans les accès : comptes nominatifs, clés SSH plutôt que mots de passe, authentification à deux facteurs sur les panneaux et les consoles, révocation immédiate quand quelqu'un part.
3. Mettez à jour avec méthode : une liste des vulnérabilités ouvertes par serveur, des délais de correction, et la preuve de ce qui a été appliqué et quand.
4. Enregistrez et conservez les événements sur les serveurs que vous gérez, pour pouvoir reconstituer un incident.
5. Écrivez votre procédure d'incident, avec un délai d'alerte du client compatible avec ses 24 heures, et les contacts des deux parties.
6. Listez vos sous-traitants, avec le pays où chacun traite les données.
7. Convenez des clauses de sécurité du contrat, et prévoyez le réexamen périodique que le client doit mener et documenter (points 5.1.6 et 5.1.7).

InfraFence couvre une partie de ce travail sur les serveurs Linux que vous gérez, et vous donne les preuves à montrer au client :

• Événements et chronologie par serveur : attaques, bannissements, connexions SSH, fichiers modifiés, et chaque action effectuée par une personne ou par AutoMode, avec les approbations et les annulations.
• Vulnérabilités et durcissement : contrôles de durcissement, vulnérabilités (CVE) des paquets installés et un score de sécurité par serveur, avec un rapport mensuel.
• Accès au tableau de bord : authentification à deux facteurs pour chaque utilisateur et un journal d'activité.
• Incidents : à partir des événements, les brouillons de l'alerte précoce, de la notification d'incident et du rapport final, à relire et compléter (offres Pro et AutoMode). C'est toujours l'entité NIS2 qui les envoie, jamais InfraFence.
• Un sous-traitant documenté : InfraFence est exploité par ComCart Srl, société italienne ; le tableau de bord et les données sont en Allemagne. Ce que l'agent lit et envoie est décrit sur la page Sécurité, que vous pouvez transmettre au client.

Il ne couvre pas le reste : les systèmes sur lesquels l'agent ne tourne pas, les processus, les personnes, les contrats. Il ne décide pas si un incident est important, n'envoie rien à aucune autorité ni à aucun CSIRT, et l'utiliser ne vous rend pas conforme : il vous aide à démontrer ce que vous faites sur les serveurs.

• Directive (UE) 2022/2555 (NIS2), sur EUR-Lex : articles 2, 3, 5, 6, 20, 21 et 23, et annexe I.
• Règlement d'exécution (UE) 2024/2690 de la Commission, sur EUR-Lex : article 1 et annexe, points 5.1 et 5.2.
• Recommandation 2003/361/CE de la Commission, sur EUR-Lex : la définition des micro, petites et moyennes entreprises.
• ENISA, la directive NIS2 (en anglais).
• Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dossier législatif de l'Assemblée nationale.
• ANSSI, MesServicesCyber : directive NIS 2.