NIS2 et chaîne d'approvisionnement : par où commencer
Mesures de gestion des risques, obligations de notification, assurance fournisseurs. Un premier trimestre pragmatique pour les organisations nouvellement concernées.
La directive UE 2022/2555, dite NIS2, devait être transposée par les États membres pour le 17 octobre 2024. Elle élargit considérablement le champ des entités concernées et relève le niveau d'exigence. Beaucoup d'organisations découvrent qu'elles sont désormais « entités essentielles » ou « importantes » sans y avoir été préparées. Si c'est votre cas, la bonne nouvelle est que les premières mesures sont concrètes et hiérarchisables.
NIS2 a une particularité qui change la façon de s'y prendre : elle regarde votre chaîne d'approvisionnement. Votre niveau de sécurité n'est plus seulement le vôtre, c'est aussi celui de vos fournisseurs de services numériques. On ne peut donc pas traiter le sujet en vase clos.
Les mesures de gestion des risques
La directive fixe un socle de mesures techniques et organisationnelles (art. 21) : analyse des risques, gestion des incidents, continuité et sauvegardes, sécurité de la chaîne d'approvisionnement, contrôle d'accès, chiffrement, hygiène de base. Aucune n'est exotique. Ce qui est nouveau, pour beaucoup, c'est l'obligation de les formaliser et de pouvoir les démontrer, et la responsabilité explicite des organes de direction.
Les obligations de notification
NIS2 impose un calendrier de notification des incidents significatifs (art. 23) qu'il faut connaître avant qu'un incident ne survienne :
- une alerte précoce dans les 24 heures après la prise de connaissance de l'incident ;
- une notification plus complète dans les 72 heures ;
- un rapport final dans un délai d'un mois.
Tenir ces délais suppose que l'on sache détecter, qualifier et documenter un incident en heures, pas en jours. C'est une capacité opérationnelle, pas une clause à cocher.
L'assurance sur vos fournisseurs
Puisque votre conformité dépend de celle de vos prestataires, il faut pouvoir en obtenir l'assurance : clauses contractuelles adaptées, transparence sur leurs propres mesures, droit de regard. Un fournisseur qui refuse de documenter sa sécurité devient, sous NIS2, un risque que vous portez à sa place.
Un premier trimestre pragmatique
- Mois 1 : déterminer si vous êtes concerné et à quel titre, cartographier vos actifs et vos dépendances numériques critiques.
- Mois 2 : combler les manques les plus élémentaires (MFA, sauvegardes testées, gestion des accès), écrire le plan de réponse à incident et le répéter.
- Mois 3 : passer en revue les fournisseurs critiques, formaliser les mesures, informer la direction de ses responsabilités.
Ce que nous mettons en face
Les deux premiers mois relèvent de la sécurité et de la conformité : cartographie des dépendances, comblement des manques élémentaires, plan de réponse écrit et répété. Le troisième touche vos fournisseurs, et c'est là qu'un opérateur capable de documenter ses propres mesures cesse d'être un risque que vous portez à sa place. Le même raisonnement, côté finance, est développé dans notre analyse de DORA.
La tentation à éviter. Vouloir tout documenter parfaitement avant d'avoir corrigé les failles évidentes. Une politique de sécurité de trente pages ne vaut pas une authentification à deux facteurs activée partout et une restauration testée le mois dernier. On sécurise d'abord, on rédige ensuite, et l'on rédige ce qu'on fait vraiment.
Directive EU 2022/2555, known as NIS2, was to be transposed by Member States by 17 October 2024. It considerably widens the range of entities concerned and raises the bar. Many organisations are discovering that they are now “essential” or “important” entities without having been prepared for it. If that is your case, the good news is that the first measures are concrete and can be prioritised.
NIS2 has one feature that changes how to go about it: it looks at your supply chain. Your security level is no longer only your own, it is also that of your digital service providers. The subject cannot be handled in isolation.
Risk-management measures
The directive sets a baseline of technical and organisational measures (art. 21): risk analysis, incident handling, continuity and backups, supply-chain security, access control, cryptography, basic hygiene. None of these is exotic. What is new, for many, is the obligation to formalise them and to be able to demonstrate them, along with the explicit accountability of management bodies.
Notification obligations
NIS2 imposes a notification timeline for significant incidents (art. 23) that must be known before an incident happens:
- an early warning within 24 hours of becoming aware of the incident;
- a fuller notification within 72 hours;
- a final report within one month.
Meeting those deadlines assumes you can detect, qualify and document an incident in hours, not days. That is an operational capability, not a box to tick.
Assurance over your suppliers
Since your compliance depends on that of your providers, you must be able to obtain assurance: suitable contractual clauses, transparency about their own measures, a right of scrutiny. Under NIS2, a supplier that refuses to document its security becomes a risk you carry on its behalf.
A pragmatic first quarter
- Month 1 : determine whether you are in scope and on what basis, map your assets and your critical digital dependencies.
- Month 2 : close the most elementary gaps (MFA, tested backups, access management), write the incident response plan and rehearse it.
- Month 3 : review critical suppliers, formalise the measures, brief management on its responsibilities.
What we put in its place
The first two months are a matter of security and compliance: mapping dependencies, closing the elementary gaps, writing and rehearsing the response plan. The third concerns your suppliers, and that is where an operator able to document its own measures stops being a risk you carry on its behalf. The same reasoning, on the financial side, is developed in our analysis of DORA.
The temptation to avoid. Wanting to document everything perfectly before fixing the obvious weaknesses. A thirty-page security policy is not worth two-factor authentication enabled everywhere and a restore tested last month. Secure first, write afterwards, and write what you actually do.