Cyberattaques, ransomwares, vulnérabilités logicielles, compromission de prestataires… La cybersécurité ne s'arrête plus aux frontières du système d'information de l'entreprise. Un fournisseur, un éditeur SaaS, un prestataire informatique ou l'un de leurs sous-traitants peut constituer un point d'entrée vers l'organisation.
C'est précisément l'un des enjeux de la directive européenne NIS 2 (Network and Information Security 2) : renforcer la cybersécurité et la résilience des organisations européennes en intégrant explicitement la sécurité de la chaîne d'approvisionnement et des relations avec les fournisseurs et prestataires directs dans les mesures de gestion des risques.
Pour les Directions Achats, NIS 2 entraîne donc une évolution importante : il ne suffit plus de connaître ses fournisseurs. Il faut être capable d'identifier les fournisseurs critiques, d'évaluer les risques associés, de définir les mesures appropriées et de conserver la traçabilité des contrôles réalisés.
1. Qui est concerné par NIS2 ?
En France, le dispositif doit concerner des milliers d'organisations appartenant à 18 secteurs d'activité et environ 600 types d'entités différents, des PME jusqu'aux grands groupes et administrations. En effet, NIS 2 élargit considérablement le périmètre de la première directive NIS.
Parmi les secteurs concernés figurent notamment l'énergie, les transports, la banque, les infrastructures des marchés financiers, la santé, l'eau, les infrastructures numériques, les services numériques, certaines activités industrielles, l'agroalimentaire, les services postaux, la gestion des déchets, la chimie, la recherche et les administrations publiques.
Comment savoir si son entreprise est concernée par NIS 2 ?
👉L'entreprise doit croiser 3 critères : la nature de son activité, sa taille et son niveau de criticité. Dans le cas général, NIS 2 concerne les entreprises moyennes et grandes exerçant au moins une activité relevant de l'un des 18 secteurs visés par la directive. La combinaison du secteur d'activité et des seuils d'effectifs, de chiffre d'affaires ou de bilan permet ensuite de déterminer si l'organisation relève de la catégorie des Entités Essentielles (EE) ou des Entités Importantes (EI). L'ANSSI propose sur MonEspaceNIS2 un simulateur permettant d'effectuer un premier diagnostic, mais la responsabilité de déterminer son assujettissement reste celle de l'entreprise.
Simulateur officiel : Comment savoir si mon entreprise entre dans le cadre de NIS2 ?
2. Quel niveau de supervisation ?
La directive distingue également 2 grandes catégories :
- les entités essentielles (EE), soumises au niveau de supervision le plus élevé :
EE = « Je dois être conforme et je peux être contrôlé de manière proactive. »
- les entités importantes (EI) : EI = « Je dois également être conforme, mais le contrôle intervient principalement lorsqu'un manquement est suspecté. »
A noter : certaines organisations peuvent néanmoins être concernées quelle que soit leur taille, notamment en raison de la nature particulièrement critique des services qu'elles fournissent.
Entité essentielle vs entité importante : quelle différence ?
| Entité essentielle (EE) | Entité importante (EI) | |
|---|---|---|
| Obligations de gestion des risques cyber | Oui | Oui |
| Sécurité de la chaîne fournisseurs | Oui | Oui |
| Notification des incidents significatifs | Oui | Oui |
| Responsabilité / implication de la direction | Oui | Oui |
| Niveau d'exigence | Plus élevé | Proportionné au niveau de risque |
| Contrôle de l'autorité | Proactif (ex ante) et réactif | Principalement ex post, lorsqu'il existe des éléments laissant supposer un manquement |
| Amende maximale prévue par NIS 2 | au moins 10 M€ ou 2 % du CA mondial | au moins 7 M€ ou 1,4 % du CA mondial |
Les 2 catégories sont soumises aux principales obligations de NIS 2 : gestion des risques cyber, sécurité de la chaîne d'approvisionnement et des fournisseurs, gestion et notification des incidents, continuité d'activité et implication de la Direction.
La différence réside principalement dans le niveau d'exigence et de supervision.
Par conséquent, les entités essentielles, considérées comme les plus critiques, peuvent faire l'objet de contrôles proactifs par l'autorité compétente, tandis que les entités importantes relèvent principalement d'une supervision ex post, lorsqu'un possible manquement est identifié.
Point important : ce n’est pas simplement le code NAF qui décide. Il faut regarder la nature réelle de l’activité et les définitions précises prévues par la directive. Une entreprise peut donc entrer dans NIS 2 parce qu’une partie seulement de ses activités correspond à l’un des types d’entités visés.
Détail des seuils :
| Taille | Effectif | Critères financiers |
|---|---|---|
| Petite entreprise | < 50 salariés | CA ou bilan ≤ 10 M€ |
| Entreprise moyenne | < 250 salariés | CA ≤ 50 M€ ou bilan ≤ 43 M€ |
| Grande entreprise | ≥ 250 salariés | ou dépassement des seuils financiers correspondants |
3. Le principe de NIS 2
Le principe de NIS 2 est de faire passer les organisations d'une approche essentiellement réactive de la cybersécurité à une véritable gestion structurée et proportionnée des risques cyber.
Périmètre des mesures
NIS 2 prévoit 10 grandes catégories minimales de mesures de cybersécurité :
- analyse des risques et sécurité des systèmes d'information ;
- gestion des incidents ;
- continuité d'activité, sauvegardes, reprise et gestion de crise ;
- sécurité de la chaîne d'approvisionnement et des relations avec les fournisseurs directs ;
- sécurité de l'acquisition, du développement et de la maintenance des systèmes ;
- évaluation de l'efficacité des mesures de sécurité ;
- cyberhygiène et formation ;
- cryptographie et chiffrement ;
- sécurité des ressources humaines, contrôle des accès et gestion des actifs ;
- authentification multifacteur et communications sécurisées lorsque nécessaire.
Pour les Achats, le point N°4 est déterminant : car la gestion du risque fournisseur devient explicitement une composante de la stratégie de cybersécurité.
Où en est-on de l'application de NIS 2 en France ?
La directive NIS 2 est entrée en vigueur au niveau européen le 16 janvier 2023. Les États membres devaient la transposer dans leur droit national au plus tard le 17 octobre 2024.
En France, la transposition a pris du retard.
À l'été 2026, la transposition française n'est toujours pas totalement achevée. Le 8 juillet 2026, la Commission européenne a annoncé saisir la Cour de justice de l'Union européenne contre la France, ainsi que l'Irlande, l'Espagne et les Pays-Bas, pour défaut de communication complète des mesures nationales de transposition de NIS 2.
Cela ne signifie surtout pas que les entreprises doivent attendre.
Depuis le 17 mars 2026, l'ANSSI met à disposition le Référentiel Cyber France (ReCyF). Il rassemble les mesures recommandées pour atteindre les objectifs de sécurité associés à NIS 2 et permet également aux organisations de comparer ces mesures avec d'autres référentiels, notamment ISO 2700X.
L'ANSSI invite d'ailleurs explicitement les futures entités essentielles et importantes à engager dès maintenant leur démarche de sécurisation.
Pour les Directions Achats, cette période constitue donc une opportunité : commencer à structurer la connaissance, la classification et l'évaluation des fournisseurs avant que l'ensemble des obligations françaises ne deviennent applicables.
4. Que faut-il respecter pour être conforme ?
Une démarche d'entreprise
La conformité implique une démarche globale associant notamment Direction générale, DSI, RSSI, Juridique, Risk Management et Achats.
Cartographie, sécurisation, documentation des fournisseurs
👉 En ce qui concerne les achats, pour le volet fournisseurs, la démarche peut être structurée autour de 7 actions :
1. Fiabiliser la donnée fournisseurs
Disposer d'un référentiel permettant d'identifier précisément les fournisseurs, les prestations réalisées, les contrats, les dépenses et les entités concernées.
2. Cartographier les fournisseurs et les prestations
Savoir qui fournit quoi et identifier notamment les fournisseurs ayant accès au SI, manipulant des données sensibles ou intervenant sur une activité essentielle.
3. Identifier les fournisseurs critiques
Évaluer l'impact potentiel d'une défaillance ou d'une compromission du fournisseur.
4. Évaluer les risques fournisseurs
Analyser notamment leurs pratiques cyber, leurs accès, leurs dépendances et leur capacité à assurer la continuité du service.
5. Sécuriser les relations contractuelles
Intégrer des exigences adaptées en matière de cybersécurité, notification des incidents, continuité d'activité, sous-traitance ou audit.
6. Surveiller les fournisseurs dans la durée
Un fournisseur peut évoluer : changement de prestation, nouvel accès au SI, incident, vulnérabilité ou modification de son environnement.
7. Documenter les contrôles et décisions
L'entreprise doit être capable de démontrer la réalité de son dispositif : évaluations effectuées, résultats obtenus, décisions prises et actions correctives engagées.
Quels niveaux de risques évaluer ?
Une fois les fournisseurs critiques identifiés, la deuxième étape consiste à mesurer leur niveau de risque.
Les types de risques à considérer
Types de risques :
- risque d'accès au SI : compromission d'un compte fournisseur,
- risque sur les données : fuite, perte ou accès non autorisé,
- risque technologique : vulnérabilité d'un logiciel ou d'une solution,
- risque d'indisponibilité : interruption d'un service à la suite d'une cyberattaque,
- risque de dépendance : impossibilité de remplacer rapidement le fournisseur,
- risque de concentration : plusieurs activités critiques dépendent d'un prestataire,
- risque de sous-traitance : vulnérabilité provenant d'un fournisseur de rang 2 ou +
- risque lié à la maturité cyber : pratiques de sécurité insuffisantes.
Criticité et risque fournisseur
La criticité mesure principalement les conséquences pour l'entreprise si le fournisseur est compromis ou indisponible.
Le niveau de risque tient compte à la fois de l'exposition au risque et de son impact potentiel.
La combinaison des deux permet de construire une matrice de priorisation :
| Risque faible | Risque moyen | Risque élevé |
|---|
| Criticité forte | 🟡 Surveillance renforcée | 🟠 Plan d'action | 🔴 Priorité immédiate |
| Criticité moyenne | 🟢 Suivi | 🟡 Surveillance | 🟠 Plan d'action |
| Criticité faible | 🟢 Suivi standard | 🟢 Suivi standard | 🟡 Surveillance |
Cette matrice permet aux Achats de répondre à une question très concrète : sur quels fournisseurs devons-nous concentrer nos ressources ?
Un fournisseur situé dans la zone rouge pourra, par exemple, nécessiter une évaluation approfondie, des exigences contractuelles renforcées, un plan d'actions correctives et un suivi régulier.
5. Intérêt ou obligation légale ?
Les avantages pour la fonction achats
Au-delà de la contrainte réglementaire, NIS 2 peut devenir un véritable levier de professionnalisation et de maîtrise des risques fournisseurs pour la fonction Achats.
Cette législation amène notamment à :
- Mieux connaître son portefeuille fournisseurs, en fiabilisant et centralisant les données sur les prestataires, leurs activités et les services fournis.
- Identifier les fournisseurs réellement critiques, non plus uniquement en fonction du volume d'achats, mais également selon leur impact métier, leur accès au SI, les données traitées, la dépendance ou leur substituabilité.
- Mieux anticiper les risques et les ruptures, grâce à une surveillance renforcée des fournisseurs les plus sensibles et à l'identification des situations de dépendance ou de concentration.
- Sécuriser davantage les contrats fournisseurs, en intégrant des exigences relatives à la cybersécurité, à la gestion des incidents, à la continuité d'activité et au suivi de la conformité.
Et surtout à :
- Renforcer le rôle stratégique des Achats, en développant la collaboration avec le RSSI, la DSI, le Juridique et le Risk Management autour d'une vision commune et plus globale du risque fournisseur.
En résumé, NIS 2 pousse les Achats à passer d'une logique de gestion des fournisseurs à une véritable logique de pilotage de leur criticité et de leurs risques.