NIS2 et la chaîne d’approvisionnement : quand la gouvernance rejoint le contrat

La directive NIS2 impose aux entités essentielles et importantes de gérer activement la sécurité de leur chaîne d’approvisionnement, et non simplement de la documenter. Les organisations qui négligent cette obligation s’exposent au même barème d’amendes que pour un manquement à l’obligation de notification ou aux exigences plus larges de gestion des risques. L’attention suscitée par cette menace met en lumière une question ouverte dans de nombreuses organisations : quelle fonction est responsable lorsqu’un fournisseur devient un risque.

Qu’exige l’article 21 de la directive NIS2 pour la chaîne d’approvisionnement ?

L’article 21, paragraphe 2, point d), mentionne explicitement la sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs directs et les prestataires de services, parmi les mesures de gestion des risques requises.

Le paragraphe 3 du même article précise cette obligation : lors du choix des mesures appropriées, les entités doivent tenir compte des vulnérabilités spécifiques à chaque fournisseur ainsi que de la qualité globale des produits et des pratiques de cybersécurité de ce fournisseur.

À l’échelle de l’Union, l’article 22 complète cette obligation individuelle par des évaluations coordonnées des risques pour les chaînes d’approvisionnement critiques. Cela montre que le législateur traite le risque lié à la chaîne d’approvisionnement comme un sujet distinct, pertinent à l’échelle de l’UE, et non comme une annexe de la gestion interne des risques.

Dans quelle mesure l’amende est-elle liée à une défaillance de la chaîne d’approvisionnement ?

Les manquements à l’article 21 sont sanctionnés selon le même barème d’amendes que les autres obligations fondamentales de la directive, soit jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles.

L’article 34 de la directive NIS2 fixe ce cadre et prévoit, pour les entités importantes, en cas de manquement à l’article 21 ou à l’article 23, un montant maximal d’au moins 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial.

Une gestion insuffisante des fournisseurs se trouve ainsi placée, du point de vue des amendes, sur le même plan réglementaire qu’une notification manquée ou l’absence de plan de secours. Pour la fonction de gouvernance, cela signifie que l’évaluation du risque fournisseur requiert le même niveau de preuve que les autres mesures prévues par l’article 21.

Que révèle la transposition allemande sur le mécanisme des amendes ?

L’article 30, paragraphe 2, point 4, du BSIG traduit l’obligation relative à la chaîne d’approvisionnement en une exigence concrète de mesures, et l’article 65 du BSIG l’assortit d’un catalogue d’amendes graduées.

La loi allemande de transposition de NIS2 est entrée en vigueur le 6 décembre 2025, activant les dispositions relatives aux amendes prévues à l’article 65 du BSIG. Selon secjur, cette disposition comprend au total 17 catégories d’amendes, allant de 100 000 euros pour négligence à 10 millions d’euros pour absence de mesures de gestion des risques ou manquement à l’obligation de notification.

En vertu de l’article 65, paragraphe 8, du BSIG, l’Office fédéral allemand de la sécurité des technologies de l’information peut retenir le chiffre d’affaires mondial du groupe comme base de calcul et, en cas de doute, l’estimer. Cela étend l’assiette de calcul aux relations fournisseurs au sein d’un groupe.

Pourquoi les fournisseurs suisses sont-ils concernés malgré tout ?

La directive NIS2 ne s’applique formellement qu’au sein de l’UE, mais les entreprises suisses entrent dans sa sphère d’influence dès lors qu’un client établi dans l’UE répercute contractuellement ses propres obligations de sécurité sur ses fournisseurs.

Selon ncloud.swiss, les entreprises suisses ne sont pas visées par une loi qui leur est propre, mais par les clauses contractuelles qu’un client de l’UE leur impose afin de satisfaire à sa propre obligation au titre de l’article 21.

La loi suisse révisée sur la sécurité de l’information s’adresse principalement aux autorités fédérales et aux exploitants d’infrastructures critiques et, contrairement à NIS2, ne prévoit pas de responsabilité personnelle de la direction générale. Pour les fournisseurs suisses, cela signifie que l’application effective ne passe pas par un texte de loi, mais par le contrat de fourniture conclu avec le client de l’UE.

Comment répartir la responsabilité entre les achats, la gestion des risques et la sécurité informatique ?

Aucune des sources examinées ne prescrit de répartition comme exigence normative, mais la structure de l’article 21 suggère une division du travail le long de la chaîne de processus.

La sécurité informatique évalue les critères techniques mentionnés à l’article 21, paragraphe 3 : les vulnérabilités spécifiques d’un fournisseur et la qualité de ses pratiques de cybersécurité. La gestion des risques consolide ces évaluations individuelles dans le cadre de la gouvernance des risques tiers et les situe dans l’appétence au risque globale. Les achats traduisent le résultat en clauses contractuelles opposables en cas de litige, telles que des droits d’audit ou des délais de notification des incidents de sécurité.

L’article 20 exige des organes de direction qu’ils approuvent les mesures de gestion des risques et qu’ils en supervisent la mise en œuvre. Sans attribution documentée des trois fonctions, ce devoir de supervision peut difficilement être démontré de manière crédible. Une première étape vérifiable consiste, pour la gestion des risques, à établir dans les trois prochains mois un registre des fournisseurs directs documentant pour chacun d’eux les critères de l’article 21, paragraphe 3, et à transmettre ce registre aux achats comme base de la prochaine négociation contractuelle.