# NIS2 et la chaîne d'approvisionnement : quand la gouvernance rejoint le contrat > Cet article de SwissGRC explique que l'article 21 de la directive NIS2 impose aux entités essentielles et importantes de gérer activement la sécurité de leur chaîne d'approvisionnement. Il montre comment répartir la responsabilité entre sécurité informatique, gestion des risques et achats. - URL: https://swissgrc.com/fr/nis2-chaine-approvisionnement-gouvernance-contrat/ - Éditeur: SwissGRC® - Publié: 2026-09-09 - Dernière mise à jour: 2026-09-09 ## Points clés - L'article 21, paragraphe 2, point d), de la directive NIS2 cite explicitement la sécurité de la chaîne d'approvisionnement parmi les mesures de gestion des risques requises. - Selon l'article 34 de NIS2, les manquements à l'article 21 sont sanctionnés jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et d'au moins 7 millions d'euros ou 1,4 % pour les entités importantes. - La loi allemande de transposition de NIS2 est entrée en vigueur le 6 décembre 2025 et l'article 65 du BSIG comprend 17 catégories d'amendes, de 100 000 euros pour négligence à 10 millions d'euros. - Les entreprises suisses ne sont pas visées par une loi propre, mais par les clauses contractuelles qu'un client établi dans l'UE leur impose pour satisfaire à son obligation au titre de l'article 21. - L'article suggère que la sécurité informatique fournit les critères techniques, que la gestion des risques agrège l'évaluation et que les achats la traduisent en clauses contractuelles opposables. - L'article 20 exige des organes de direction qu'ils approuvent les mesures de gestion des risques et en supervisent la mise en œuvre. La directive NIS2 impose aux entités essentielles et importantes de gérer activement la sécurité de leur chaîne d’approvisionnement, et non simplement de la documenter. Les organisations qui négligent cette obligation s’exposent au même barème d’amendes que pour un manquement à l’obligation de notification ou aux exigences plus larges de gestion des risques. L’attention suscitée par cette menace met en lumière une question ouverte dans de nombreuses organisations : quelle fonction est responsable lorsqu’un fournisseur devient un risque. En bref L’article 21 de la directive NIS2 mentionne explicitement la sécurité de la chaîne d’approvisionnement parmi les mesures de gestion des risques et rattache les infractions au même barème d’amendes que les autres obligations fondamentales. La responsabilité peut être répartie clairement dès lors que la sécurité informatique fournit les critères techniques, que la gestion des risques agrège l’évaluation et que les achats la traduisent en clauses contractuelles opposables. 10M EUR Amende maximale pour les entités essentielles au titre de l’article 34 de la directive NIS2 nis-2-richtlinie.com, sanctions NIS2, 16.05.2026 86% Organisations dotées d’une politique de sécurité de la chaîne d’approvisionnement TIC/OT, enquête ENISA 2022 CIP Association, synthèse du rapport ENISA Good Practices for Supply Chain Cybersecurity 17infractions Infractions passibles d’amende au titre de l’article 65 du BSIG secjur, amendes NIS2, 28.07.2026 ## Qu’exige l’article 21 de la directive NIS2 pour la chaîne d’approvisionnement ? L’article 21, paragraphe 2, point d), mentionne explicitement la sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs directs et les prestataires de services, parmi les mesures de gestion des risques requises. Le paragraphe 3 du même article précise cette obligation : lors du choix des mesures appropriées, les entités doivent tenir compte des vulnérabilités spécifiques à chaque fournisseur ainsi que de la qualité globale des produits et des pratiques de cybersécurité de ce fournisseur. À l’échelle de l’Union, l’article 22 complète cette obligation individuelle par des évaluations coordonnées des risques pour les chaînes d’approvisionnement critiques. Cela montre que le législateur traite le risque lié à la chaîne d’approvisionnement comme un sujet distinct, pertinent à l’échelle de l’UE, et non comme une annexe de la gestion interne des risques. ## Dans quelle mesure l’amende est-elle liée à une défaillance de la chaîne d’approvisionnement ? Les manquements à l’article 21 sont sanctionnés selon le même barème d’amendes que les autres obligations fondamentales de la directive, soit jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles. L’article 34 de la directive NIS2 fixe ce cadre et prévoit, pour les entités importantes, en cas de manquement à l’article 21 ou à l’article 23, un montant maximal d’au moins 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial. Une gestion insuffisante des fournisseurs se trouve ainsi placée, du point de vue des amendes, sur le même plan réglementaire qu’une notification manquée ou l’absence de plan de secours. Pour la fonction de gouvernance, cela signifie que l’évaluation du risque fournisseur requiert le même niveau de preuve que les autres mesures prévues par l’article 21. ![Vues de la solution TPRM de la Plateforme SwissGRC : tableau de bord des risques, catalogue de services et notation de la criticité](https://swissgrc.com/wp-content/uploads/sites/2/2026/09/Isometric-screenshots-net-background-1024x572.png) Vues de la solution TPRM de la Plateforme SwissGRC : tableau de bord des risques, catalogue de services et notation de la criticité ## Que révèle la transposition allemande sur le mécanisme des amendes ? L’article 30, paragraphe 2, point 4, du BSIG traduit l’obligation relative à la chaîne d’approvisionnement en une exigence concrète de mesures, et l’article 65 du BSIG l’assortit d’un catalogue d’amendes graduées. La loi allemande de transposition de NIS2 est entrée en vigueur le 6 décembre 2025, activant les dispositions relatives aux amendes prévues à l’article 65 du BSIG. Selon secjur, cette disposition comprend au total 17 catégories d’amendes, allant de 100 000 euros pour négligence à 10 millions d’euros pour absence de mesures de gestion des risques ou manquement à l’obligation de notification. En vertu de l’article 65, paragraphe 8, du BSIG, l’Office fédéral allemand de la sécurité des technologies de l’information peut retenir le chiffre d’affaires mondial du groupe comme base de calcul et, en cas de doute, l’estimer. Cela étend l’assiette de calcul aux relations fournisseurs au sein d’un groupe. ## Pourquoi les fournisseurs suisses sont-ils concernés malgré tout ? La directive NIS2 ne s’applique formellement qu’au sein de l’UE, mais les entreprises suisses entrent dans sa sphère d’influence dès lors qu’un client établi dans l’UE répercute contractuellement ses propres obligations de sécurité sur ses fournisseurs. Selon ncloud.swiss, les entreprises suisses ne sont pas visées par une loi qui leur est propre, mais par les clauses contractuelles qu’un client de l’UE leur impose afin de satisfaire à sa propre obligation au titre de l’article 21. La loi suisse révisée sur la sécurité de l’information s’adresse principalement aux autorités fédérales et aux exploitants d’infrastructures critiques et, contrairement à NIS2, ne prévoit pas de responsabilité personnelle de la direction générale. Pour les fournisseurs suisses, cela signifie que l’application effective ne passe pas par un texte de loi, mais par le contrat de fourniture conclu avec le client de l’UE. ## Comment répartir la responsabilité entre les achats, la gestion des risques et la sécurité informatique ? Aucune des sources examinées ne prescrit de répartition comme exigence normative, mais la structure de l’article 21 suggère une division du travail le long de la chaîne de processus. La sécurité informatique évalue les critères techniques mentionnés à l’article 21, paragraphe 3 : les vulnérabilités spécifiques d’un fournisseur et la qualité de ses pratiques de cybersécurité. La gestion des risques consolide ces évaluations individuelles dans le cadre de la gouvernance des risques tiers et les situe dans l’appétence au risque globale. Les achats traduisent le résultat en clauses contractuelles opposables en cas de litige, telles que des droits d’audit ou des délais de notification des incidents de sécurité. L’article 20 exige des organes de direction qu’ils approuvent les mesures de gestion des risques et qu’ils en supervisent la mise en œuvre. Sans attribution documentée des trois fonctions, ce devoir de supervision peut difficilement être démontré de manière crédible. Une première étape vérifiable consiste, pour la gestion des risques, à établir dans les trois prochains mois un registre des fournisseurs directs documentant pour chacun d’eux les critères de l’article 21, paragraphe 3, et à transmettre ce registre aux achats comme base de la prochaine négociation contractuelle. À lire aussi ### Recenser et piloter le risque fournisseur de manière structurée La solution Gestion des risques tiers réunit l’évaluation des vulnérabilités et l’état contractuel pour chaque fournisseur. Elle rend visibles les cas où la gestion des risques et les achats évaluent différemment un même fournisseur. [Gestion des risques tiers](https://swissgrc.com/fr/tprm-software/) En pratique ## Points clés - L’article 21, paragraphe 2, point d), fait de la sécurité de la chaîne d’approvisionnement une obligation fondamentale de la gestion des risques au titre de NIS2, et non un complément facultatif. - Un manquement à l’obligation relative à la chaîne d’approvisionnement est sanctionné selon le même barème d’amendes qu’un manquement aux autres mesures de gestion des risques. - Les fournisseurs suisses sont visés non par une loi qui leur est propre, mais par les clauses contractuelles imposées par leurs clients établis dans l’UE. - Une division du travail pertinente confie l’évaluation technique à la sécurité informatique, l’agrégation des risques à la gestion des risques et la mise en œuvre contractuelle aux achats. - Sans responsabilité documentée, le devoir de supervision des organes de direction prévu à l’article 20 peut difficilement être démontré. FAQ ## Questions fréquentes Que se passe-t-il si une entreprise manque à l’obligation relative à la chaîne d’approvisionnement au titre de NIS2 ? Un manquement à l’obligation relative à la chaîne d’approvisionnement prévue à l’article 21 est sanctionné selon le même barème d’amendes que les autres obligations fondamentales de la directive NIS2. Les entités essentielles encourent des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, les entités importantes au moins 7 millions d’euros ou 1,4 %. NIS2 s’applique-t-elle aussi aux entreprises suisses sans présence dans l’UE ? La directive NIS2 ne s’applique formellement qu’au sein de l’UE. Les fournisseurs suisses entrent néanmoins dans sa sphère d’influence lorsqu’un client établi dans l’UE répercute contractuellement ses propres obligations au titre de l’article 21. L’application effective ne passe alors pas par un texte de loi, mais par les clauses du contrat de fourniture conclu avec le client de l’UE. Quel niveau d’amende encourt-on en cas de manquement à l’article 21 ? L’article 34 de la directive NIS2 prévoit pour les entités essentielles des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, et pour les entités importantes au moins 7 millions d’euros ou 1,4 %. La transposition allemande à l’article 65 du BSIG comprend 17 infractions passibles d’amendes graduées, de 100 000 euros à 10 millions d’euros. Qui, au sein d’une entreprise, devrait être responsable de l’évaluation du risque fournisseur ? Une division du travail pertinente confie à la sécurité informatique l’évaluation technique des vulnérabilités et des pratiques de cybersécurité. La gestion des risques agrège ces évaluations et les situe dans l’appétence au risque globale. Les achats traduisent le résultat en clauses contractuelles opposables, telles que des droits d’audit ou des délais de notification. Que signifie l’article 22 de la directive NIS2 pour les chaînes d’approvisionnement critiques ? L’article 22 complète l’obligation individuelle relative à la chaîne d’approvisionnement issue de l’article 21 par des évaluations coordonnées des risques au niveau de l’Union pour les chaînes d’approvisionnement critiques. Cela montre que le législateur traite le risque lié à la chaîne d’approvisionnement comme un sujet distinct, pertinent à l’échelle de l’UE, et non comme un simple volet de la gestion interne des risques de chaque entité. Sources 1. [Article 21 de la directive NIS2 : mesures de gestion des risques](https://nis2-umsetzung.com/nis2-richtlinie/artikel-21-risikomanagementmassnahmen-im-bereich-der-cybersicherheit/)nis2-umsetzung.com 2. [Infractions passibles d’amende au titre de l’article 65 du BSIG](https://www.secjur.com/blog/nis2-strafen)secjur ## Questions fréquentes ### Que risque une entreprise qui néglige la sécurité de sa chaîne d'approvisionnement au titre de NIS2 ? Un manquement à l'article 21 est sanctionné selon le même barème d'amendes que les autres obligations fondamentales de NIS2. Les entités essentielles encourent jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, les entités importantes au moins 7 millions d'euros ou 1,4 %. ### NIS2 concerne-t-elle les fournisseurs suisses ? La directive NIS2 ne s'applique formellement qu'au sein de l'UE. Les entreprises suisses sont concernées lorsqu'un client établi dans l'UE répercute ses obligations par contrat, de sorte que l'application passe par le contrat de fourniture et non par un texte de loi. ### Qui est responsable du risque fournisseur dans l'entreprise ? Aucune source examinée ne prescrit de répartition normative. La structure de l'article 21 suggère que la sécurité informatique évalue les critères techniques, que la gestion des risques consolide les évaluations et que les achats les traduisent en clauses contractuelles, comme des droits d'audit ou des délais de notification. ### Que prévoit l'article 22 de NIS2 pour les chaînes d'approvisionnement critiques ? L'article 22 complète l'obligation individuelle de l'article 21 par des évaluations coordonnées des risques à l'échelle de l'Union pour les chaînes d'approvisionnement critiques. Le législateur traite ainsi ce risque comme un sujet distinct, pertinent à l'échelle de l'UE.