Article 21 NIS2 : ce que la maîtrise des risques tiers implique

L’article 21 de la directive NIS2 impose aux entités essentielles et importantes de prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité de leurs réseaux et systèmes d’information et pour prévenir ou réduire au minimum les conséquences des incidents. Le paragraphe 2 énumère dix domaines que ces mesures doivent couvrir au minimum ; son point d) vise explicitement « la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ».

Le paragraphe 3 de l’article 21 apporte une précision souvent négligée : lors de l’appréciation des mesures de sécurité de la chaîne d’approvisionnement, l’entité doit notamment tenir compte des vulnérabilités propres à chaque fournisseur et prestataire direct, ainsi que de la qualité globale et de la résilience de leurs produits et services, de leurs pratiques de cybersécurité et de leurs procédures de développement sécurisé. Cette disposition appelle une appréciation qualitative et proportionnée du risque ; elle ne se limite pas à vérifier l’existence de clauses contractuelles.

Avant NIS2, la sécurité des fournisseurs était souvent traitée principalement dans le cadre des achats et des contrats, au moyen de clauses de confidentialité, d’exigences de certification ou de contrôles ponctuels. L’article 21, paragraphe 2, point d), consacre désormais la sécurité de la chaîne d’approvisionnement comme un domaine obligatoire de la gestion des risques en matière de cybersécurité, qui doit être appréhendé de manière documentée, proportionnée et suivie dans le temps.

Concrètement, l’organisation concernée ne peut pas se contenter de répondre « nous avons un contrat avec ce prestataire » lorsqu’un auditeur ou une autorité l’interroge sur sa maîtrise des risques liés aux tiers. Elle doit pouvoir présenter une évaluation active et documentée de ses fournisseurs et prestataires directs, avec une profondeur, une fréquence et des justificatifs proportionnés à la criticité et au niveau de risque de chaque relation.

En complément de l’obligation individuelle posée par l’article 21, l’article 22 de la directive introduit une dimension collective : il prévoit que la Commission européenne, après consultation du groupe de coopération NIS2 et de l’ENISA et, le cas échéant, des parties prenantes concernées, peut mener des évaluations coordonnées au niveau de l’Union des risques liés aux chaînes d’approvisionnement de services TIC critiques, de systèmes TIC critiques ou de produits TIC critiques spécifiques.

Cette disposition complète les évaluations conduites par chaque entité : elle permet à l’Union européenne d’identifier des risques systémiques affectant certaines chaînes d’approvisionnement et de définir des mesures d’atténuation appropriées. Lorsqu’une évaluation coordonnée est réalisée au titre de l’article 22, les entités concernées doivent tenir compte de ses résultats dans l’évaluation des mesures de sécurité de leur chaîne d’approvisionnement. Elles doivent donc suivre les publications correspondantes de la Commission européenne, de l’ENISA et du groupe de coopération NIS2 et les intégrer, lorsqu’elles leur sont applicables, dans leur propre dispositif de gestion des risques.

Le principe de proportionnalité constitue une clé de lecture essentielle : l’article 21, paragraphe 1, exige des mesures appropriées et proportionnées, tenant compte du degré d’exposition aux risques, de la taille de l’entité, de la probabilité de survenue des incidents et de leur gravité, y compris de leurs conséquences sociétales et économiques. NIS2 n’impose donc pas un audit uniforme et exhaustif de chaque fournisseur : elle exige une démarche structurée et calibrée selon les risques associés aux relations concernées.

C'est ce principe de proportionnalité qui justifie l'approche par segmentation déjà décrite dans les bonnes pratiques de TPRM : concentrer l'essentiel de l'effort d'évaluation sur les fournisseurs dont la défaillance aurait l'impact le plus significatif, plutôt que de répartir uniformément des ressources limitées sur l'ensemble du parc fournisseurs.

Une autorité compétente peut constater un manquement aux obligations de gestion des risques sans qu’un incident lié à un fournisseur se soit préalablement produit. Une absence d’évaluation documentée, une analyse manifestement obsolète ou un dispositif disproportionné au regard des risques peuvent ainsi fragiliser la démonstration de conformité de l’entité. Les conséquences dépendront toutefois du droit national de transposition, de la qualification de l’entité, de la gravité de l’écart et des mesures de supervision ou d’exécution mises en œuvre par l’autorité compétente.

Au titre de l’article 20 de NIS2, les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité et supervisent leur mise en œuvre. Pour ces organes, l’absence de cartographie des fournisseurs critiques et de visibilité sur leur statut d’évaluation constitue donc un angle mort de gouvernance comparable à l’absence de cartographie des risques internes.