Sous-traitants NIS2 : Obligations de la Chaîne d'Approvisionnement 2026

L'article 21-4 de la directive NIS2 impose aux entités essentielles et importantes une responsabilité explicite sur la sécurité de leur chaîne d'approvisionnement. Cette disposition, transposée en droit français dans la loi NIS2 de fin 2024, crée un régime d'obligations inédit pour les sous-traitants et fournisseurs des opérateurs critiques : évaluation de maturité cyber, clauses contractuelles obligatoires, questionnaires standardisés, audits on-site, notification partagée des incidents. En 2026, ces obligations ne sont plus théoriques — elles se concrétisent dans des contrats, des appels d'offres et des évaluations formelles. Ce guide détaille ce que l'article 21-4 impose réellement, secteur par secteur, et quels sont les risques pour les fournisseurs qui n'anticipent pas cette révolution de la supply chain cybersécurité.

Ce que l'article 21-4 de NIS2 impose aux entités essentielles

L'article 21-4 de la directive NIS2 (2022/2555) énonce que les entités essentielles et importantes doivent prendre en compte "la sécurité dans la chaîne d'approvisionnement, y compris les aspects relatifs à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs". Cette formulation, volontairement large, a été précisée par les orientations de l'ENISA et par la transposition française.

Concrètement, les obligations des EE vis-à-vis de leurs fournisseurs se déclinent en quatre catégories : l'évaluation de la maturité cyber des fournisseurs critiques, l'inclusion de clauses contractuelles de sécurité, la définition de processus de notification d'incidents partagés, et la réalisation d'audits périodiques. Ces obligations ne sont pas optionnelles : leur non-respect expose les EE à des sanctions pouvant atteindre 10 millions d'euros ou 2% du chiffre d'affaires mondial annuel.

Évaluation de la maturité cyber des fournisseurs

La démarche d'évaluation : méthodes et outils

L'évaluation de la maturité cyber d'un fournisseur peut prendre plusieurs formes selon le niveau de criticité du service rendu. Pour les fournisseurs critiques — ceux dont la défaillance ou la compromission pourrait directement affecter les services essentiels de l'EE — une évaluation complète est requise. Elle combine généralement un questionnaire d'auto-évaluation basé sur ReCyF, une revue documentaire des preuves fournies, et pour les fournisseurs les plus critiques, une évaluation on-site.

Le référentiel ReCyF V2.5, publié par l'ANSSI en mars 2026, s'est imposé comme le standard de facto pour cette évaluation en France. Les 112 contrôles de ReCyF couvrent l'ensemble des domaines de sécurité pertinents pour évaluer un fournisseur : gouvernance, gestion des risques, sécurité des systèmes, gestion des accès, continuité d'activité, gestion des incidents. La cotation en trois niveaux (Initial, Défini, Optimisé) permet une segmentation fine des fournisseurs par niveau de maturité.

Criticité des fournisseurs : comment la déterminer

Toutes les relations fournisseurs ne nécessitent pas le même niveau d'évaluation. Les EE doivent d'abord conduire une analyse de criticité pour identifier les fournisseurs dont la compromission ou la défaillance impacterait leurs services essentiels. Cette analyse tient compte de la nature du service rendu (accès aux systèmes d'information, traitement de données sensibles, maintenance d'équipements critiques), de la substituabilité du fournisseur, et de l'historique d'incidents ou de vulnérabilités.

En pratique, les EE structurent leurs fournisseurs en trois tiers : les fournisseurs critiques (évaluation ReCyF complète + audit on-site annuel), les fournisseurs importants (questionnaire ReCyF + revue documentaire annuelle), et les fournisseurs standards (clause contractuelle minimale + auto-déclaration de conformité).

Clauses contractuelles obligatoires : ce que les contrats doivent contenir

La transposition française de NIS2 impose aux EE d'inclure dans leurs contrats fournisseurs un ensemble minimal de clauses cybersécurité. Ces clauses ont été standardisées par l'ANSSI dans un guide contractuel publié début 2026, permettant aux fournisseurs d'anticiper les exigences.

Les clauses incontournables

Tout contrat entre une EE et un fournisseur critique doit désormais contenir : une clause d'engagement de conformité aux exigences cybersécurité définies par l'EE (référençant ReCyF ou un standard équivalent), une clause de notification d'incidents avec des délais précis (24h/72h/1 mois alignés sur NIS2), une clause d'audit autorisant l'EE à conduire ou faire conduire des audits de sécurité chez le fournisseur, une clause de gestion des sous-traitants imposant au fournisseur des exigences équivalentes à ses propres sous-traitants critiques, et une clause de fin de contrat garantissant la restitution et la destruction sécurisée des données.

Clauses de cascade et fournisseurs de rang 2

L'article 21-4 de NIS2 implique une obligation de cascade : l'EE doit s'assurer que ses fournisseurs directs appliquent des exigences équivalentes à leurs propres sous-traitants. La clause contractuelle standard impose donc au fournisseur de rang 1 d'inclure des clauses cybersécurité dans ses propres contrats fournisseurs, et de pouvoir en justifier sur demande de l'EE. Cette cascade s'arrête généralement au rang 2 dans les textes réglementaires, mais certaines EE des secteurs les plus sensibles (énergie nucléaire, défense) l'étendent au rang 3.

Questionnaires standardisés : ReCyF et alternatives

Le questionnaire ReCyF est l'outil privilégié des entités essentielles françaises pour évaluer leurs fournisseurs. Sa structuration en 12 domaines et 112 contrôles permet une évaluation exhaustive et documentée, reproductible dans le temps. Les fournisseurs qui auront répondu à ReCyF pour un client EE disposent d'un dossier réutilisable pour d'autres clients, réduisant la charge administrative.

Autres référentiels acceptés

Certaines EE, notamment celles à dimension internationale, peuvent accepter des référentiels alternatifs à ReCyF : TISAX pour l'industrie automobile, ISO 27001 avec périmètre étendu aux services fournis, ou des questionnaires sectoriels (HADS pour la santé, HDS pour l'hébergement de données de santé). La règle générale est que ces alternatives doivent couvrir un niveau d'exigence équivalent à ReCyF niveau "Défini". Une certification ISO 27001 en cours de validité est généralement acceptée comme preuve partielle, mais ne dispense pas de répondre aux contrôles spécifiques NIS2 de ReCyF (notification d'incidents, obligations supply chain).

Audits on-site : modalités et fréquence

Pour les fournisseurs critiques, l'auto-évaluation sur questionnaire ne suffit pas. L'article 21-4 de NIS2 et ses textes d'application permettent aux EE de conduire ou faire conduire des audits on-site chez leurs fournisseurs. Ces audits peuvent être conduits par les équipes internes de l'EE, par un prestataire qualifié PASSI (Prestataire d'Audit de la Sécurité des Systèmes d'Information) mandaté par l'EE, ou par un tiers indépendant choisi conjointement.

Fréquence et déclencheurs des audits

La fréquence standard est d'un audit annuel pour les fournisseurs critiques. Des audits non planifiés peuvent être déclenchés en cas d'incident de sécurité, de changement significatif dans l'environnement du fournisseur (fusion, changement de sous-traitants, migration cloud) ou de dégradation du score ReCyF entre deux évaluations. Le fournisseur doit contractuellement accepter ces audits avec un préavis minimal défini dans le contrat (généralement 2 à 4 semaines pour un audit planifié, 72h pour un audit déclenché post-incident).

Notification d'incidents partagée : le nouveau régime

L'une des innovations les plus impactantes de NIS2 pour les fournisseurs est l'obligation de notification d'incidents partagée. Un fournisseur victime d'un incident de sécurité susceptible d'affecter les systèmes ou services de son client EE doit notifier ce dernier dans des délais très courts : alerte préliminaire dans les 24 heures, notification intermédiaire dans les 72 heures avec les premières analyses, rapport final dans le mois suivant.

Ce qui se passe si le fournisseur ne notifie pas

Le non-respect des délais de notification expose le fournisseur à plusieurs risques : résiliation contractuelle pour manquement à une obligation essentielle, engagement de la responsabilité civile du fournisseur si le retard de notification a aggravé les dommages pour l'EE, et possiblement une co-responsabilité dans les sanctions que l'ANSSI pourrait prononcer contre l'EE si le manquement de notification est documenté. Ce régime de co-responsabilité est une nouveauté absolue par rapport au cadre juridique antérieur à NIS2.

Calendrier 2026 d'application : ce qui est déjà en vigueur

La transposition française de NIS2 étant effective depuis fin 2024, les obligations de l'article 21-4 sont juridiquement applicables depuis le premier trimestre 2025 pour les entités essentielles. En pratique, le déploiement des évaluations fournisseurs s'est concentré sur 2025-2026, avec une accélération notable depuis début 2026.

Au premier semestre 2026, la grande majorité des EE des secteurs de l'énergie, des transports et des télécommunications ont transmis leurs questionnaires ReCyF à leurs fournisseurs critiques. Les évaluations formelles et les premiers audits on-site sont planifiés pour le second semestre 2026. Les fournisseurs qui ne seraient pas en mesure de démontrer un niveau minimal de conformité d'ici décembre 2026 risquent de ne pas être retenus dans les appels d'offres 2027.

Cas pratiques par secteur

Secteur de l'énergie

Les opérateurs d'énergie (électricité, gaz, pétrole) sont parmi les EE les plus avancées dans le déploiement des évaluations fournisseurs. Un grand opérateur énergétique peut avoir plusieurs milliers de fournisseurs, dont une centaine classifiés "critiques". La gestion de ce volume impose une approche industrielle avec des outils de suivi dédiés. Les fournisseurs de services de maintenance des systèmes SCADA et ICS sont particulièrement ciblés, compte tenu du risque qu'une compromission de ces systèmes fait peser sur la continuité de fourniture d'énergie.

Secteur de la santé

Les hôpitaux et établissements de santé classifiés EE (CHU, centres hospitaliers régionaux) ont des spécificités : beaucoup de leurs fournisseurs sont des PME du secteur médical peu familières des référentiels cyber. L'ANSSI et l'ANS (Agence du Numérique en Santé) ont développé des ressources spécifiques pour accompagner cette population de fournisseurs, notamment via le programme CaRE (Cybersécurité Accélération et Résilience des Établissements). Les fournisseurs de logiciels médicaux, de dispositifs médicaux connectés et de services d'infogérance hospitalière sont en première ligne.

Secteur des transports

Les opérateurs de transport (SNCF, gestionnaires d'aéroports, ports) ont des chaînes d'approvisionnement complexes avec de nombreux fournisseurs de systèmes embarqués et de contrôle. La spécificité du secteur est l'articulation entre NIS2 et les réglementations sectorielles existantes (réglementation ferroviaire, IATA pour l'aérien). Les fournisseurs de systèmes de billettique, de gestion du trafic et de signalisation sont considérés comme critiques.

Secteur des télécommunications

Les opérateurs télécom (Orange, SFR, Bouygues, Free) étaient déjà soumis à la réglementation NIS1 et ont une avance certaine sur les autres secteurs. Ils appliquent des exigences fournisseurs très strictes, notamment sur les équipementiers réseau et les fournisseurs de services cloud. La directive NIS2 renforce ces exigences existantes et les étend à un périmètre de fournisseurs plus large.

Risques pour les fournisseurs non-conformes

Les fournisseurs qui n'anticipent pas les exigences NIS2 supply chain s'exposent à des risques concrets et immédiats. Le premier risque est commercial : la perte de marchés avec les EE qui intègrent la conformité ReCyF dans leurs critères de sélection. Ce risque est déjà une réalité en 2026, certains appels d'offres publiant explicitement ReCyF comme critère éliminatoire.

Le deuxième risque est contractuel : la résiliation pour cause de non-conformité aux clauses cybersécurité insérées dans les contrats en cours de renouvellement. Les EE procèdent actuellement au renouvellement de leurs contrats fournisseurs avec l'insertion des clauses NIS2 ; les fournisseurs qui ne peuvent pas s'engager sur ces clauses voient leurs contrats non renouvelés.

Le troisième risque est réputationnel et juridique : en cas d'incident de sécurité chez un fournisseur non-conforme ayant affecté une EE, la non-conformité constitue un élément aggravant dans l'évaluation de la responsabilité du fournisseur.

FAQ : Obligations des sous-traitants dans la chaîne NIS2

Suis-je directement soumis à NIS2 en tant que fournisseur d'une entité essentielle ?

Pas directement au sens réglementaire — NIS2 s'applique à vos clients EE/EI, pas à vous directement. Mais via les clauses contractuelles que vos clients sont tenus d'inclure, vous êtes soumis à des exigences équivalentes. La distinction est juridique mais les obligations pratiques sont identiques.

Mon EE peut-elle m'auditer chez moi sans mon accord ?

Uniquement si vous avez signé un contrat incluant une clause d'audit. Sans clause contractuelle, l'EE ne peut pas vous imposer un audit. C'est pourquoi l'ANSSI recommande aux EE d'inclure systématiquement cette clause dans les contrats avec les fournisseurs critiques. Si votre contrat inclut cette clause, l'EE peut mandater un prestataire PASSI pour conduire l'audit.

Que se passe-t-il si je suis victime d'un ransomware et que je ne notifie pas mon client EE dans les 24h ?

Le non-respect du délai de notification de 24h constitue un manquement contractuel si la clause est présente dans votre contrat. Cela peut entraîner une résiliation pour faute et engager votre responsabilité civile si le retard a aggravé les dommages pour l'EE. En pratique, la priorité est d'avoir un plan de communication de crise préétabli avec vos clients EE pour que la notification soit réflexe, même partielle et préliminaire.

Un sous-traitant de rang 2 peut-il être audité directement par l'entité essentielle ?

Cela dépend des clauses contractuelles. Certaines EE des secteurs les plus sensibles incluent une clause autorisant un droit d'audit en cascade jusqu'au rang 2. Dans ce cas, votre sous-traitant peut être audité directement par votre client EE. Il est important de vérifier les clauses de votre contrat et d'informer vos propres fournisseurs critiques de cette possibilité.

Existe-t-il des aides pour les PME fournisseurs d'EE qui doivent se mettre en conformité ?

Oui. L'ANSSI propose des ressources gratuites via cyber.gouv.fr, notamment des guides pratiques et des formations. Le dispositif MonAideCyber propose un accompagnement initial gratuit. Certaines régions ont des dispositifs de co-financement pour les PME engagées dans une démarche de conformité NIS2. Consultez notre page dédiée à la conformité NIS2 et notre guide ReCyF supply chain pour plus de détails. L'ENISA publie également des guides pratiques sur enisa.europa.eu, et le texte de NIS2 est disponible sur EUR-Lex.

La responsabilité juridique des fournisseurs : nouveau régime post-NIS2

NIS2 introduit un régime de responsabilité juridique inédit pour les fournisseurs d'entités essentielles. Avant NIS2, la responsabilité d'un fournisseur en cas d'incident de sécurité était principalement contractuelle et se limitait aux clauses de son contrat. NIS2 crée un cadre où la non-conformité aux exigences de la chaîne d'approvisionnement peut engager la responsabilité du fournisseur vis-à-vis des tiers affectés par un incident, au-delà de la simple relation contractuelle avec l'EE.

Concrètement, si un fournisseur est compromis et que cette compromission entraîne une interruption du service essentiel de l'EE, les utilisateurs de ce service (entreprises, particuliers, institutions) pourraient avoir un recours contre le fournisseur si ce dernier ne respectait pas les exigences NIS2 supply chain. Ce scénario, encore peu testé judiciairement, est néanmoins encadré par les textes de NIS2 et sa transposition française. Les assureurs cyber ont d'ores et déjà pris note de ce risque et intègrent la conformité NIS2 supply chain dans leurs critères de couverture.

Impact sur les assurances cyber des fournisseurs

Le marché de l'assurance cyber connaît une évolution significative en 2026 sous l'effet de NIS2. Les assureurs exigent désormais des informations sur la conformité NIS2 supply chain dans leurs questionnaires de souscription. Un fournisseur d'entités essentielles qui ne peut pas démontrer un niveau minimal de conformité aux exigences de l'article 21-4 peut se voir refuser une couverture ou se voir appliquer des franchises significativement plus élevées. À l'inverse, les fournisseurs certifiés ReCyF ou ISO 27001 obtiennent généralement de meilleures conditions d'assurance, l'investissement en conformité ayant un retour sur investissement direct via la réduction des primes d'assurance.

Secteur de l'eau et des eaux usées : obligations spécifiques supply chain

Le secteur de l'eau et des eaux usées, nouvellement inclus dans NIS2 (absent de NIS1), présente des défis particuliers pour la supply chain. Les collectivités et opérateurs de services d'eau sont généralement des entités de taille modeste (intercommunalités, syndicats des eaux) avec des ressources IT limitées. Leurs fournisseurs — notamment les fournisseurs de systèmes SCADA de gestion des réseaux d'eau et des stations de traitement — sont soumis aux exigences supply chain NIS2 mais leurs clients n'ont pas toujours la maturité pour conduire des évaluations ReCyF formelles.

L'ANSSI a publié en 2025 un guide spécifique pour les collectivités territoriales et les opérateurs d'eau, avec des recommandations adaptées à leurs contraintes budgétaires et organisationnelles. Les fournisseurs de systèmes de contrôle industriel (ICS/SCADA) pour ce secteur doivent anticiper des exigences spécifiques sur la sécurité des protocoles industriels (Modbus, DNP3, IEC 60870), la ségrégation des réseaux IT/OT, et la gestion des mises à jour des automates programmables (PLC).

Outils de gestion de la supply chain cyber : marché en émergence

La mise en œuvre des évaluations fournisseurs NIS2 à grande échelle (une EE du secteur de l'énergie peut avoir plusieurs centaines de fournisseurs critiques) a créé un besoin d'outils dédiés à la gestion de la supply chain cyber. Un marché d'outils SaaS spécialisés émerge en 2025-2026, proposant des fonctionnalités de gestion des questionnaires fournisseurs, de suivi des plans de remédiation, de scoring de risque de la supply chain et d'alertes sur les vulnérabilités affectant les technologies utilisées par les fournisseurs.

Pour les fournisseurs, ces outils présentent l'avantage de centraliser les réponses aux questionnaires de plusieurs clients EE et de maintenir un dossier de conformité à jour. Certaines plateformes intègrent directement le référentiel ReCyF et permettent de partager les résultats d'auto-évaluation avec plusieurs clients via un portail sécurisé, réduisant le temps de réponse aux questionnaires récurrents. L'investissement dans un tel outil (entre 5 000 et 20 000 euros par an selon la taille) est rapidement rentabilisé pour les fournisseurs qui répondent à plus de 3-4 questionnaires NIS2 par an.

Préparer la relation contractuelle : checklist pour les fournisseurs

Au-delà de la conformité technique, la préparation de la relation contractuelle est un aspect souvent négligé par les fournisseurs. Voici les points à vérifier et à négocier avant la signature d'un contrat incluant des clauses NIS2 supply chain.

Premièrement, vérifiez précisément le périmètre de l'audit autorisé : quels systèmes, quelles données, quels sites peuvent être audités ? Assurez-vous que les zones contenant des informations confidentielles (contrats d'autres clients, données personnelles non liées à l'EE) sont explicitement exclues du périmètre d'audit. Deuxièmement, négociez les délais de notification d'incidents : le délai de 24h pour l'alerte préliminaire est serré — assurez-vous d'avoir un processus capable de le respecter, y compris en cas d'incident survenant un vendredi soir ou un jour férié. Troisièmement, clarifiez les obligations de cascade : jusqu'à quel rang de sous-traitance s'appliquent vos obligations ? Qui est votre interlocuteur chez l'EE en cas de question ? Quatrièmement, vérifiez les délais de remédiation acceptables pour les écarts identifiés lors d'une évaluation : combien de temps vous est accordé pour remédier à un écart critique ? Un écart non critique ? Ces délais doivent être réalistes et négociés, pas imposés unilatéralement.