Supply Chain NIS2

conformite

Définition

La sécurité de la chaîne d'approvisionnement (supply chain security) est l'une des mesures de gestion des risques cybersécurité imposées à l'article 21 §2 d) de la directive NIS2. Elle reflète la prise de conscience croissante que les cyberattaques transitent de plus en plus par les fournisseurs et prestataires tiers pour atteindre leurs cibles finales (attaques SolarWinds, Kaseya, Log4Shell, XZ Utils). NIS2 impose aux entités essentielles et importantes d'évaluer et de gérer les risques de cybersécurité liés à leurs relations avec leurs fournisseurs de services TIC et de leurs prestataires de services. Cette obligation couvre l'ensemble de la chaîne de valeur : fournisseurs logiciels (éditeurs d'ERP, de CRM, d'outils collaboratifs), fournisseurs matériels (équipementiers réseau, serveurs), prestataires de services cloud, prestataires de services managés (MSP), et sous-traitants. Pour mettre en œuvre cette exigence, les entités doivent établir un programme de gestion des risques tiers incluant : un inventaire des fournisseurs critiques (ceux dont la compromission pourrait affecter la sécurité de l'entité), une évaluation des risques de chaque fournisseur critique, des clauses contractuelles de cybersécurité (exigences minimales de sécurité, droit d'audit, notification des incidents, plan de continuité), un suivi régulier de la conformité des fournisseurs, et des plans de contingence en cas de défaillance d'un fournisseur critique. Le règlement DORA (pour le secteur financier) et d'autres réglementations sectorielles vont encore plus loin dans les exigences de gestion des risques liés aux tiers ICT. NIS2 crée une exigence de base applicable transversalement, que les réglementations sectorielles renforcent. L'ENISA a publié des lignes directrices sur la sécurité de la chaîne d'approvisionnement TIC (rapport ENISA 2021) et le groupe de coopération NIS a adopté des bonnes pratiques sectorielles. Des standards comme NIST SP 800-161 (Cyber Supply Chain Risk Management) et les exigences SBOM (Software Bill of Materials) complètent ce cadre.

Exigences NIS2 sur la chaîne d'approvisionnement

L'article 21 §2 d) de NIS2 impose aux entités de gérer les risques liés à la sécurité de la chaîne d'approvisionnement, notamment les aspects liés à la sécurité des relations entre chaque entité et ses fournisseurs directs ou ses prestataires de services. Cette obligation reflète les attaques majeures via des tiers : SolarWinds (2020), Kaseya (2021), Log4Shell (2021), XZ Utils (2024).

Les entités doivent évaluer les pratiques de sécurité globales de leurs fournisseurs, en tenant compte de la qualité des mesures de cybersécurité de leurs fournisseurs et prestataires de services, y compris leurs procédures de développement sécurisé. Le groupe de coopération NIS a publié des lignes directrices sectorielles sur la mise en œuvre de ces exigences.

Programme de gestion des risques fournisseurs

La mise en œuvre pratique comprend : inventaire des fournisseurs et classification par criticité (impact d'une compromission sur les services), questionnaires de sécurité (basés sur des standards comme le CAIQ de la CSA ou le SIG d'Shared Assessments), évaluations sur pièces (certifications, rapports d'audit SOC 2, ISO 27001), et dans certains cas des audits sur site pour les fournisseurs les plus critiques.

Les clauses contractuelles de cybersécurité doivent couvrir : exigences minimales de sécurité alignées sur NIS2, obligation de notification des incidents impactant le client, droit d'audit et de contrôle, exigences sur les sous-traitants du fournisseur (chaîne de sous-traitance), et conditions de fin de contrat (restitution sécurisée des données, continuité du service).

SBOM et sécurité logicielle

La Software Bill of Materials (SBOM) est un inventaire des composants logiciels d'un produit, permettant d'identifier rapidement les vulnérabilités affectant les dépendances tierces (open source, bibliothèques commerciales). Le règlement CRA (Cyber Resilience Act) impose les SBOM aux fabricants de produits numériques, complétant les exigences de NIS2 sur la chaîne d'approvisionnement.

Les entités NIS2 sont encouragées à exiger des SBOM de leurs fournisseurs logiciels pour pouvoir évaluer leur exposition aux vulnérabilités dans les composants tiers. Des outils comme Syft, Grype, OWASP Dependency-Check permettent d'analyser automatiquement les dépendances et de les croiser avec les bases de vulnérabilités (CVE, NVD).

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis