6. Gestion des fournisseurs et de la chaîne d’approvisionnement

6.1. Risque supply chain

Info

NIS2 impose aux entités de maîtriser les risques liés aux prestataires externes TIC.

Cela inclut :

• fournisseurs de logiciels, cloud, maintenance, sécurité,
• intégrateurs et sous-traitants techniques,
• prestataires de services critiques.

---

6.2. Évaluation des fournisseurs

Chaque entité doit :

• cartographier ses prestataires critiques,
• évaluer leur niveau de sécurité,
• formaliser les obligations dans les contrats.

---

6.3. Clauses contractuelles recommandées

• Notification d’incident dans un délai court
• Droits d’audit
• Conformité aux bonnes pratiques cyber (ISO 27001, ANSSI…)
• Réversibilité des données
• Continuité de service

Tip

Les clauses doivent être proportionnées au niveau de dépendance.

---

6.4. Surveillance continue

• Suivi des vulnérabilités connues
• Veille sur les fournisseurs critiques
• Évaluation annuelle des risques externes