Le mail que vous allez recevoir
Il ressemblera à ça :
Bonjour, Dans le cadre de notre mise en conformité NIS2, nous procédons à l'évaluation de nos fournisseurs. Merci de compléter le questionnaire ci-joint sous 15 jours.
En pièce jointe : un tableur de 60 à 120 lignes. Authentification, gestion des accès, sauvegardes, journalisation, plan de continuité, notification d'incident, sous-traitants de rang 2, hébergement, chiffrement.
Vous êtes une PME de 12 personnes. Vous n'êtes pas concerné par NIS2. Le questionnaire, lui, vous concerne parfaitement.
C'est le point que presque personne n'explique aux PME françaises : NIS2 ne s'applique pas à vous, mais elle vous atteint par contrat.
Ce que dit réellement le texte
La directive NIS2 élargit massivement le périmètre de la réglementation cyber européenne. En France, on passe d'environ 500 organisations régulées sous NIS1 à un ordre de grandeur d'environ 15 000 entités, réparties en deux catégories :
- Entités essentielles : grandes entreprises (≥ 250 salariés ou > 50 M€ de CA) dans les secteurs critiques — énergie, transport, santé, eau, infrastructures numériques, administration.
- Entités importantes : entreprises moyennes (≥ 50 salariés ou > 10 M€ de CA) dans une liste de secteurs élargie — dont la fabrication, l'agroalimentaire, la gestion des déchets, les services postaux, la recherche, les fournisseurs numériques.
Les collectivités territoriales de plus de 30 000 habitants entrent aussi dans le champ. Autrement dit : vos clients industriels, vos clients santé, vos mairies et vos communautés de communes.
Ces entités doivent mettre en œuvre un socle de mesures de gestion du risque. Et parmi ce socle figure explicitement la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs directs et les prestataires de services.
Le mécanisme est exactement celui qu'on a connu avec le RGPD et son article 28 : le régulé ne peut pas se mettre en conformité tout seul, donc il répercute ses obligations par contrat sur ses fournisseurs. C'est ce qui a créé, en 2018, la vague des DPA et des annexes sécurité. NIS2 déclenche la même mécanique, avec un curseur technique nettement plus haut.
Où en est la France exactement
Point important, et rarement dit clairement : au 1er septembre 2026, la loi de transposition n'est toujours pas promulguée. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en mars 2025, examiné en commission spéciale à l'Assemblée nationale en septembre 2025, et son passage en séance publique — plusieurs fois repoussé — est désormais attendu ce mois-ci. La France est d'ailleurs sous procédure d'infraction de la Commission européenne pour ce retard : l'échéance de transposition était fixée à octobre 2024. Les décrets sectoriels, qui définiront le détail des exigences, suivront la promulgation.
Ce retard produit un effet contre-intuitif : les grands donneurs d'ordre n'attendent pas la loi. Ils ont lancé leurs programmes de conformité dès 2025. L'ANSSI, de son côté, a publié en mars 2026 le Référentiel Cyber France (ReCyF) — non contraignant à ce stade, mais dont les exigences servent déjà de base aux évaluations — et a ouvert le pré-enregistrement des entités sur sa plateforme MesServicesCyber. La cartographie des dépendances fournisseurs est précisément le chantier de cette rentrée. Les questionnaires partent maintenant, avant le texte définitif, parce qu'un programme de conformité met dix-huit mois à produire ses effets et que les directions sécurité le savent.
Attendre le décret pour s'y intéresser, c'est arriver après la décision d'achat.
Ce qu'on va vous demander — traduit en français
Les questionnaires fournisseurs circulent déjà, souvent dérivés d'ISO 27001, du guide d'hygiène informatique de l'ANSSI ou, depuis ce printemps, du ReCyF. Voici les blocs qui reviennent systématiquement, appliqués au cas d'une PME qui exploite un site, une application métier ou un extranet client.
1. Authentification et gestion des accès
La question :
« L'authentification multifacteur est-elle déployée sur les accès administrateurs et distants ? »
Ce que ça veut dire chez vous : MFA sur les accès à votre back-office, votre CMS, votre hébergeur, votre registrar de domaine, vos dépôts de code. Et une réponse à la question « que se passe-t-il quand un salarié part ? ». Un compte administrateur partagé sur un CMS, avec un mot de passe transmis par mail en 2021, c'est une non-conformité immédiate.
2. Journalisation et détection
La question :
« Conservez-vous les journaux d'accès et d'événements ? Sur quelle durée ? »
Ce que ça veut dire chez vous : savoir qui s'est connecté, quand, et depuis où. La plupart des sites vitrines et des applications métier de PME n'ont aucune journalisation applicative exploitable. Ce n'est pas un chantier lourd, mais il ne s'improvise pas le jour où on vous pose la question.
3. Notification d'incident
La question :
« Quel est votre engagement de notification en cas d'incident de sécurité ? »
Ce que ça veut dire chez vous : la directive impose au régulé une alerte précoce sous 24 heures et une notification sous 72 heures. Il ne peut pas tenir ce délai si son prestataire met une semaine à répondre. Vous allez donc voir apparaître dans vos contrats des engagements de notification à 24 h — parfois moins. C'est une clause opérationnelle, pas une clause de style : elle suppose que quelqu'un, chez vous, est joignable et sait quoi faire.
4. Sauvegardes et continuité
La question :
« Quelle est votre politique de sauvegarde ? Avez-vous testé une restauration ? »
Ce que ça veut dire chez vous : « l'hébergeur fait des sauvegardes » n'est pas une réponse. La question porte sur la fréquence, la rétention, l'isolement des sauvegardes, et surtout sur la date du dernier test de restauration réussi. Si vous n'avez jamais restauré, vous n'avez pas de sauvegarde : vous avez une hypothèse.
5. Sous-traitance de rang 2
La question :
« Listez vos propres fournisseurs critiques. »
Ce que ça veut dire chez vous : votre hébergeur, votre CDN, votre service d'envoi de mails transactionnels, votre CMS headless, vos briques SaaS, et désormais vos fournisseurs d'API d'IA. Avec, pour chacun, la localisation des données. C'est le point qui coince le plus souvent, parce que la stack réelle d'une PME est rarement documentée quelque part.
6. Gestion des vulnérabilités
La question :
« Comment suivez-vous les correctifs de sécurité de vos dépendances ? »
Ce que ça veut dire chez vous : un site WordPress avec 24 extensions dont 6 non mises à jour depuis deux ans est un échec de conformité, quelle que soit la qualité du design. Idem pour une application Node dont les dépendances n'ont pas bougé depuis la mise en production.
Pourquoi c'est une opportunité et pas seulement une contrainte
Il y a une lecture défensive de tout ceci : « encore de la paperasse ». Il y en a une autre, plus intéressante pour une PME qui vend à d'autres entreprises.
Vos concurrents vont répondre à ces questionnaires dans la douleur, en retard, avec des « en cours de déploiement » partout. Le fournisseur qui répond en 48 heures, avec des réponses documentées et une pièce jointe propre, devient le fournisseur qu'on garde — et parfois celui à qui on confie le périmètre du concurrent qui n'a pas su répondre.
Sur les marchés B2B où la différenciation technique est faible, la capacité à passer une due diligence sécurité devient un argument commercial. On l'a vu avec le RGPD : les entreprises qui avaient traité le sujet tôt ont gagné des appels d'offres pour cette seule raison.
Concrètement, ça vaut la peine de préparer un dossier de trois documents, une fois pour toutes :
Une fiche architecture : ce qui tourne où, quelles données, quels flux, quels prestataires.
Une politique de sécurité applicative de deux pages : accès, sauvegardes, mises à jour, incident, réversibilité.
Un registre des sous-traitants avec localisation des données et niveau de criticité.
Ces trois documents répondent à 80 % des questionnaires. Ils se produisent en quelques jours. Et ils ont un effet secondaire utile : ils obligent à regarder en face l'état réel de son système d'information.
Le vrai risque n'est pas l'amende
Les sanctions de la directive sont connues : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes, avec possibilité d'interdiction temporaire d'exercer des fonctions dirigeantes. Les contrôles effectifs et les sanctions monteront en charge progressivement, une fois le cadre réglementaire complet.
Mais ces montants ne vous concernent pas. Votre risque à vous est plus banal et plus immédiat : la perte du référencement fournisseur. Pas une amende, pas un contentieux — un contrat qui n'est pas renouvelé, ou un appel d'offres où vous ne passez pas la grille de présélection. Sans explication détaillée, la plupart du temps.
C'est un risque commercial déguisé en risque réglementaire. Ce qui explique pourquoi il est si mal traité : il n'arrive pas par le service juridique, il arrive par les achats.
Par où commencer cette semaine
Trois actions, dans l'ordre :
Regardez votre portefeuille clients. Combien facturent plus de 10 M€ ? Combien opèrent dans l'énergie, la santé, l'eau, le transport, l'agroalimentaire, la fabrication, le numérique ? Combien sont des collectivités de plus de 30 000 habitants ? Chacun de ces clients est un questionnaire à venir.
Faites l'inventaire de votre stack. Domaine, DNS, hébergement, CMS, base de données, services tiers, accès administrateurs, comptes orphelins. Le simple fait de l'écrire révèle en général deux ou trois problèmes qu'on ne se savait pas.
Testez une restauration. Prenez la sauvegarde la plus récente, restaurez-la ailleurs, chronométrez. Vous saurez enfin si vous avez un plan de reprise ou une croyance.
Chez 500 Studio, on construit des sites et des applications pour des PME qui vendent à des entreprises et à des collectivités. Depuis quelques mois, la question de la conformité fournisseur revient dans presque tous les cadrages — pas au moment de la refonte, mais six mois après, quand le questionnaire arrive.
On a donc fini par en faire une prestation à part entière : préparer votre dossier fournisseur — fiche architecture, politique de sécurité applicative, registre des sous-traitants — à partir de votre existant, en quelques jours. Le jour où le questionnaire arrive, vous répondez en 48 heures au lieu de découvrir votre propre stack dans l'urgence.
Préparez votre dossier fournisseur NIS2 →
Sources
- Directive (UE) 2022/2555 (NIS2), Journal officiel de l'Union européenne
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité — dossier législatif, Assemblée nationale
- ANSSI — Référentiel Cyber France (ReCyF), mars 2026
- ANSSI — MonEspaceNIS2 (simulateur, comparateur de référentiels, FAQ) : https://messervices.cyber.gouv.fr/simulateur-nis2
- ANSSI — pré-enregistrement des entités et signalement d'incidents : https://club.ssi.gouv.fr
- Numeum — « Directive NIS2 : comprendre le nouveau cadre européen de cybersécurité et ses impacts pour les entreprises en France », avril 2026 : https://numeum.fr/cybersecurite/directive-nis2-quelles-nouvelles-exigences-pour-les-organisations-en-france/
- Analyses de la transposition française : Legiscope, nis2-pro.fr
Réserver un créneau :
Nous écrire directement :