Blog · Réglementation
NIS2 : suis-je concerné en tant que PME sous-traitante ?
Être sous-traitant d’un client concerné par NIS2 ne vous rend pas automatiquement assujetti à la directive. Votre propre situation dépend notamment de votre activité, de votre taille et des critères applicables. En revanche, votre client peut imposer des exigences de sécurité contractuelles liées à sa chaîne d’approvisionnement. Vérifiez séparément ces deux sujets.
Par Pierre de Ramel · publié le · mis à jour le · 4 min de lecture
Le seul statut de sous-traitant suffit-il ?
Non : le mot sous-traitant décrit une relation commerciale, pas une catégorie unique d’assujettissement à NIS2. Une entreprise de maintenance, un éditeur, un cabinet de conseil et un fournisseur de services informatiques peuvent se trouver dans des situations différentes. La directive européenne définit un champ reposant notamment sur les secteurs concernés et la taille des entités, avec des cas particuliers. Il faut qualifier votre activité réelle avant de conclure.
La directive (UE) 2022/2555 constitue le texte européen de référence. Son application à une entreprise française doit aussi être examinée à partir des textes nationaux applicables et des indications de l’ANSSI. Cet article ne présume pas de l’état exact de chaque mesure française à sa date de mise à jour. Avant une décision juridique ou une déclaration à un client, faites vérifier les textes en vigueur et les éventuelles modalités d’identification.
Comment examiner votre situation sans surinterpréter le texte ?
Décrivez vos services, vos clients et votre organisation juridique. Comparez ensuite vos activités aux secteurs et catégories figurant dans les annexes de la directive. Ne vous limitez pas au code administratif de votre entreprise : il peut aider à l’orientation sans résumer les services effectivement fournis. La qualification d’un service informatique mérite notamment une lecture attentive de ses caractéristiques et du rôle joué auprès des clients.
La taille demande également une analyse correcte des effectifs et des données financières, avec les règles pertinentes concernant les entreprises liées ou partenaires. Certains cas ne se réduisent pas à un seuil d’effectif. Une PME ne doit donc ni se considérer automatiquement exclue parce qu’elle est petite, ni automatiquement incluse parce qu’elle intervient dans un secteur sensible. Constituez une courte note de qualification, avec les informations vérifiées, les points encore ouverts et la personne chargée de les faire trancher.
Pourquoi un client peut-il vous demander des garanties ?
La sécurité de la chaîne d’approvisionnement fait partie des mesures abordées par NIS2. Un client concerné peut examiner les risques associés à ses fournisseurs et demander des garanties adaptées. Cela peut se traduire par un questionnaire, une clause de notification des incidents, des exigences sur les accès ou une demande de justificatifs. Ces demandes ne signifient pas nécessairement que toutes les obligations légales du client vous sont directement transférées.
Demandez quel service est concerné et quels risques motivent la demande. Un accès d’administration à distance n’expose pas aux mêmes enjeux qu’une livraison sans connexion au système du client. Faites préciser les exigences de preuve, les interlocuteurs et les échéances contractuelles. Si une clause semble imposer une conformité indéfinie à tout le dispositif NIS2, faites-la reformuler ou analyser : les engagements doivent être compréhensibles, proportionnés et compatibles avec le service réellement vendu.
Quelles preuves préparer dans une PME ?
Commencez par un inventaire des accès au système du client, la liste des personnes autorisées et la procédure appliquée lors d’un départ. Documentez l’authentification, les mises à jour, la protection des équipements et les sauvegardes lorsque ces sujets relèvent de votre prestation. Une description courte, reliée à des preuves actuelles, est plus utile qu’une politique volumineuse que personne ne suit au quotidien.
Préparez également votre organisation en cas d’incident : personne à contacter, canal alternatif, informations à transmettre et circuit de validation. Les délais contractuels doivent être distingués des délais réglementaires éventuellement applicables à votre propre entreprise. N’annoncez pas une surveillance continue ou une capacité de reprise que vous ne possédez pas. Si une exigence manque, proposez un plan d’action explicite avec un responsable, des étapes et les limites temporaires à prendre en compte.
Comment transformer la demande en plan d’action raisonnable ?
Classez les demandes en obligations directement applicables, engagements contractuels et bonnes pratiques recommandées. Cette séparation évite les achats motivés seulement par une étiquette réglementaire. Faites valider les priorités par la direction et les mesures techniques par votre référent informatique. Lorsque plusieurs clients demandent des preuves voisines, construisez un dossier commun puis adaptez seulement les éléments spécifiques à chaque relation commerciale.
Prévoyez une revue lorsque votre activité, votre taille ou les textes évoluent. Une analyse valable pour un service ne couvre pas automatiquement une nouvelle offre comportant davantage d’accès ou de responsabilités. Pierre de Ramel, fondateur d’AldenSync, société d’infogérance pour les PME à Paris, signe cet article avec cette ligne directrice : répondre précisément à la demande du client, sans affirmer un statut réglementaire non vérifié. Pour les cas limites, un conseil juridique complète utilement l’analyse technique.