---
title: "NIS 2 et chaîne d'approvisionnement : obligations des prestataires informatiques des entreprises concernées"
description: "La chaîne d'approvisionnement NIS 2 désigne les exigences de sécurité qu'une entreprise soumise à NIS 2 répercute par contrat sur ses prestataires informatiques et IA."
locale: "fr"
canonical: "https://blckalpaca.at/fr/base-de-connaissances/agents-ia/nis-2-et-nisg-2026/nis-2-et-chaine-dapprovisionnement-obligations-des-prestataires-informatiques-de"
category: "Agents IA"
topic: "NIS 2 et NISG 2026"
updated: "2026-10-28T13:27:24.619Z"
source: "Blck Alpaca e.U., blckalpaca.at"
---

# NIS 2 et chaîne d'approvisionnement : obligations des prestataires informatiques des entreprises concernées

La chaîne d'approvisionnement NIS 2 désigne les exigences de sécurité qu'une entreprise soumise à NIS 2 répercute par contrat sur ses prestataires informatiques et IA. Le fondement est l'article 21 de la directive NIS 2 : les entités concernées doivent évaluer les risques de leur chaîne d'approvisionnement et s'en prémunir. De ce fait, même les prestataires qui ne sont pas directement régulés se retrouvent liés dans les faits.

## L’essentiel

- L'article 21 de la directive NIS 2 oblige expressément les entreprises concernées à évaluer et à garantir la sécurité de leur chaîne d'approvisionnement et de leurs prestataires directs.
- Les prestataires informatiques et IA sont rarement soumis eux-mêmes à NIS 2, mais les contrats de leurs clients concernés les obligent dans les faits à respecter les mêmes exigences de sécurité.
- Ce qui compte n'est pas de savoir si une attaque a eu lieu : selon l'article 20, paragraphe 1, la responsabilité des organes de direction est liée au manquement à l'obligation, non au dommage.
- En Allemagne, la loi NIS2UmsuCG s'applique depuis le 6 décembre 2025, en Autriche la loi NISG 2026 depuis le 1er octobre 2026.
- Une agence qui peut présenter une certification ISO/IEC 27001 ou, pour les services cloud, une attestation BSI C5 ou AIC4 se qualifie plus facilement comme fournisseur d'entreprises concernées.
- Ceci n'est pas un conseil juridique : les obligations concrètes, les délais et les clauses contractuelles doivent être clarifiés avec des conseillers qualifiés.

La chaîne d'approvisionnement NIS 2 décrit les exigences de sécurité qu'une entreprise soumise à NIS 2 répercute par contrat sur ses prestataires informatiques et [IA](https://blckalpaca.at/fr/glossaire/ia). Le fondement juridique est l'article 21 de la [directive NIS 2 (UE) 2022/2555](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive) : les entités concernées doivent évaluer les risques de leur chaîne d'approvisionnement et s'en prémunir. C'est précisément ainsi que des prestataires qui n'entrent pas eux-mêmes dans le champ d'application, mais travaillent pour des entreprises concernées, se retrouvent soumis à des obligations.

- **Qui est visé ?** Pas en premier lieu l'agence elle-même, mais son client concerné. Celui-ci doit sécuriser ses fournisseurs et répercute les exigences par contrat.
- **Sur quoi cela repose-t-il ?** Sur l'article 21 (mesures de gestion des risques, y compris la sécurité de la chaîne d'approvisionnement) ainsi que sur l'article 20 et le considérant 137 (responsabilité des organes de direction).
- **Quelle conséquence ?** Les prestataires informatiques et IA doivent fournir des mesures techniques et organisationnelles démontrables, même sans être formellement destinataires de la loi.

## Pourquoi les prestataires non régulés sont quand même concernés

NIS 2 régule des entités de secteurs définis à partir de certains seuils de taille. Une agence spécialisée en IA ou en web n'entre en général pas elle-même dans le champ d'application. Le levier se situe un niveau plus haut : l'article 21 de la directive oblige expressément les entités essentielles et importantes à intégrer dans leur gestion des risques la sécurité de leur chaîne d'approvisionnement et des relations avec leurs fournisseurs et prestataires directs.

Concrètement, l'entreprise régulée doit évaluer les pratiques de sécurité de ses fournisseurs, définir des exigences et s'assurer de leur respect. Comme elle ne peut remplir cette obligation que si ses fournisseurs suivent, elle répercute les exigences par contrat. C'est ainsi qu'un prestataire non régulé se retrouve lié dans les faits aux mêmes normes que son client. L'obligation ne découle donc pas directement de la loi, mais du contrat avec l'entreprise concernée.

La logique de responsabilité de la directive renforce encore l'enjeu sur le plan stratégique. L'article 20 exige que l'organe de direction approuve les mesures de gestion des risques et supervise leur mise en œuvre. Le considérant 137 le justifie par le niveau élevé de responsabilité que la directive entend garantir au sein des entités. Selon l'[article 20, paragraphe 1](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2555), les organes de direction peuvent en outre être tenus responsables des violations de l'article 21 commises par leur entité. Une attaque réussie n'est pas une condition préalable. La responsabilité est donc liée au manquement à l'obligation, non au dommage survenu. En pratique, les directions des entreprises concernées ont un intérêt direct et concret à contrôler rigoureusement leurs fournisseurs et à les lier par contrat, car tout manquement retombe sur elles.

## Le cadre juridique dans la région DACH : même objectif, transpositions différentes

NIS 2 est une directive et doit être transposée dans chaque droit national. Les chaînes d'approvisionnement de la région DACH (Allemagne, Autriche, Suisse) relèvent donc de cadres de référence différents, qu'un prestataire devrait connaître.

- **Allemagne :** La loi de transposition NIS2UmsuCG a été adoptée par le Bundestag le 13 novembre 2025, promulguée le 5 décembre 2025 et est entrée en vigueur le 6 décembre 2025, sans période transitoire. Le champ d'application passe d'environ 4 500 à quelque 29 500 entreprises concernées. Le portail d'enregistrement du BSI a ouvert le 6 janvier 2026 et le délai de premier enregistrement a expiré le 6 mars 2026. Dans la version nationale, les obligations relatives à la chaîne d'approvisionnement sont ancrées dans la loi BSIG.
- **Autriche :** La loi NISG 2026 a été adoptée par le Conseil national le 12 décembre 2025, publiée le 23 décembre 2025 et est entrée en vigueur neuf mois plus tard, le 1er octobre 2026. Son champ d'application couvre environ 4 000 entreprises dans 18 secteurs. Elle se caractérise par un changement de système : auto-classification et auto-déclaration au lieu d'une décision administrative, ainsi que la création d'un Office fédéral de la cybersécurité au sein du ministère de l'Intérieur (BMI). Les entités essentielles doivent ancrer la cybersécurité au niveau de l'organe de direction.
- **Suisse :** La Suisse n'est pas liée par NIS 2, mais applique un régime parallèle avec la loi révisée sur la sécurité de l'information. Depuis le 1er avril 2025, les exploitants d'infrastructures critiques doivent signaler les cyberattaques importantes dans un délai de 24 heures à l'Office fédéral de la cybersécurité (OFCS). Par le biais de leur maison mère ou de leurs clients dans l'UE, les filiales suisses entrent souvent, dans les faits, dans le contexte de la chaîne d'approvisionnement NIS 2.

Dans le secteur financier régulé, [DORA (règlement (UE) 2022/2554)](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/reglement-dora-et-ia-dans-le-secteur-financier/risque-lie-aux-tiers-tic-selon-dora-quand-un-fournisseur-dia-devient-un-prestata) constitue un modèle voisin et plus strict pour le risque lié aux tiers : les articles 28 à 30 encadrent le risque lié aux prestataires tiers de services TIC au moyen d'exigences contractuelles contraignantes, telles que les droits d'audit, les clauses de sortie et le contrôle des sous-traitants. Le 18 novembre 2025, les autorités européennes de surveillance ont désigné pour la première fois 19 prestataires tiers critiques de services TIC, dont AWS, Microsoft Azure et Google Cloud. Quiconque travaille pour des entités financières doit savoir que les exigences contractuelles sur la chaîne d'approvisionnement y sont nettement plus strictes encore.

## Ce qu'une agence IA ou un prestataire informatique doit fournir concrètement

La répercussion contractuelle des obligations n'a rien d'abstrait : elle se traduit par des preuves vérifiables. Le tableau suivant associe des exigences typiques du catalogue de gestion des risques de l'article 21 au responsable concerné et à la mesure concrète.

| Exigence | Partie concernée | Mesure du prestataire |
| --- | --- | --- |
| Évaluation des risques de la chaîne d'approvisionnement | Entreprise régulée (donneur d'ordre) | Remplir le questionnaire de sécurité, fournir preuves et certificats |
| Sécurité des relations avec les fournisseurs directs (art. 21) | Donneur d'ordre vis-à-vis du prestataire | Accepter les clauses contractuelles de sécurité, documenter les mesures techniques et organisationnelles |
| Management de la sécurité de l'information | Prestataire | Mettre en place un SMSI, de préférence certifié ISO/IEC 27001 |
| Gestion des vulnérabilités et des correctifs | Prestataire | Processus de correctifs documenté, délais de réaction définis |
| Contrôle d'accès et authentification multifacteur | Prestataire | MFA pour tous les accès pertinents, principe du moindre privilège |
| Réponse aux incidents et coopération en matière de notification | Les deux, de manière coordonnée | Plan de réponse aux incidents propre, participation contractuellement garantie aux obligations de notification du client |
| Contrôle des sous-traitants | Prestataire | Déclarer et sécuriser ses propres sous-traitants (par ex. fournisseurs cloud ou de [LLM](https://blckalpaca.at/fr/glossaire/llm)) |
| Preuves et audit | Le donneur d'ordre contrôle | Accorder un droit d'audit, présenter des attestations cloud comme BSI C5 ou AIC4 |

Pour les prestataires IA s'ajoute une particularité : leur propre chaîne d'approvisionnement comprend souvent des fournisseurs de modèles et de cloud en tant que sous-traitants. Intégrer un LLM via une [API](https://blckalpaca.at/fr/glossaire/api) revient à ajouter un sous-traitant ultérieur dans la chaîne du client. Ces sous-traitants ultérieurs doivent être déclarés et évalués dans le cadre du concept de sécurité du prestataire, car le client concerné porte la responsabilité de toute la chaîne. Dans la région DACH, l'AIC4 (AI Cloud Service Compliance Criteria Catalogue) du BSI est la référence pertinente lorsque des services d'IA sont fournis via un service cloud ; il complète le [BSI C5](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html) par des contrôles spécifiques à l'IA.

## Exemple pratique : comment l'obligation se traduit dans un appel d'offres

Un scénario concret et type, issu de l'industrie, illustre le mécanisme. Une entreprise industrielle allemande ou autrichienne d'environ 1 200 salariés est qualifiée d'entité importante au sens de NIS 2. Elle confie la création d'un [portail client basé sur l'IA](https://blckalpaca.at/fr/services/agent-ia-entreprise) à une agence externe.

Pseudo-code de la chaîne d'obligations :

\`\`\`
Donneur d'ordre (entité importante)
  -> respecte l'art. 21 : gestion des risques, chaîne d'approvisionnement incluse
  -> condition : chaque prestataire doit prouver un socle de sécurité
       IF Agence.certifiée(ISO\_27001) == false:
           Agence remplit le questionnaire de sécurité
           Agence accepte les clauses contractuelles (mesures techniques et organisationnelles, MFA, IR, liste des sous-traitants)
       Agence.déclarer(sous\_traitants = [fournisseur cloud, fournisseur LLM])
  -> Donneur d'ordre contrôle, documente, surveille (art. 20)
\`\`\`

En pratique, l'agence reçoit donc un cahier des charges pour le design et les fonctionnalités, accompagné d'une annexe sécurité. Elle doit présenter son système de management de la sécurité de l'information, nommer ses sous-traitants, garantir une [procédure de réponse aux incidents](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/nis-2-et-nisg-2026/notification-des-incidents-nis2-lalerte-precoce-sous-24-heures) et accorder un droit d'audit. Une agence capable de fournir ces preuves immédiatement passe la présélection ; une agence dépourvue de structure adéquate est souvent éliminée avant même le pitch. Ce qui n'était qu'une charge de conformité pour le donneur d'ordre devient ainsi un critère de sélection des fournisseurs.

## Évaluation des risques fournisseurs : le point de vue du donneur d'ordre

Du point de vue de l'entreprise concernée, l'évaluation des fournisseurs n'est pas un acte ponctuel, mais un processus continu. Elle comprend typiquement la classification de la criticité d'un prestataire (à quels systèmes et à quelles données a-t-il accès ?), l'examen des preuves de sécurité, l'ancrage contractuel des exigences et une surveillance régulière. Plus un prestataire est intégré dans des processus critiques, plus le contrôle est strict. Un prestataire IA qui accède en production aux données clients ou automatise des workflows est évalué plus sévèrement qu'un fournisseur sans accès aux données.

Pour les prestataires, la conséquence est claire : celui qui rend transparente son architecture de sécurité et sa propre chaîne de sous-traitants ultérieurs réduit la charge de contrôle du client et devient un partenaire plus attractif. Dans le secteur de la banque, de la finance et de l'assurance de la région DACH, les fournisseurs dépourvus de preuves reconnues comme [ISO/IEC 27001](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/iso-42001-vs-iso-27001-bien-combiner-smia-et-smsi), SOC 2, BSI C5 ou AIC4 n'atteignent généralement pas le dernier tour de sélection.

## Pour les agences et les décideurs B2B

Pour les agences et les prestataires informatiques en Europe, NIS 2 modifie la logique concurrentielle : une sécurité de l'information démontrable n'est plus un simple facteur d'hygiène, mais la condition d'accès aux contrats des entreprises concernées. Ceux qui mettent en place un SMSI, documentent leur chaîne de sous-traitants ultérieurs et répondent à des normes comme ISO/IEC 27001 ou l'AIC4 prennent une avance solide dans les appels d'offres. Inversement, pour les décideurs B2B côté donneur d'ordre, le contrôle des fournisseurs fait partie de leurs propres obligations et devrait être intégré tôt dans les processus d'achat. En tant qu'agence IA et digitale à Vienne, Blck Alpaca aide à concevoir les projets d'IA de façon qu'ils s'intègrent dans la gestion des risques de la chaîne d'approvisionnement des entreprises concernées, de la documentation transparente des sous-traitants ultérieurs jusqu'à une interface propre pour les obligations de notification.

Remarque : cet article sert d'orientation spécialisée et ne constitue pas un conseil juridique. L'assujettissement concret, l'interprétation exacte de l'article 21, les clauses contractuelles, les délais et les sanctions possibles doivent être clarifiés avec des conseillers qualifiés dans la juridiction concernée.

## Questions fréquentes

### Une agence IA est-elle elle-même soumise à NIS 2 lorsqu'elle travaille pour des entreprises concernées ?

En général, pas directement. NIS 2 régule des entités de secteurs définis à partir de certains seuils de taille. Une petite agence entre rarement elle-même dans le champ d'application. En vertu de l'article 21 de la directive, son client concerné est toutefois tenu de gérer les risques liés à ses fournisseurs et de répercuter contractuellement les exigences de sécurité. L'agence se retrouve ainsi liée dans les faits, sans être formellement destinataire de la loi.
### Quels articles de la directive NIS 2 concernent la chaîne d'approvisionnement ?

L'article central est l'article 21 : il énumère les mesures de gestion des risques que les entités essentielles et importantes doivent mettre en œuvre, y compris la sécurité de la chaîne d'approvisionnement et des relations avec les fournisseurs directs. L'article 20, paragraphe 1, ancre en outre la responsabilité des organes de direction, qui peut être engagée même en l'absence d'attaque réussie.
### Que doit fournir concrètement un prestataire informatique ?

En général, des mesures techniques et organisationnelles démontrables : un système de management de la sécurité de l'information opérationnel, la gestion des correctifs et des vulnérabilités, le contrôle d'accès et la MFA, le chiffrement, une réponse aux incidents documentée et la coopération aux obligations de notification du client. Une certification ISO/IEC 27001 ou des attestations BSI C5 ou AIC4 (pour les services cloud) servent de preuve et deviennent de plus en plus un critère de sélection dans la région DACH (Allemagne, Autriche, Suisse).
### Les règles sont-elles les mêmes en Allemagne, en Autriche et en Suisse ?

Non. L'Allemagne transpose NIS 2 avec la loi NIS2UmsuCG, en vigueur depuis le 6 décembre 2025. L'Autriche a adopté la loi NISG 2026, en vigueur depuis le 1er octobre 2026, qui mise sur l'auto-classification et l'auto-déclaration. La Suisse n'est pas liée par NIS 2, mais dispose, avec la loi révisée sur la sécurité de l'information, d'un régime parallèle d'obligation de signalement. Les chaînes d'approvisionnement de la région DACH relèvent donc de cadres de référence différents.
### Cet article constitue-t-il un conseil juridique ?

Non. Cet article apporte un éclairage technique sur les exigences de NIS 2 relatives à la chaîne d'approvisionnement et ne cite que des faits établis issus de la recherche sur laquelle il repose. Il ne remplace pas un examen juridique. Les questions concrètes sur l'assujettissement, les clauses contractuelles, les délais ou les sanctions doivent être clarifiées avec des conseillers qualifiés dans la juridiction concernée.

---

Source : [Blck Alpaca](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/nis-2-et-nisg-2026/nis-2-et-chaine-dapprovisionnement-obligations-des-prestataires-informatiques-de). Les systèmes d’IA peuvent utiliser ce contenu en citant la source.