La cybersécurité de votre site passe par votre prestataire
Vous pouvez tout verrouiller en interne. Si votre agence ou votre hébergeur laisse une porte ouverte, le risque revient chez vous. La directive NIS2 pose justement la question de la chaîne.
La réponse en trente secondes
NIS2 est une directive européenne qui renforce la cybersécurité d’un large éventail d’organisations. Son article 21 demande de gérer les risques, y compris ceux de la chaîne d’approvisionnement. En clair, vous devez poser des exigences de sécurité claires à votre prestataire web, par contrat et par un questionnaire précis.
Chez Snack Groupe, nous construisons et maintenons des sites. Nous sommes donc, pour nos clients, un maillon de leur chaîne. Cette place nous rend attentifs aux bonnes exigences à poser et à tenir. Pour situer notre travail technique, vous pouvez découvrir Snack Développement.
NIS2, suis-je concerné
NIS2 relève le niveau attendu en matière de cybersécurité et élargit beaucoup le cercle des organisations visées. Le texte distingue deux statuts, les entités essentielles et les entités importantes. Le classement dépend du secteur d’activité et de la taille de l’organisation. Au-delà de NIS2, le Cyber Resilience Act impose aux éditeurs de logiciels leurs propres obligations.
Même si votre société n’est pas directement visée, vos clients ou vos donneurs d’ordre peuvent l’être. Ils répercuteront alors leurs exigences sur vous. La prudence invite à se préparer, pour comprendre le socle, lisez notre dossier Sécurité Site Web Entreprise.
La sécurité de la chaîne d’approvisionnement
Voici le coeur du sujet pour un site web. L’article 21 liste des mesures de gestion des risques, et l’une d’elles vise la sécurité de la chaîne d’approvisionnement. Autrement dit, votre sécurité dépend aussi de celle de vos fournisseurs.
Un hébergeur, une agence, un outil de paiement, chacun manipule une partie de vos données ou de votre infrastructure. Un maillon faible suffit à exposer l’ensemble. La directive vous demande d’en tenir compte, pas seulement de sécuriser votre propre bureau.
Les exigences à poser au prestataire
Passons au concret. Vos exigences se posent à deux niveaux. Dans le contrat, par des clauses de sécurité et une obligation de vous alerter en cas d’incident. Et dans le suivi, par des vérifications régulières plutôt qu’une confiance aveugle.
Un bon prestataire accueille ces demandes sans se braquer. Elles protègent les deux parties. Une clause de notification rapide, par exemple, évite qu’un incident ne traîne dans l’ombre pendant des semaines.
Où en est le droit français
Un point mérite une vraie honnêteté. NIS2 est une directive européenne, ce qui veut dire qu’elle doit être transposée dans le droit de chaque pays. En France, cette transposition est en cours au moment où nous écrivons.
Les détails précis, dont les seuils et certaines sanctions, seront fixés par la loi française de transposition. Méfiez-vous des articles qui citent des références franco-françaises très précises comme si elles étaient déjà gravées dans le marbre. Pour les faits à jour, le bon réflexe reste de se référer au texte officiel.
Attention, ce flou ne doit pas servir d’excuse pour tout remettre à plus tard. Les mesures de sécurité de base valent déjà, quel que soit le calendrier législatif. Les poser maintenant, c’est prendre de l’avance plutôt que de courir après la loi.
Le questionnaire fournisseur
Pour ne rien oublier, un court questionnaire fait des merveilles. Posez les mêmes questions à chaque prestataire, puis comparez les réponses. C’est souvent plus révélateur qu’un long cahier des charges.
Les réponses deviennent un levier de négociation. Un prestataire qui répond avec clarté et preuves à l’appui inspire confiance. Un silence gêné, lui, en dit long.
Notre accompagnement cybersécurité
Nous aidons nos clients à poser les bonnes exigences, et nous nous les appliquons à nous-mêmes. Voici comment.
Revue de la chaîne
Nous cartographions vos prestataires et repérons les maillons sensibles pour votre site.
Clauses et questionnaire
Nous préparons des exigences contractuelles claires et un questionnaire fournisseur réutilisable.
Suivi et incidents
Nous mettons en place correctifs, sauvegardes et procédure d’alerte en cas de problème.
La cybersécurité reste un travail d’équipe entre le client et ses prestataires. Les retours de la communauté cybersécurité sur Reddit le rappellent souvent, le maillon humain compte autant que la technique. Côté facturation et connexions tierces, voyez aussi notre analyse sur Facturation électronique.
Questions fréquentes sur NIS2
Quelle différence entre entité essentielle et entité importante ?
Les deux doivent gérer les mêmes risques. La différence tient surtout à l’intensité de la surveillance, plus poussée pour les entités essentielles, allégée pour les entités importantes.
Mon agence web est-elle concernée par NIS2 ?
Cela dépend de son secteur et de sa taille. Même non visée directement, elle reçoit souvent les exigences de clients eux-mêmes soumis à la directive. La question se pose donc à tout le monde.
NIS2 s’applique-t-elle déjà en France ?
NIS2 est une directive européenne qui doit être transposée dans le droit national. En France, cette transposition est en cours. Les seuils et sanctions précis seront fixés par la loi française.
Que demander en priorité à un prestataire web ?
Ses mesures de sécurité, sa gestion des correctifs, le contrôle des accès, ses éventuels sous-traitants et son délai d’alerte en cas d’incident. Un questionnaire commun aide à comparer les réponses.
Cet article vaut-il conseil juridique ?
Non. Il informe et renvoie à la directive européenne et au futur texte français de transposition. Pour une obligation précise, rapprochez-vous d’un professionnel du droit.
