NIS2 : ce qu’elle impose à votre client, et pourquoi vous avez reçu le questionnaire
NIS2 est de loin la réglementation qui génère le plus de questionnaires de sécurité en Europe actuellement.
NIS2 (directive européenne 2022/2555) relève le niveau commun de cybersécurité dans l’UE, remplace la directive NIS de 2016 et couvre désormais dix-huit secteurs. Les entités obligées, classées "essentielles" ou "importantes", doivent appliquer dix mesures de gestion des risques (article 21.2) et respecter des obligations de notification d’incident avec des délais stricts : alerte précoce sous 24h, notification sous 72h, rapport final sous un mois (article 23).
Vous recevez un questionnaire presque toujours à cause de l’article 21.2(d) : la sécurité de la chaîne d’approvisionnement. Ne pouvant auditer des centaines de fournisseurs, les grandes entreprises transmettent l’obligation via un questionnaire et une clause contractuelle.
Les délais de transposition varient selon les pays — l’échéance européenne était le 17 octobre 2024. L’Allemagne a déjà sa loi en vigueur (NIS2UmsuCG, depuis le 6 décembre 2025, sans période transitoire, ~29 500 entreprises concernées, autorité : le BSI).
À qui cela s’applique-t-il ?
Directement : entités essentielles et importantes des secteurs listés. Indirectement — probablement votre cas : tout fournisseur d’une de ces entités, quelle que soit la taille de votre entreprise, via l’article 21.2(d) et votre contrat.
Questions typiques
Réalisez-vous une analyse des risques de sécurité périodique ?
art. 21.2.a
Disposez-vous d’un plan de réponse aux incidents documenté ?
art. 21.2.b
Évaluez-vous la sécurité de vos fournisseurs avant de les engager ?
art. 21.2.d
L’authentification multifacteur est-elle exigée pour l’accès distant ?
art. 21.2.j
Preuves nécessaires
- Registre des risques à jour
- Plan de réponse aux incidents
- Procédure d’évaluation des fournisseurs
- Capture d’écran de la configuration MFA
Votre questionnaire cite des articles de NIS2 ?
Téléchargez-le et découvrez, article par article, ce que vous couvrez et où sont les lacunes.
Analyser mon questionnaire gratuitementFAQ
NIS2 s’applique-t-elle directement à ma PME ?
Peut-être pas — mais cela n’a pas d’importance pour le questionnaire : il vous parvient par contrat, parce que votre client, lui, est obligé.