Par le Dr Martin Kraemer, CISO Advisor chez KnowBe4
Des dizaines de milliers d’organisations européennes doivent répondre de la sécurité d’entreprises qu’elles ne contrôlent pas, mais dont dépendent leurs activités. L’article 21(2)(d) de la directive NIS2 oblige chaque entité concernée à gérer la sécurité de sa chaîne d’approvisionnement, y compris celle de ses relations avec ses fournisseurs directs et ses prestataires. L’article 21(3) précise qu’elle doit tenir compte des vulnérabilités propres à chacun de ses fournisseurs.
Pourtant, ces articles n’imposent rien directement au fournisseur. La plupart des organisations s’acquittent de leur devoir de vigilance grâce à un questionnaire fournisseur. Le problème, c’est qu’un questionnaire ne photographie les contrôles qu’à un instant donné. Il ne dit rien de la façon dont la sécurité évolue au fil du temps, et il ne garantit ni l’étendue ni l’efficacité réelle de ces contrôles.
Plusieurs cas récents en Allemagne, en France et en Italie illustrent bien les failles que ces logiques réglementaires et contractuelles laissent passer.
Allemagne : unimed et les CHU
Le 14 avril 2026, unimed, un prestataire de facturation médicale qui travaille pour les hôpitaux allemands depuis 1984, a détecté une attaque par rançongiciel. Les attaquants n’ont pas réussi à chiffrer les systèmes du prestataire, mais ils ont pu exfiltrer des données avant d’être chassés.
Les conséquences se sont vite répercutées sur les établissements de santé en aval :
- Le CHU de Fribourg-en-Brisgau a annoncé le 21 mai que les données de base d’environ 54 000 patients et les données de facturation de 900 patients avaient été dérobées. Il était possible d’en déduire des informations sur les diagnostics et les traitements.
- Heidelberg a fait état d’environ 11 000 patients et 2 700 dossiers touchés.
- Ulm a recensé environ 1 600 patients et 300 dossiers.
- Bonn a dénombré 1 304 personnes concernées, dont 218 dont les données de santé ont été exposées. Le CHU a notifié l’autorité locale de protection des données dans les 36 heures.
- Dès le 1er juin, la seule autorité de protection des données du Bade-Wurtemberg avait reçu les notifications de violation de 17 hôpitaux.
Aucun réseau hospitalier n’a été visé directement. Une clinique de Karlsruhe a d’ailleurs fait remarquer que son propre réseau était prêt à bloquer tout mouvement latéral. Le problème, c’est que le périmètre à protéger ne se limitait jamais aux réseaux des hôpitaux.
France : Harvest SA et les risques liés aux logiciels en aval
La transposition française de NIS2 accuse du retard. Le Sénat a adopté le projet de loi le 12 mars 2025, et la France a été renvoyée devant la Cour de justice de l’Union européenne aux côtés de l’Irlande, de l’Espagne et des Pays-Bas. Mais ce retard juridique ne freine pas les attaquants.
En février 2025, la fintech parisienne Harvest SA a découvert une attaque par rançongiciel qui a paralysé son logiciel de gestion de patrimoine, utilisé par plus de 4 600 clients. Les services sont restés hors ligne pendant environ quatre semaines. La cause : une machine virtuelle hébergée chez l’un des propres prestataires de Harvest. Devant le Parlement, un superviseur bancaire a confirmé que l’éditeur de logiciels des banques avait été compromis via le fournisseur de son propre fournisseur. Les répercussions ont touché en cascade la MAIF, qui a notifié 55 000 clients et prospects, plusieurs filiales du groupe BPCE, et AXA France, qui a informé vingt de ses clients.
Harvest disposait pourtant de solides dispositifs de sécurité : authentification multifacteur (MFA) sur au moins une partie des comptes, EDR, XDR, SIEM et gestion des correctifs. Or un questionnaire fournisseur classique ne vérifie que l’existence des contrôles, pas leur couverture ni leur efficacité.
Italie : des échéances serrées et une application stricte
L’Italie a transposé NIS2 par le D.Lgs. 138/2024. Les premières entités concernées ont reçu leur notification d’inclusion les 12 et 13 avril 2025. Elles ont dix-huit mois pour mettre en place les mesures de sécurité de base, soit une échéance fixée à fin octobre 2026, sans possibilité de report.
Les incidents récents dans la région donnent la mesure du problème :
- Le 20 novembre 2025, le géant informatique Almaviva S.p.A. (65 sociétés, 40 000 collaborateurs) a détecté une intrusion qui a entraîné une extraction non autorisée de données. Almaviva n’a communiqué ni le volume concerné ni le vecteur d’entrée, mais les attaquants revendiquent 2,3 téraoctets de dossiers du personnel et de plans industriels.
- Le 26 juin 2026, Trenitalia a signalé un accès non autorisé à ses bases de billetterie, remontant à octobre 2025. L’entreprise a prévenu ses voyageurs de s’attendre à des messages frauduleux et à des tentatives de phishing.
Un périmètre flou et des réalités contractuelles
Les petits fournisseurs ne sont pas directement soumis à NIS2 ni aux lois nationales de transposition. Comme le BSI allemand le rappelle, les entreprises hors du champ de la loi qui travaillent avec des entités concernées doivent s’attendre à voir ces exigences répercutées dans leurs contrats.
Selon le rapport NIS Investments de l’ENISA (décembre 2025), 37 % des répondants jugent la gestion des risques liés à la chaîne d’approvisionnement comme l’exigence NIS2 la plus difficile à satisfaire. Une enquête de l’ENISA publiée en mai 2026 montre par ailleurs que les PME des secteurs très critiques peinent bien davantage à se mettre en conformité que les grandes structures.
L’Italie fait figure d’exception. Au titre de la Determinazione 127437/2026 de l’ACN, les organisations concernées doivent transmettre chaque année la liste de leurs fournisseurs. L’ACN détermine ensuite lesquels sont essentiels ou importants au sens de l’article 3 du D.Lgs. 138/2024, en fonction du nombre d’entités concernées qu’ils servent. L’autorité de contrôle peut ainsi imposer des exigences de sécurité directement, sans s’en remettre uniquement aux contrats privés.
Ailleurs en Europe, la question reste ouverte, en particulier pour les services informatiques. Le rapport NIS360 2026 de l’ENISA en fait une zone de risque prioritaire, où la criticité a pris de l’avance sur la maturité.
Où en est la conformité aujourd’hui
En Allemagne, les obligations sont déjà en vigueur. Environ 17 700 entités sont enregistrées, sur un total estimé à 29 500. En Italie, les conseils d’administration font face à l’échéance de fin octobre. En France, l’absence de loi définitive ne protège en rien des menaces, qui sont bien réelles.
Les cyberincidents exploitent systématiquement les failles de la chaîne d’approvisionnement. Les clauses contractuelles et les questionnaires fournisseurs ne suffisent plus, à eux seuls, pour couvrir des risques qui traversent des réseaux de fournisseurs sur plusieurs niveaux.
Des clauses contractuelles et des questionnaires peuvent aider à remplir les obligations administratives de base de NIS2, mais ils n’empêchent pas les données fournisseurs volées d’être retournées contre votre organisation. Dans la partie 2 de cette série sur NIS2, nous verrons comment les cybercriminels transforment des bases de données fournisseurs dérobées en infrastructure de phishing hyper personnalisée, comment les législations nationales ont allégé les obligations de formation, et comment protéger le périmètre humain.