Par le Dr Martin Kraemer, CISO Advisor chez KnowBe4
Des dizaines de milliers d’organisations européennes doivent répondre de la sécurité d’entreprises qu’elles ne contrôlent pas, mais dont dépendent leurs activités. L’article 21(2)(d) de la directive NIS2 oblige chaque entité concernée à gérer la sécurité de sa chaîne d’approvisionnement, y compris celle de ses relations avec ses fournisseurs directs et ses prestataires. L’article 21(3) précise qu’elle doit tenir compte des vulnérabilités propres à chacun de ses fournisseurs.
Pourtant, ces articles n’imposent rien directement au fournisseur. La plupart des organisations s’acquittent de leur devoir de vigilance grâce à un questionnaire fournisseur. Le problème, c’est qu’un questionnaire ne photographie les contrôles qu’à un instant donné. Il ne dit rien de la façon dont la sécurité évolue au fil du temps, et il ne garantit ni l’étendue ni l’efficacité réelle de ces contrôles.
Plusieurs cas récents en Allemagne, en France et en Italie illustrent bien les failles que ces logiques réglementaires et contractuelles laissent passer.
Le 14 avril 2026, unimed, un prestataire de facturation médicale qui travaille pour les hôpitaux allemands depuis 1984, a détecté une attaque par rançongiciel. Les attaquants n’ont pas réussi à chiffrer les systèmes du prestataire, mais ils ont pu exfiltrer des données avant d’être chassés.
Les conséquences se sont vite répercutées sur les établissements de santé en aval :
Aucun réseau hospitalier n’a été visé directement. Une clinique de Karlsruhe a d’ailleurs fait remarquer que son propre réseau était prêt à bloquer tout mouvement latéral. Le problème, c’est que le périmètre à protéger ne se limitait jamais aux réseaux des hôpitaux.
La transposition française de NIS2 accuse du retard. Le Sénat a adopté le projet de loi le 12 mars 2025, et la France a été renvoyée devant la Cour de justice de l’Union européenne aux côtés de l’Irlande, de l’Espagne et des Pays-Bas. Mais ce retard juridique ne freine pas les attaquants.
En février 2025, la fintech parisienne Harvest SA a découvert une attaque par rançongiciel qui a paralysé son logiciel de gestion de patrimoine, utilisé par plus de 4 600 clients. Les services sont restés hors ligne pendant environ quatre semaines. La cause : une machine virtuelle hébergée chez l’un des propres prestataires de Harvest. Devant le Parlement, un superviseur bancaire a confirmé que l’éditeur de logiciels des banques avait été compromis via le fournisseur de son propre fournisseur. Les répercussions ont touché en cascade la MAIF, qui a notifié 55 000 clients et prospects, plusieurs filiales du groupe BPCE, et AXA France, qui a informé vingt de ses clients.
Harvest disposait pourtant de solides dispositifs de sécurité : authentification multifacteur (MFA) sur au moins une partie des comptes, EDR, XDR, SIEM et gestion des correctifs. Or un questionnaire fournisseur classique ne vérifie que l’existence des contrôles, pas leur couverture ni leur efficacité.
L’Italie a transposé NIS2 par le D.Lgs. 138/2024. Les premières entités concernées ont reçu leur notification d’inclusion les 12 et 13 avril 2025. Elles ont dix-huit mois pour mettre en place les mesures de sécurité de base, soit une échéance fixée à fin octobre 2026, sans possibilité de report.
Les incidents récents dans la région donnent la mesure du problème :
Les petits fournisseurs ne sont pas directement soumis à NIS2 ni aux lois nationales de transposition. Comme le BSI allemand le rappelle, les entreprises hors du champ de la loi qui travaillent avec des entités concernées doivent s’attendre à voir ces exigences répercutées dans leurs contrats.
Selon le rapport NIS Investments de l’ENISA (décembre 2025), 37 % des répondants jugent la gestion des risques liés à la chaîne d’approvisionnement comme l’exigence NIS2 la plus difficile à satisfaire. Une enquête de l’ENISA publiée en mai 2026 montre par ailleurs que les PME des secteurs très critiques peinent bien davantage à se mettre en conformité que les grandes structures.
L’Italie fait figure d’exception. Au titre de la Determinazione 127437/2026 de l’ACN, les organisations concernées doivent transmettre chaque année la liste de leurs fournisseurs. L’ACN détermine ensuite lesquels sont essentiels ou importants au sens de l’article 3 du D.Lgs. 138/2024, en fonction du nombre d’entités concernées qu’ils servent. L’autorité de contrôle peut ainsi imposer des exigences de sécurité directement, sans s’en remettre uniquement aux contrats privés.
Ailleurs en Europe, la question reste ouverte, en particulier pour les services informatiques. Le rapport NIS360 2026 de l’ENISA en fait une zone de risque prioritaire, où la criticité a pris de l’avance sur la maturité.
En Allemagne, les obligations sont déjà en vigueur. Environ 17 700 entités sont enregistrées, sur un total estimé à 29 500. En Italie, les conseils d’administration font face à l’échéance de fin octobre. En France, l’absence de loi définitive ne protège en rien des menaces, qui sont bien réelles.
Les cyberincidents exploitent systématiquement les failles de la chaîne d’approvisionnement. Les clauses contractuelles et les questionnaires fournisseurs ne suffisent plus, à eux seuls, pour couvrir des risques qui traversent des réseaux de fournisseurs sur plusieurs niveaux.
Des clauses contractuelles et des questionnaires peuvent aider à remplir les obligations administratives de base de NIS2, mais ils n’empêchent pas les données fournisseurs volées d’être retournées contre votre organisation. Dans la partie 2 de cette série sur NIS2, nous verrons comment les cybercriminels transforment des bases de données fournisseurs dérobées en infrastructure de phishing hyper personnalisée, comment les législations nationales ont allégé les obligations de formation, et comment protéger le périmètre humain.