NIS2 : l'article 17 sort de l'ombre – vos contrats fournisseurs cyber vont devoir changer

L'article 17 NIS2 : ce que les FAQ de l'ACN révèlent enfin

Les FAQ de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) viennent de lever le voile sur l'article 17 de la directive NIS2. Désormais, les entreprises doivent formaliser des accords spécifiques avec leurs fournisseurs de services cyber – SOC, MDR, tests d'intrusion, threat intelligence – pour encadrer l'échange d'informations sensibles. Et ce n'est pas une simple formalité : ces accords doivent être communiqués aux autorités compétentes.

Featured Snippet Bait : L'article 17 NIS2 impose aux entreprises de conclure des accords écrits avec leurs prestataires de services cyber (SOC, MDR, pentest, threat intelligence) pour encadrer le partage d'informations sensibles, et de les notifier aux autorités. Les FAQ de l'ANSSI précisent les modalités pratiques.

Pourquoi l'article 17 change la donne pour vos contrats fournisseurs

Jusqu'à présent, beaucoup d'entreprises se contentaient de clauses générales dans leurs contrats de prestation. Mais avec NIS2, le niveau d'exigence monte d'un cran. L'idée est simple : si vous confiez votre sécurité à un prestataire, vous devez savoir exactement comment il traite vos données, qui y a accès, et comment il réagit en cas d'incident. C'est un peu comme si vous demandiez à un plombier de réparer votre fuite, mais sans lui donner le plan de la tuyauterie – ça ne marche pas.

Les obligations concrètes pour les entreprises

Concrètement, l'article 17 vous oblige à :

• Identifier tous les fournisseurs de services cyber critiques (SOC, MDR, pentest, threat intelligence).
• Rédiger un accord spécifique détaillant les informations partagées, les mesures de sécurité, les procédures de notification d'incidents, et les conditions de sous-traitance.
• Communiquer cet accord à l'autorité compétente (ANSSI ou autre) dans les délais impartis.

Ne pas le faire expose à des sanctions pouvant aller jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial. De quoi motiver les équipes juridiques à sortir de leur zone de confort.

Comment mettre en conformité vos accords fournisseurs cyber

La première étape est de faire un audit de vos contrats existants. Identifiez ceux qui concernent des services cyber et vérifiez s'ils contiennent déjà les clauses requises. Si ce n'est pas le cas, il faudra les renégocier. Attention : les fournisseurs ne sont pas toujours ravis de devoir accepter des obligations supplémentaires. Mais avec NIS2, vous avez un levier légal solide.

Ensuite, rédigez un modèle d'accord type conforme à l'article 17. Vous pouvez vous inspirer des directives de l'UE sur NIS2 et des FAQ de l'ANSSI. N'oubliez pas d'inclure des clauses sur la gestion des incidents, la confidentialité, et les audits.

Le piège à éviter : l'effet « copier-coller »

Un écueil courant est de recopier bêtement les clauses types sans les adapter à votre contexte. Chaque fournisseur et chaque service a ses spécificités. Un SOC n'a pas les mêmes besoins qu'un prestataire de pentest. Prenez le temps de personnaliser chaque accord. C'est fastidieux, certes, mais moins que de devoir expliquer à l'ANSSI pourquoi votre contrat ne couvre pas les bonnes informations.

FAQ