Guide pratique — sous-traitant
Clause cybersécurité dans un contrat de sous-traitance : que signe-t-on vraiment ?
Votre client a ajouté une page « cybersécurité » au contrat, ou vous annonce qu’il faudra en passer par là pour continuer à travailler ensemble. Voici ce que ces clauses contiennent, ce que vous pouvez accepter tel quel, ce qui se négocie — et ce qu’il ne faut pas signer.
Contenu établi à partir de la directive (UE) 2022/2555 (art. 21), du ReCyF v2.5 (document de travail de l’ANSSI, 17 mars 2026) et de l’état du projet de loi Résilience, vérifié le 18 septembre 2026 contre eur-lex.europa.eu, cyber.gouv.fr et Légifrance. Ceci n’est pas un conseil juridique ; pour un contrat donné, consultez un avocat.
La clause, en une phrase
La pression réglementaire ne vous atteint pas par la loi — elle vous atteint par le contrat. Votre client est tenu de prouver qu’il maîtrise la sécurité de ses fournisseurs ; la clause de cybersécurité est la preuve écrite qu’il vous demande. La lire comme un document commercial plutôt que comme un piège change tout : la plupart des clauses décrivent des pratiques que vous avez déjà.
Cinq choses à comprendre
1. Pourquoi la clause arrive : votre client doit l’écrire quelque part
La directive NIS 2 demande aux entités assujetties de maîtriser « la sécurité de la chaîne d’approvisionnement, y compris les aspects de sécurité des relations avec leurs fournisseurs directs » (article 21, paragraphe 2, point d). Le référentiel français de l’ANSSI, le ReCyF, en déduit pour l’objectif 3 « Maîtrise de l’écosystème » des mesures concrètes : connaître ses prestataires, leur poser des exigences de sécurité, et les suivre dans la durée. L’exigence par écrit, c’est le contrat. La clause de cybersécurité n’est donc pas une méfiance personnelle : c’est la trace que votre client gardera pour son propre auditeur.
2. Ce que les clauses contiennent, en pratique
Quatre blocs reviennent presque toujours. La confidentialité : ce que vous voyez chez le client ne sort pas. L’incident : vous signalez tout incident de sécurité qui le concerne, dans un délai écrit — 24 ou 48 heures dans les contrats récents, là où les contrats plus anciens se contentaient de « sans délai ». L’audit : le client peut vérifier, lui-même ou par un tiers, que ce que vous déclarez est vrai — de la simple attestation sur l’honneur au droit d’audit sur place. Et la cascade : vous vous engagez à répercuter des exigences équivalentes sur vos propres sous-traitants, exactement ce que l’objectif 3 du ReCyF demande à votre client de faire.
3. Ce que vous pouvez accepter tel quel
La confidentialité, les mesures d’hygiène de base (mots de passe, sauvegardes, poste à jour, signalement), et l’engagement de cascade si vous tenez la liste de vos propres prestataires : ce sont vos pratiques actuelles mises par écrit. Si vous avez répondu honnêtement à un questionnaire de sécurité, la clause ne devrait rien contenir que vos réponses ne couvrent déjà. C’est même un bon test : une clause que vos réponses contredisent annonce un conflit plus tard.
4. Ce qui se négocie couramment
Le délai de signalement d’incident : 24 heures après découverte d’un incident qui compromet les données du client, oui ; 24 heures pour « tout incident », y compris interne et sans impact, c’est un piège d’exploitation — demandez « incident de sécurité affectant les services ou données du client ». Le périmètre d’audit : une attestation annuelle ou le partage de votre passeport de sécurité se négocie plus simplement qu’un droit d’audit sur place illimité. La responsabilité : refusez une responsabilité illimitée sur les seules violations de sécurité ; demandez le plafond habituel du contrat, éventuellement doublé pour ce cas précis.
5. Ce qu’il ne faut pas signer
Une promesse de conformité à une norme que vous n’avez pas (ISO 27001, SecNumCloud) : écrivez plutôt ce que vous faites réellement, daté. Un droit d’audit sans préavis ni limitation de fréquence. Une obligation de résultat sur la sécurité — personne ne peut garantir l’absence d’incident ; l’engagement honnête porte sur les moyens, pas sur l’impossible. Et toute clause qui vous fait porter la responsabilité des sous-traitants que le client vous impose lui-même.
Quatre clauses types, lues de votre côté
Des formulations réellement rencontrées dans les contrats et questionnaires de donneurs d’ordre, et ce qu’elles demandent à une structure de 5 à 50 personnes.
« Le prestataire déclare mettre en œuvre des mesures organisationnelles et techniques de protection de ses systèmes d’information, conformément aux objectifs du ReCyF de l’ANSSI. »
Ce que ça veut dire pour vous : La formulation la plus favorable qui soit pour vous : elle demande une déclaration, pas une certification. Votre passeport — une auto-déclaration datée, construite sur les objectifs du ReCyF — y répond mot pour mot.
« Le prestataire signale sans délai, et au plus tard 48 heures après sa découverte, tout incident de sécurité susceptible d’affecter les services ou les données du client. »
Ce que ça veut dire pour vous : Standard et acceptable : le délai court « après sa découverte », le périmètre est limité à ce qui vous concerne. Vérifiez seulement que vous savez qui, chez vous, est chargé du signalement.
« Le client, ou tout tiers qu’il mandate, peut auditer à tout moment les mesures du prestataire. »
Ce que ça veut dire pour vous : « À tout moment » sans préavis est le point à négocier : demandez un préavis raisonnable et une fréquence bornée, ou proposez en échange un document de sécurité daté remis annuellement.
« Le prestataire est certifié ISO 27001 ou s’engage à l’être sous 18 mois. »
Ce que ça veut dire pour vous : Rédigé pour des fournisseurs plus grands que vous. Demandez si le client accepte, à la place, une déclaration construite sur le référentiel de son propre choix (le ReCyF pour un assujetti français) — c’est ce que son objectif 3 lui demande au minimum.
Exemples de formulation à titre d’illustration ; chaque contrat reste à lire en entier, et à faire relire par un avocat pour les enjeux importants.
Le réflexe qui fait gagner du temps
Répondez au questionnaire de sécurité avant de discuter la clause. Une fois votre posture écrite — ce que vous faites, ce que vous ne faites pas encore, depuis quand — la clause se lit en comparaison : ce qui est couvert se signe, ce qui ne l’est pas se négocie, et vous ne promettez rien que vos propres réponses contredisent. Les clients le remarquent : un fournisseur qui sait où il en va vaut mieux qu’un fournisseur qui signe vite.
Questions fréquentes
La clause cybersécurité est-elle obligatoire dans un contrat de sous-traitance ?
Aucune loi n’impose une clause de cybersécurité entre une entreprise assujettie et son sous-traitant privé. C’est la directive NIS 2, par son article 21, qui impose à l’assujetti de maîtriser la sécurité de sa chaîne d’approvisionnement ; le contrat est le moyen qu’il choisit librement pour y répondre. Pour le traitement de données personnelles, l’article 28 du RGPD impose déjà un contrat avec des clauses de sécurité précises — la plupart des PME l’ont signé sans le nommer « clause cyber ».
Quelle différence avec la clause de sous-traitance RGPD que j’ai déjà signée ?
La clause RGPD (article 28) encadre ce que le prestataire fait des données personnelles du client. La clause cybersécurité est plus large : elle vise la sécurité de tous vos systèmes, y compris ceux qui ne touchent pas ses données — votre messagerie, vos accès administrateur, vos propres sous-traitants. Les deux se recoupent mais ne se remplacent pas, et un client assujetti peut vous demander les deux dans le même contrat.
Peut-on refuser de signer ?
On peut négocier presque tout, rarement tout refuser : pour le client, la clause est le document qu’il montrera à son auditeur. L’enjeu n’est pas d’échapper à la clause mais qu’elle décrive des choses que vous faites vraiment — une promesse tenue vaut mieux qu’une exigence écartée puis trahie. Si le client exige une certification que vous n’avez pas, proposez une auto-déclaration structurée à la place : c’est souvent accepté pour un fournisseur de votre taille, et cela reste plus fort qu’une promesse orale.
Que répondre si le client demande aussi le questionnaire de sécurité complet ?
La clause et le questionnaire sont les deux moitiés du même mécanisme : le contrat écrit l’exigence, le questionnaire en prend la photographie à un instant t. Si vous avez déjà rempli un profil de sécurité daté, envoyez-le avec la clause signée : le client garde une trace cohérente, et vous ne refaites pas le travail à chaque contrat.
Où en est la loi française sur tout cela ?
Le projet de loi de transposition de NIS 2 (dit loi Résilience) avait été adopté en lecture par les deux chambres mais la procédure parlementaire n’était pas achevée à la vérification de cette page, et la Commission européenne a saisi la Cour de justice de l’UE le 8 juillet 2026 pour transposition incomplète. Cela ne suspend rien côté clients : les grands comptes appliquent déjà leurs exigences fournisseurs par contrat. À re-vérifier sur Légifrance avant toute décision.
Et maintenant, concrètement
Trois lectures utiles : le guide « NIS2 et sous-traitants PME » explique le mécanisme réglementaire complet, « comment répondre à un questionnaire de sécurité client » traite la méthode thème par thème, et l’objectif 3 du ReCyF dit précisément pourquoi votre client vous demande tout cela. Pour mettre votre posture par écrit une bonne fois, c’est le questionnaire CertiPasse.
Le mécanisme réglementaire
NIS2, article 21, effet cascade : pourquoi la pression vous atteint par le contrat.
La méthode, thème par thème
Comprendre chaque question, la preuve attendue, répondre sans y passer ses soirées.
Écrire votre posture une fois
Trente minutes, des questions reliées aux objectifs du ReCyF, un passeport daté à envoyer avec le contrat.