Guide réglementaire — sous-traitant
NIS2 et sous-traitants PME : pourquoi vos clients vous envoient des questionnaires de sécurité
Vous n’êtes pas assujetti à NIS 2. Vos clients le sont, et la directive leur demande de prouver qu’ils maîtrisent la sécurité de leurs fournisseurs. Voici le mécanisme exact, ce que la loi française change (et ne change pas), et ce que l’on attend concrètement de vous.
Points réglementaires vérifiés le 17 septembre 2026 contre les sources primaires : la directive (eur-lex.europa.eu), les publications de l’ANSSI (cyber.gouv.fr, messervices.cyber.gouv.fr) et l’état de la transposition française.
Art. 21, 2, d
l’article de NIS 2 qui vous concerne, par le contrat
50 à 300
questions dans un questionnaire fournisseur type
8 thèmes
couvrent l’essentiel de ce qu’un client vérifie
30 min
pour remplir une fois un profil réutilisable
L’effet cascade, en une phrase
Une obligation qui ne vous vise pas s’applique pourtant à vous : le donneur d’ordre assujetti doit documenter la sécurité de ses fournisseurs directs (article 21, paragraphe 2, point d de la directive NIS 2), et il transmet cette exigence par le contrat. Le questionnaire de sécurité est le document par lequel la pression descend d’un échelon.
Les quatre choses à comprendre
1. Vous n’êtes pas directement visé — et ce n’est pas une bonne nouvelle
NIS 2 s’applique aux entités « essentielles » et « importantes » : mid-caps et grands comptes de dix-huit secteurs. Une ESN de douze personnes n’est presque jamais dans ce champ. Mais l’article 21, paragraphe 2, point d, de la directive demande à ces entités de maîtriser « la sécurité de la chaîne d’approvisionnement, y compris les aspects de sécurité des relations avec leurs fournisseurs directs ». Traduction : la pression réglementaire ne vous atteint pas par la loi, elle vous atteint par le contrat.
2. Votre client a une obligation de preuve, pas une intention
Le donneur d’ordre doit démontrer à son propre autorité de contrôle qu’il maîtrise son écosystème. Le questionnaire qu’il vous envoie est la trace écrite de cette démonstration : il sera relu lors d’un audit, pas jeté après lecture. C’est pour cela que les réponses vagues coûtent des contrats — votre document entre dans le dossier de quelqu’un d’autre.
3. La chaîne descend : vos clients vous poseront la question, puis vous poserez la même aux vôtres
Le même article demande aussi de prendre en compte les risques venant de vos propres sous-traitants. Une PME qui répond à un questionnaire mentionne ses hébergeurs et prestataires ; le donneur d’ordre de demain vous demandera la même chose. Comprendre le mécanisme une fois, c’est savoir y répondre des deux côtés.
4. Le calendrier français est encore ouvert — les questionnaires n’attendent pas
La loi française de transposition (dite loi Résilience) n’était pas promulguée à la vérification de cette page. L’ANSSI a néanmoins publié le Référentiel Cyber France (ReCyF) comme document de travail, et les grands comptes mettent déjà leurs process fournisseurs en place. Attendre la promulgation pour préparer vos réponses, c’est répondre au questionnaire sous contrainte le jour où il arrive.
Ce que dit exactement la directive
L’article 21 de la directive (UE) 2022/2555 liste dix mesures de gestion des risques cyber que les entités assujetties doivent mettre en œuvre. Le point d du paragraphe 2 porte sur « la sécurité de la chaîne d’approvisionnement, y compris les aspects de sécurité des relations avec les fournisseurs directs et les prestataires de services ». Le paragraphe 3 ajoute que ces entités prennent en compte les vulnérabilités résultant de leurs propres fournisseurs et sous-traitants.
Aucun de ces textes ne s’adresse à vous directement. Ils s’adressent à vos clients, et vos clients les font descendre par leurs contrats et leurs questionnaires.
Source : Directive (UE) 2022/2555, article 21 — eur-lex.europa.eu. Version ReCyF citée : v2.5 du 17 mars 2026, document de travail de l’ANSSI.
Où en est la loi française
Le référentiel de travail existe déjà
L’ANSSI a publié le Référentiel Cyber France (ReCyF) en version de travail (v2.5, 17 mars 2026). Il liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS 2. L’Agence précise qu’aucune version définitive ne sera publiée avant l’issue des travaux parlementaires : c’est ce qui rend la veille nécessaire, pas accessoire.
Source : lab.cyber.gouv.fr et messervices.cyber.gouv.fr, vérifié le 17 septembre 2026.
La transposition n’est pas terminée
Le projet de loi (dit loi Résilience) avait été adopté en lecture par les deux chambres mais la procédure n’était pas achevée à la vérification de cette page, et la Commission européenne a saisi la Cour de justice de l’UE le 8 juillet 2026 pour transposition incomplète. En pratique : le régime français définitif n’est pas encore en vigueur, et c’est précisément pendant cette fenêtre que les donneurs d’ordre mettent leurs exigences fournisseurs en place.
État vérifié le 17 septembre 2026 — à re-vérifier avant toute décision de conformité.
Questions fréquentes
Suis-je obligé de répondre au questionnaire de sécurité de mon client ?
Aucune loi ne vous oblige directement. Mais le contrat qui vous lie peut l’exiger, et refuser se paie en contrats perdus : le donneur d’ordre a lui-même l’obligation réglementaire de documenter la sécurité de ses fournisseurs. En pratique, pour un prestataire qui vend à des mid-caps ou grands comptes, la réponse n’est pas vraiment un choix.
NIS2 s’applique-t-il aux PME ?
La directive s’applique aux entités essentielles et importantes, pas aux petites structures en direct. Mais son article 21 impose aux assujettis de sécuriser leur chaîne d’approvisionnement : une PME fournisseur est donc concernée indirectement, par l’exigence que ses clients lui transmettent contractuellement. C’est l’effet cascade.
Que risque-t-on si on répond mal ?
Pas d’amende : l’ANSSI ne sanctionne pas les sous-traitants. Le risque est commercial — une réponse imprécise ou incohérente peut écarter votre entreprise d’un appel d’offres, et votre client doit pouvoir défendre votre dossier devant son auditeur. Une réponse honnête « non couvert aujourd’hui, voici le plan » passe mieux qu’un « oui » qui s’effondre à la première relance.
Le ReCyF de l’ANSSI s’applique-t-il aux sous-traitants ?
Non. Le ReCyF est le référentiel de transposition NIS 2 pour les entités assujetties, pas pour leurs fournisseurs. La sous-traitance n’y apparaît que comme un objectif parmi vingt (« Maîtrise de l’écosystème », objectif 3). Mais c’est précisément le référentiel auquel votre client sera comparé : un profil construit sur ses objectifs parle le langage de son audit.
Faut-il attendre la loi française ?
Non. La directive s’applique déjà aux entités de plus de cinquante salariés dans les secteurs visés, indépendamment de la transposition. Les grands comptes ont lancé leurs programmes fournisseurs et envoient déjà leurs questionnaires. La loi Résilience fixera le cadre français ; elle ne retardera pas les questionnaires déjà dans votre boîte mail.
Et maintenant, concrètement
Deux lectures utiles : le guide « comment répondre à un questionnaire de sécurité client » traite la méthode thème par thème, et le modèle de réponse gratuit donne une base réutilisable. Si vous préférez remplir une fois et garder un document daté à envoyer à chaque client, c’est le questionnaire CertiPasse.
La méthode, thème par thème
Comprendre chaque question, la preuve attendue, et répondre en une demi-journée.
La clause du contrat
Ce que les clauses cybersécurité contiennent, ce qui se négocie, ce qu’il ne faut pas signer.
Le modèle de réponse gratuit
Une base de réponse en français clair, à adapter et réutiliser à chaque questionnaire.
Remplir une fois, partager partout
Trente minutes de questions reliées aux objectifs du ReCyF, un passeport daté à envoyer.