Un e-mail tombe dans votre boîte. Votre plus grand client (un hôpital, une entreprise logistique, un fournisseur d’énergie) vous envoie un « questionnaire fournisseurs cybersécurité ». Quarante questions. Sur vos sauvegardes, votre détection d’incidents, votre journalisation, votre gestion des accès. Et en bas : « Merci de répondre dans les trente jours. »

Votre première réaction est peut-être : mais nous ne sommes pas soumis à NIS2 ? C’est probablement vrai. Mais ce n’est pas la question. La question est de savoir si votre client y est soumis. Et si c’est le cas, vous faites désormais partie de son problème, ou de sa solution.

La loi agit par la chaîne

NIS2 est en vigueur en Belgique depuis octobre 2024. La loi oblige des milliers d’entités « essentielles » et « importantes », des hôpitaux aux entreprises alimentaires, à gérer leurs risques cyber. Et l’un de ces risques figure explicitement dans la loi : la chaîne d’approvisionnement.

Concrètement : une entité NIS2 doit évaluer la cybersécurité de ses fournisseurs et prestataires. Pas à titre facultatif, mais comme obligation légale, avec le Centre pour la Cybersécurité Belgique (CCB) comme autorité de contrôle et des amendes pouvant atteindre des millions d’euros. Aucun responsable compliance ne prend encore de risques avec ça.

La conséquence est prévisible. L’obligation ruisselle vers le bas. L’hôpital interroge son fournisseur de logiciels. Le fournisseur de logiciels interroge son hébergeur. Et le bureau comptable qui traite les salaires de l’hôpital ? Il reçoit le même questionnaire. Pas besoin d’être soumis à la loi pour en subir les conséquences.

Ce qui est demandé concrètement

Les questionnaires varient selon les secteurs, mais le cœur revient toujours :

  • Savez-vous ce qui tourne dans votre environnement IT ? Un inventaire à jour des systèmes, logiciels et services.
  • Remarquez-vous quand quelque chose se passe mal ? Détection des pannes et activités suspectes, avec si possible des temps de réaction démontrables.
  • Gardez-vous une trace de ce qui se passe ? Journalisation des événements, et la capacité de reconstituer après coup ce qui a mal tourné.
  • En combien de temps êtes-vous de nouveau opérationnel ? Sauvegardes, temps de restauration, chiffres de disponibilité.

Remarquez ce qui n’est pas demandé : un certificat coûteux, un département compliance, un responsable sécurité à temps plein. Ce qui est demandé, c’est la preuve que vos affaires sont en ordre.

Répondre « non », c’est aussi une réponse, et une réponse coûteuse

Que se passe-t-il si vous renvoyez le questionnaire vide ou négatif ? Généralement rien de dramatique dans l’immédiat. Mais au prochain renouvellement de contrat, un concurrent qui a su répondre aux questions est sur la table. L’évaluation des fournisseurs n’est pas une formalité ponctuelle ; elle devient un élément permanent des décisions d’achat. La question n’est pas de savoir si la cybersécurité deviendra un critère d’attribution, mais quand vous perdrez votre premier contrat à cause d’elle, sans que personne ne vous le dise.

Retournez la situation, et elle devient un atout. La PME qui, la première dans son secteur, peut répondre « oui, et voici le rapport mensuel », se distingue sans effort du reste.

Commencer sans se noyer

La bonne nouvelle : la Belgique dispose avec CyberFundamentals (CyFun) d’un cadre conçu précisément pour cela : une feuille de route pratique à la mesure des PME, développée par le CCB. Le niveau Basic couvre l’essentiel : savoir ce qui tourne, détecter les problèmes, journaliser les événements, surveiller la disponibilité.

Et ce n’est pas un hasard si c’est mon métier. Un monitoring professionnel fournit automatiquement une grande partie de ces réponses : un inventaire qui se tient à jour tout seul, une détection en moins d’une minute, une journalisation que vous pouvez présenter noir sur blanc. Pas comme exercice sur papier, mais comme système en fonctionnement.

Vous avez reçu un tel questionnaire, ou vous voulez en devancer un ? Planifiez un entretien sans engagement, et nous passerons ensemble en revue ce que vos clients attendront bientôt de vous, et ce qui peut déjà être réglé aujourd’hui.