Onboarding des fournisseurs sous NIS2 : qu'exige le § 30 BSIG pour la chaîne d'approvisionnement ?

La loi sur le BSI, dans sa version issue de la loi de transposition de la directive NIS2 (Journal officiel fédéral, BGBl. 2025 I n° 301), distingue les entités essentielles et les entités importantes (§ 28 BSIG). Sont déterminants le type d'entité figurant aux annexes 1 et 2 – par exemple l'énergie, les transports, la finance, les services postaux et d'expédition ou la fabrication – et sa taille.

Est essentielle une entité de l'annexe 1 comptant au moins 250 salariés, ou réalisant un chiffre d'affaires annuel de plus de 50 millions d'euros avec, en même temps, un total du bilan de plus de 43 millions d'euros. Est importante une entité des annexes 1 ou 2 comptant au moins 50 salariés, ou dont le chiffre d'affaires et le total du bilan dépassent chacun 10 millions d'euros. Certaines entités, comme les exploitants d'installations critiques, sont concernées quelle que soit leur taille.

Les fournisseurs n'ont pas besoin de relever eux-mêmes de la loi pour en ressentir les effets : leurs clients doivent démontrer la sécurité de la relation d'approvisionnement et leur répercutent donc les exigences.

Le § 30, alinéa 2, énumère dix mesures que la gestion des risques doit comporter au minimum. Le n° 4 mentionne la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité des relations avec les fournisseurs ou prestataires de services directs. Le n° 5 y ajoute des mesures de sécurité pour l'acquisition, le développement et la maintenance, y compris le traitement et la divulgation des vulnérabilités.

La directive (UE) 2022/2555 est plus précise sur ce point : en vertu de son article 21, paragraphe 3, les entités tiennent compte des vulnérabilités propres à chaque fournisseur direct ainsi que de la qualité globale des produits et des pratiques en matière de cybersécurité de leurs fournisseurs. Ce paragraphe n'est pas repris mot pour mot dans le texte de la loi allemande ; l'exposé des motifs (document du Bundestag BT-Drucksache 21/1501) s'y réfère à propos du § 30.

La loi ne prescrit pas de questionnaire fixe. Quatre étapes ont fait leurs preuves : classer les fournisseurs selon leur criticité (quelles données, quels systèmes et quels processus touchent-ils ?), fixer des exigences minimales par niveau, vérifier leur respect sur la base de justificatifs et archiver le résultat de manière à pouvoir le présenter lors d'un contrôle.

Les exigences typiques portent sur la protection des accès, comme l'authentification multifacteur, le chiffrement, la gestion des vulnérabilités et des correctifs, la préparation aux situations d'urgence, les canaux de signalement des incidents de sécurité et les certifications telles que l'ISO/IEC 27001. Si le fournisseur traite des données à caractère personnel pour votre compte, le contrat au sens de l'article 28 du RGPD s'y ajoute.

Le contrôle n'est pas ponctuel : les certificats expirent, les sous-traitants changent, les exigences évoluent. Des contrôles récurrents font donc partie de la gestion des risques.

En vertu du § 33 BSIG, les entités concernées doivent s'enregistrer auprès du BSI au plus tard trois mois après avoir été qualifiées d'entité pour la première fois. Selon le BSI, ce délai a expiré pour les entités qui étaient déjà concernées lors de l'entrée en vigueur ; elles doivent régulariser leur enregistrement.

Les organes de direction doivent mettre en œuvre les mesures de gestion des risques et en surveiller l'application (§ 38, alinéa 1, BSIG) et suivre régulièrement des formations (§ 38, alinéa 3, BSIG).

En vertu du § 65 BSIG, les infractions au § 30 peuvent être sanctionnées par des amendes allant jusqu'à 10 millions d'euros pour les entités essentielles et jusqu'à 7 millions d'euros pour les entités importantes. Lorsque le chiffre d'affaires annuel mondial dépasse 500 millions d'euros, le plafond s'élève respectivement à 2 % et à 1,4 % de ce chiffre d'affaires.

Vendo4u ne traduit pas les exigences en un questionnaire par client, mais en un catalogue commun : les fournisseurs renseignent une seule fois leurs informations relatives à la sécurité de l'information, à la protection des données et à la continuité d'activité, et les étayent par des documents rattachés à chaque critère. Les acheteurs filtrent selon leurs exigences minimales, comparent les fournisseurs et exportent le profil avec ses justificatifs pour leur propre documentation.

L'obligation d'évaluation reste à la charge de l'entité. Vendo4u en fournit la base uniforme et traçable.