Maîtrise de l'écosystème : NIS 2 fait des fournisseurs un risque réglementé

Le premier objectif consiste à recenser ses systèmes. Le troisième consiste à savoir qui y accède depuis l'extérieur.

Publié le 21 mai 2026 par Cédric Lécuyer. 6 minutes de lecture.

Un objectif à part entière

Le Référentiel Cyber France publié par l'ANSSI décline les exigences de la directive NIS 2 en vingt objectifs de sécurité. Le troisième porte sur la maîtrise de l'écosystème.

Sa place dans l'ordonnancement mérite attention. Il précède la sécurisation de l'architecture des systèmes d'information, la sécurisation des accès distants et la protection contre les codes malveillants. Le référentiel commence par le recensement des systèmes, poursuit par la gouvernance, puis traite de l'écosystème, avant d'aborder les mesures techniques.

Cette séquence traduit une logique de maîtrise des risques, pas une logique d'outillage. On identifie le périmètre, on organise la responsabilité, on qualifie les relations extérieures, et seulement ensuite on protège.

Comme les autres, cet objectif s'accompagne de moyens acceptables de conformité, mesures que l'ANSSI propose pour l'atteindre et dont une entité peut se prévaloir lors d'un contrôle. L'objectif est obligatoire, le moyen ne l'est pas.

Pourquoi l'écosystème est le point d'entrée

Une organisation publique n'est pratiquement jamais un système fermé.

Un progiciel de gestion financière est hébergé chez un éditeur. La paie transite par un prestataire. La maintenance des postes est externalisée. Un délégataire de service public dispose d'un accès aux données d'usagers. Un centre de gestion mutualise des applications pour des dizaines de collectivités. Chacune de ces relations crée un accès légitime depuis l'extérieur du périmètre.

La conséquence pratique est que le niveau de sécurité effectif d'une organisation n'est pas déterminé par ses propres mesures, mais par le maillon le plus faible de cet ensemble. Une collectivité peut avoir durci ses postes et cloisonné son réseau : si un prestataire dispose d'un accès permanent avec un compte partagé, la protection s'arrête là.

C'est ce que traduit l'irruption du risque de chaîne d'approvisionnement dans la réglementation. NIS 2 ne se contente pas de demander aux entités de se protéger : elle leur demande de répondre du niveau de sécurité de leurs relations.

Ce que cela change pour la commande publique

Le déplacement est important, et il touche des services qui ne se pensaient pas concernés par la cybersécurité.

La qualification d'un prestataire devient un acte à documenter, au même titre que sa capacité financière ou ses références techniques. Les exigences de sécurité doivent figurer dans les pièces du marché, ce qui suppose qu'elles aient été définies avant la consultation, et non ajoutées à l'exécution.

Le suivi en cours d'exécution devient un contrôle. Un prestataire qualifié au moment de l'attribution ne l'est pas pour la durée du contrat : il peut être racheté, changer de sous-traitants, modifier son hébergement. Un marché pluriannuel sans clause de réexamen fige une évaluation qui se périme.

La réversibilité, enfin, devient une exigence de continuité et non une clause de style. Une organisation qui ne sait pas comment récupérer ses données et poursuivre son activité en cas de défaillance d'un prestataire n'a pas de plan de continuité, quelle que soit la qualité de sa documentation interne.

Le lien avec l'évaluation des tiers

Il existe une convergence rarement exploitée entre deux obligations que les organisations traitent séparément.

L'évaluation des tiers au titre du dispositif anticorruption vise à connaître ceux avec qui l'organisation traite, pour prévenir les atteintes à la probité. La maîtrise de l'écosystème au titre de NIS 2 vise à connaître ceux qui accèdent aux systèmes, pour prévenir les incidents de sécurité.

Les référentiels diffèrent, les autorités de contrôle aussi. Mais les deux reposent sur le même socle : un référentiel de tiers à jour, comportant l'identité juridique réelle, les dirigeants, les liens capitalistiques, la nature exacte de la relation contractuelle, et l'historique des vérifications conduites.

Une organisation qui construit ce socle une fois répond aux deux exigences. Une organisation qui les traite dans deux projets distincts constituera deux bases partiellement redondantes, se périmant l'une comme l'autre, et devra faire deux fois le travail de mise à jour.

Une échéance à ne pas attendre

Le calendrier annoncé prévoit les décrets d'application d'ici la fin 2026 et les premiers contrôles ciblés en 2027, en commençant par les entités essentielles.

Constituer un inventaire fiable des prestataires disposant d'un accès aux systèmes, avec le périmètre exact de cet accès, prend plusieurs mois dans une organisation de taille moyenne. Non pas en raison d'une difficulté technique, mais parce que l'information est dispersée entre les services acheteurs, la direction des systèmes d'information et les métiers, et que personne n'en détient la vue complète.

C'est le genre de travail qu'il vaut mieux conduire avant qu'une échéance ne le rende urgent.

Sources

• Référentiel Cyber France, ReCyF, version 2.5 du 17 mars 2026, Agence nationale de la sécurité des systèmes d'information

• Collectivités et cybersécurité : les nouvelles exigences de la directive NIS 2, CIG Versailles

• Transposition NIS 2 en France : loi, calendrier 2026 et obligations ANSSI, Legiscope