--- title: "La conformité par procuration ne passe pas à l’échelle | Guardian360" description: "La Cyberbeveiligingswet oblige environ 8 000 organisations aux Pays-Bas, mais la question de la conformité retombe sur les plus de 100 000 fournisseurs situés en dessous d’elles. Pourquoi le modèle du questionnaire un à un se brise à l’échelle, et à quoi devrait vraiment ressembler le fait de démontrer son travail." url: https://guardian360.net/fr/blog/compliance-by-proxy-doesnt-scale/ locale: fr source: guardian360.net --- [← Tous les articles](https://guardian360.net/fr/blog/) Conformité # La conformité par procuration ne passe pas à l’échelle Par Jan Martijn Broekhof · 18 août 2026 La Cyberbeveiligingswet est entrée en vigueur le 15 août 2026, formalisant de nouvelles obligations pour environ 8 000 organisations aux Pays-Bas (Rijksoverheid, 2026). Il a fallu des mois au marché du conseil pour se préparer à cette échéance, et la quasi-totalité de cette préparation est allée à un seul groupe : les entités essentielles et importantes désormais directement soumises à la nouvelle loi. Les consultants ont été réservés à plein temps pour aider ces organisations à cartographier leurs mesures de devoir de diligence, à s’enregistrer auprès du NCSC et à mettre de l’ordre dans leur gouvernance. Supposons, de manière prudente, que chacune de ces 8 000 organisations s’appuie sur au moins vingt fournisseurs, et le nombre d’entreprises qui font désormais face à une question de conformité à cause de cette loi, sans être elles-mêmes directement réglementées, dépasse déjà largement les 100 000. NFIR a remarqué autre chose en menant précisément ce travail de conseil. Assis au cœur de ces conversations, encore et encore, le même écart apparaissait : l’organisation obligée elle-même était généralement en assez bonne posture, souvent déjà certifiée ISO 27001 ou en bonne voie de l’être, mais ses fournisseurs ne l’étaient pas. Ces fournisseurs n’avaient aucun certificat à présenter, aucune manière partagée de démontrer leur posture de sécurité, et aucune idée de la façon de répondre à la question de conformité qui allait bientôt atterrir dans leur boîte de réception, envoyée par plusieurs clients à la fois. Bizway a vu le même problème depuis l’autre côté. En tant que fournisseur lui-même, Bizway avait déjà commencé à observer une hausse exactement de ce type de demande : des clients demandant, parfois formellement et parfois comme une réflexion après coup lors d’une revue de compte, comment Bizway pouvait démontrer qu’elle répondait aux attentes liées à NIS2. Deux organisations, deux points de vue, la même observation : la pression de cette loi n’allait jamais rester contenue au sein des 8 000 entreprises directement réglementées. Elle allait toujours retomber une couche plus bas, sur ceux qui les approvisionnent. ## Pourquoi votre client vous demande-t-il soudain une déclaration de conformité ? Ce n’est pas une coïncidence, et ce n’est pas une gestion de compte trop zélée. L’article 21 de la directive NIS2 impose aux entités essentielles et importantes de gérer la sécurité de leur chaîne d’approvisionnement, y compris les aspects liés à la sécurité de leurs relations avec leurs fournisseurs directs (ENISA, 2023). En pratique, cette obligation ne peut pas rester à l’intérieur de l’organisation réglementée. Elle doit être transmise vers le bas, dans les contrats, les listes de contrôle d’intégration et, de la manière la plus visible, dans une question de conformité adressée à chaque fournisseur dont l’organisation dépend. La propre analyse de l’ENISA sur la cybersécurité de la chaîne d’approvisionnement, publiée en 2023 et toujours la référence européenne la plus citée sur ce mécanisme, a constaté que les compromissions de la chaîne d’approvisionnement étaient passées de moins de 1 pour cent des intrusions en 2020 à 17 pour cent en 2021. Dans 66 pour cent des incidents examinés, le fournisseur touché ne savait pas comment il avait été compromis, ou ne pouvait pas l’expliquer de manière transparente au client qui dépendait de lui. C’est précisément l’écart que la Cyberbeveiligingswet est conçue pour combler, et précisément pourquoi une organisation réglementée a désormais tout intérêt à demander à ses fournisseurs de démontrer leur travail plutôt que de le prendre pour argent comptant. ## Un certificat n’est-il pas la réponse évidente ? La réponse la plus commode serait que chaque fournisseur obtienne la certification ISO 27001 et que l’affaire soit close. Pour une poignée de fournisseurs plus importants, c’est une voie sensée, et certains le font déjà. Pour la plupart, ce n’est pas réaliste, et on peut même soutenir que ce n’est pas nécessaire. Un certificat coûte cher, prend des mois à obtenir et est conçu pour des organisations d’une certaine taille et d’une certaine maturité. Beaucoup de fournisseurs qui ne présentent aucun risque significatif pour la conformité NIS2 de leurs clients se voient demander, implicitement, de se comporter comme s’ils en présentaient un. Ce dont ces fournisseurs ont réellement besoin, ce n’est pas d’un certificat. C’est d’une manière crédible et étayée par des preuves de répondre à la question qui leur est posée, appuyée par quelque chose de plus solide qu’un courriel rassurant. ## Que se passe-t-il lorsqu’un fournisseur se voit poser cinquante fois la même question ? Ici, le problème s’aggrave. Un fournisseur a rarement un seul client qui pose cette question ; il en a plusieurs, chacun avec un formulaire légèrement différent, une échéance différente et un ensemble différent de réponses attendues. L’analyse sectorielle de l’ISACA de mai 2026 décrit cela directement comme un passage de la fatigue face aux questionnaires au besoin d’une assurance contextuelle et étayée par des preuves, notant que l’ancien modèle de questionnaires ad hoc et ponctuels ne passe tout simplement pas à l’échelle dès que chaque client se met à poser la question de manière indépendante (ISACA, 2026). Multipliez cela par le nombre de clients que sert un fournisseur de taille moyenne, et le fournisseur finit par passer plus de temps à remplir des formulaires qu’à réellement améliorer sa sécurité. Ce n’est pas un échec de la diligence de tel ou tel fournisseur. C’est un échec structurel d’un modèle conçu pour des questions occasionnelles, désormais posées en continu et simultanément par tout le monde à la fois. ## Un questionnaire sur mesure de chaque client ne serait-il pas plus approfondi ? Il existe un véritable argument en faveur de l’approche actuelle. Un client qui rédige son propre questionnaire peut l’adapter précisément au risque que ce fournisseur représente pour lui : un fournisseur qui traite des données sensibles se voit poser des questions différentes de celles posées à un fournisseur de mobilier de bureau doté d’un lecteur de badge connecté à internet. Les questionnaires sur mesure maintiennent aussi la propriété et la responsabilité exactement là où NIS2 les place, auprès de l’organisation réglementée elle-même, et non auprès d’un modèle partagé que personne n’a examiné. Le problème est que cette rigueur ne fonctionne qu’à petite échelle. Dès qu’une organisation doit évaluer des dizaines ou des centaines de fournisseurs, et dès que chacun de ces fournisseurs reçoit la même demande de plusieurs clients en parallèle, un processus manuel et sur mesure ne devient pas plus précis avec le volume. Il devient plus lent, plus incohérent et plus susceptible d’être rempli superficiellement juste pour s’en débarrasser. Une précision achetée au prix de la non-réalisation n’est pas d’une grande utilité pour qui que ce soit. ## À quoi ressemble réellement le fait de « démontrer son travail » ? C’est le problème que vise la nouvelle fonctionnalité de questionnaires de conformité de Lighthouse, construite conjointement avec NFIR et Bizway. Elle donne à une organisation des questionnaires NIS2/Cbw standard, dans des variantes calibrées selon que son client est une entité essentielle ou une entité importante, de sorte qu’un fournisseur puisse remplir quelque chose de proportionné à l’obligation réelle plutôt qu’un pire scénario maximaliste. Les réponses ne se réduisent pas à un oui ou un non ; chacune s’accompagne de preuves, d’une explication ou d’une date prévue lorsque quelque chose est encore en cours, et chaque réponse est horodatée avec une piste d’audit. Le changement le plus utile est ce qui se passe après la première réponse. Un fournisseur peut répondre une fois, joindre les preuves et réutiliser cette preuve attestée la prochaine fois qu’un autre client pose la même question, plutôt que de repartir d’un formulaire vierge à chaque fois. Mieux encore, un fournisseur n’a pas du tout à attendre la demande : le même questionnaire complété peut être partagé de manière proactive avec tous les clients à la fois, anticipant la question avant même qu’elle n’arrive. Du côté du client, une organisation peut enregistrer les fournisseurs dont elle dépend, envoyer à chacun le questionnaire approprié en son propre nom, et disposer d’une vue en temps réel de la situation de toute la chaîne, avec une réévaluation à portée d’un seul clic au cycle suivant. Les questionnaires sont inclus sans coût supplémentaire pour les partenaires de Guardian360 et leurs clients, de sorte que le budget n’est pas une raison de reporter cela au trimestre prochain. Guardian360 précise explicitement qu’il s’agit d’un outil de préparation, et non d’une certification : il ne remplace pas un audit formel ni une évaluation de conformité, et il ne le prétend pas. Ce qu’il remplace, ce sont les cinquante feuilles de calcul distinctes que personne n’avait le temps de comparer. ## Le sujet n’a jamais été les 8 000 Il vaut la peine de revenir à l’origine de tout cela. NIS2, et la Cyberbeveiligingswet qui la transpose, n’ont jamais vraiment porté sur le renforcement de 8 000 organisations isolément. Toute la logique de l’exigence relative à la chaîne d’approvisionnement de l’article 21 est que la sécurité d’une organisation réglementée ne vaut que celle des fournisseurs situés en dessous d’elle. Traitez la loi comme un exercice de conformité pour les entreprises nommément désignées dans son champ d’application, et l’ambition réelle, relever le niveau de sécurité de base à travers une chaîne d’approvisionnement entière de bien plus de 100 000 entreprises, échoue discrètement au premier maillon situé hors de ce champ. NFIR a repéré cela depuis le fauteuil du conseil, en observant organisation après organisation mettre de l’ordre chez elle tandis que ses fournisseurs n’avaient nulle part où se tourner. Bizway l’a repéré depuis l’extrémité réceptrice, en répondant à la même question de plus en plus souvent et avec de moins en moins de patience à chaque fois. Les deux observations pointent vers la même conclusion : la conformité par procuration, un client, un questionnaire, un fournisseur à la fois, ne passe pas à l’échelle du problème que NIS2 a été écrite pour résoudre. Construire pour la couche située sous les 8 000 n’est pas un projet secondaire. C’est plus proche du véritable objet de la loi que ne l’a été la course à la certification. ## Sources - Rijksoverheid (7 July 2026). [Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht](https://www.rijksoverheid.nl/actueel/nieuws/2026/07/07/cyberbeveiligingswet-en-wet-weerbaarheid-kritieke-entiteiten-vanaf-15-augustus-2026-van-kracht). - NCSC. [Cyberbeveiligingswet (NIS2)](https://www.ncsc.nl/cyberbeveiligingswet-nis2). - ENISA (June 2023). [Good Practices for Supply Chain Cybersecurity](https://www.enisa.europa.eu/publications/good-practices-for-supply-chain-cybersecurity). - ISACA (4 May 2026). [Enhancing Third Party Risk Management: Moving From Questionnaire Fatigue to Contextual Assurance](https://www.isaca.org/resources/news-and-trends/industry-news/2026/enhancing-third-party-risk-management-moving-from-questionnaire-fatigue-to-contextual-assurance).