Guides · Mis à jour en août 2026
Comment prouver votre conformité NIS 2 à un client donneur d'ordre
Réponse courte : ce que votre client attend n'est pas un « oui, on est conformes » — c'est un document. Daté, adossé à un référentiel public qu'il peut reconnaître (en France : le référentiel ReCyF de l'ANSSI), explicite sur le périmètre couvert et les écarts restants, et vérifiable sans avoir à vous croire sur parole. Un tel document se prépare une fois, se tient à jour, et s'envoie par retour de mail.
Et c'est bien par mail qu'arrive la question, le plus souvent avant tout contact avec un régulateur : un acheteur, un donneur d'ordre ou un assureur qui demande « où en êtes-vous sur NIS 2 ? » au milieu d'un renouvellement de contrat.
Pourquoi cette demande se généralise
La logique est connue des praticiens depuis des années. Julien Birene, RSSI et responsable GRC de Synetis, la résumait dès 2022 : « il est plus facile d'attaquer un intégrateur IT, surtout non spécialisé en cybersécurité, et donc son client par rebond ». Les grands comptes le savent — et reportent l'exigence sur leurs fournisseurs. Paul Bayle, directeur du département sécurité d'Atos, observait au même moment que les conseils de direction sont « beaucoup plus sensibilisés à la question depuis 2019 », précisément à cause « des risques de sécurité au sein des chaînes d'approvisionnement ».
NIS 2 amplifie mécaniquement le phénomène : l'ANSSI elle-même décrit un changement d'échelle, « de 500 opérateurs régulés […] à plus de 10 000 » (Emmanuel Naëgelen, directeur adjoint de l'ANSSI, 2023). Plus d'entités régulées, c'est plus de donneurs d'ordre qui doivent à leur tour se rassurer sur leurs sous-traitants — vous, peut-être, même si votre entreprise n'est pas directement dans le périmètre.
Ce que le donneur d'ordre veut voir
| Élément | Pourquoi ça compte pour lui |
|---|---|
| Un référentiel nommé | « Nous suivons les objectifs du référentiel ReCyF de l'ANSSI » se vérifie ; « nous sommes sécurisés » ne se vérifie pas. |
| Le périmètre exact | Quelles entités, quels systèmes, quels sites sont couverts — c'est la première question d'un acheteur sérieux. |
| Une date | Une attestation d'il y a dix-huit mois dit surtout que rien n'a été regardé depuis. |
| Les écarts, assumés | « 16 objectifs sur 20 couverts, plan d'action sur les 4 restants » est plus crédible qu'un 20/20 déclaratif. |
| Un moyen de vérifier | Un lien ou une signature qui permet de contrôler que le document est authentique et à jour, sans échange de mails supplémentaire. |
Un point de vocabulaire, qui protège tout le monde : ce document est une attestation déclarative — l'état de votre démarche, établi par vous, sur un référentiel public. Ce n'est pas une certification officielle, et il n'a pas besoin de le prétendre pour rassurer : ce que l'acheteur évalue, c'est la maîtrise de votre démarche, pas un tampon.
Vous n'avez pas d'équipe cyber dédiée ? Commencez par l'existant
Le réflexe coûteux serait d'acheter d'abord, de prouver ensuite. Les praticiens conseillent l'inverse. Gérôme Billois (Wavestone) : « de nombreux équipements ou systèmes en place disposent déjà de fonctions de sécurité bien souvent désactivées ou méconnues. Il est possible d'activer beaucoup de choses à un coût relativement léger ». Les experts conformité d'Advens recommandent de « s'évaluer sur des référentiels connus, ou ressortir des feuilles de route inachevées » — autrement dit : votre matière première existe déjà, il s'agit de la mettre en face des objectifs du référentiel, d'assumer les écarts, et de dater le tout.
Le référentiel en question, ses 20 objectifs pour les entités essentielles et 15 pour les entités importantes, a sa page dédiée : ReCyF expliqué. Et la démarche pas à pas, avant toute dépense : par où commencer sans gros budget.
Ce que NewShield automatise
NewShield transforme cette démarche en document prêt à envoyer : une attestation PDF structurée sur les objectifs du référentiel, avec signature cryptographique et lien public vérifiable — que votre interlocuteur peut contrôler seul, et qui reste à jour à mesure que votre démarche avance. Quand la question arrive par mail, la réponse part avant la fin de la matinée.
Cet outil aide à préparer et présenter votre démarche de conformité ; il ne constitue ni un conseil juridique ni une certification officielle.
Découvrir NewShield et voir une attestation type →
Pour aller plus loin
Ce guide est informatif et ne constitue ni un conseil juridique ni une certification officielle ; pour votre situation précise, rapprochez-vous d'un conseil spécialisé. Citations issues de la presse professionnelle citée, propos datés. Contenus rédigés avec assistance IA, revus avant publication par l'éditeur.