Il est une question que l’on se pose rarement avant de signer un contrat avec le fournisseur gérant le SOC ou le service de Vulnerability Assessment : que devient-il, exactement, des informations que nous échangeons chaque jour ?
Logs, alertes, indicateurs de compromission, détails sur des vulnérabilités non encore corrigées. Des données qui, si elles tombaient entre de mauvaises mains, vaudraient plus qu’un mot de passe volé.
L’article 17 du décret NIS2 (D.Lgs. 138/2024) tente de mettre de l’ordre précisément ici.
Pendant des mois, il est resté au second plan par rapport aux thèmes les plus discutés de la réglementation : responsabilité du conseil d’administration, mesures de sécurité, notification des incidents, gestion de la chaîne d’approvisionnement. Les FAQ publiées par l’ACN lui ont redonné une place centrale, et la raison en est simple : il concerne presque toutes les organisations qui font appel à un prestataire externe pour des activités de sécurité.
De quoi traite réellement l’article 17
La norme permet aux entités essentielles et importantes, ainsi qu’à leurs tiers, d’échanger sur une base volontaire des informations sur la cybersécurité : menaces, quasi-incidents, vulnérabilités, tactiques des attaquants, indicateurs de compromission, recommandations de configuration. Le partage reste volontaire ; ce que la norme impose, c’est la discipline qui l’entoure : lorsqu’il a lieu, il doit être régi par un accord définissant son périmètre et ses outils de protection.
C’est ici qu’intervient la précision qui a surpris plus d’un responsable IT : selon l’ACN, entrent dans cette catégorie les contrats ayant pour objet, même partiellement, des services de cybersécurité. NOC, MDR, SOC, CSOC, CERT, Vulnerability Assessment et Penetration Test, Red Teaming, Cyber Threat Intelligence : la liste des services que presque toute entreprise structurée achète depuis des années, souvent sans avoir jamais relu les clauses de confidentialité des données échangées.
Une question qui concerne aussi les individus, et pas seulement les services juridiques
Les professionnels de la sensibilisation le savent : derrière chaque accord de partage se cache une relation humaine. La personne qui gère la relation avec le fournisseur du SOC sait-elle quelles informations peuvent être transmises par e-mail et lesquelles ne le peuvent pas ? Celui qui reçoit un rapport de Penetration Test comprend-il que ce document, s’il est mal partagé, devient une cartographie des vulnérabilités de l’entreprise offerte gratuitement à ceux qui ne devraient pas la voir ?
Les contrats fixent les limites. Les individus les respectent, ou les ignorent, chaque jour, lorsqu’ils joignent un fichier à un ticket, lorsqu’ils transfèrent une alerte à un collaborateur externe sans vérifier la classification du contenu, lorsqu’ils utilisent un canal non prévu parce que « c’était urgent ». La directive NIS2 formalise des obligations juridiques ; la culture organisationnelle décide si ces obligations restent sur le papier ou deviennent un comportement quotidien.
Les échéances à garder à l’esprit
L’ACN a prévu une application progressive. Pour la mise à jour annuelle 2025, seul ce qui a été signé après l’entrée en vigueur du décret doit être notifié. Les accords précédents, signés il y a des années sans forcément penser à la directive NIS2, doivent être analysés et éventuellement adaptés d’ici la mise à jour annuelle 2026. Le délai général pour se conformer à la prescription, en cohérence avec l’adoption des mesures de sécurité de base, est fixé à octobre 2026.
Il faut prendre cela pour ce que c’est, et non comme un alibi pour procrastiner. Retarder l’état des lieux, c’est risquer d’arriver à l’échéance avec des contrats jamais relus, des informations partagées depuis des années sans périmètre clair, et des responsabilités que personne n’a jamais réellement attribuées. Quiconque attend le dernier trimestre 2026 pour ouvrir le tiroir des contrats fournisseurs y trouvera, presque certainement, plus d’une surprise.
Que faire, concrètement
Il n’est pas nécessaire de produire en toute hâte un nouveau document pour chaque fournisseur. Il faut partir d’une cartographie réelle : qui fournit des services de SOC, MDR, VA/PT, Red Teaming ou Threat Intelligence, quelles informations sont réellement échangées avec chacun, et ce que dit déjà le contrat en vigueur. À partir de là, on évalue si un accord dédié est nécessaire ou s’il suffit d’intégrer des clauses de confidentialité dans l’accord existant.
Et puis, l’étape souvent omise : les personnes qui gèrent opérationnellement ces relations au sein de l’entreprise doivent être informées de ce que signifie l’accord en pratique. Pas un simple webinaire isolé, mais un parcours qui familiarise avec la distinction entre information partageable et information à protéger, ainsi qu’avec les conséquences concrètes d’un échange effectué sans attention.
L’essentiel à retenir
L’article 17 demande de rendre explicite ce qui se produit déjà : l’échange d’informations sensibles avec ceux qui gèrent notre défense numérique. Il n’est pas nécessaire de réécrire entièrement la sécurité de l’entreprise. Les aspects techniques et juridiques peuvent être délégués à des spécialistes. Le facteur humain, c’est-à-dire les personnes qui décident chaque jour de ce qu’elles écrivent dans un ticket ou joignent à un e-mail, reste le point sur lequel nous construisons notre approche de la formation : un accord bien rédigé ne vaut que par les habitudes de ceux qui l’appliquent au quotidien.
