NIS2 2026 – certificat de cybersécurité du fournisseur, écart & retest | Word/PDF/Excel

Votre fournisseur système essentiel affirme que la sécurité est satisfaisante, mais ne peut présenter de test récent des comptes administrateurs, des mises à jour de sécurité ou de la restauration. Comment documentez-vous l'écart, exigez-vous des conditions raisonnables, obtenez-vous un véritable contre-test et communiquez-vous le risque à la direction responsable ? Ce pack spécialisé NIS2 contient des modèles pour le contrôle cyber des fournisseurs basé sur les risques – de la déclaration d'auto-évaluation fondée sur des faits à la lettre de demande de mesures correctives, au contre-test et à la décision.

Actualité juridique : La loi suédoise sur la cybersécurité (2025:1506) est entrée en vigueur le 15 janvier 2026. Au chapitre 2, article 3, paragraphe 4, la sécurité de la chaîne d'approvisionnement est désignée comme l'un des domaines des mesures de sécurité appropriées et proportionnées pour les opérateurs d'activités couverts par la loi. Selon l'article 21.2 d et 21.3 de la directive NIS2, les risques liés aux fournisseurs directs et aux prestataires de services doivent être évalués, notamment leurs vulnérabilités spécifiques et leurs pratiques de cybersécurité. MCFFS 2026:11 s'applique à partir du 1er octobre 2026 et précise les mesures de sécurité pour les opérateurs concernés. Voir la loi sur la cybersécurité et le règlement en vigueur de la NCSC.

Délimitation importante : Toutes les entreprises suédoises ou leurs fournisseurs ne sont pas automatiquement couvertes par la loi sur la cybersécurité. L'opérateur concerné doit d'abord évaluer sa propre portée juridique et les risques concrets liés aux fournisseurs. Il n'existe pas de « certificat de fournisseur NIS2 » général et obligatoire délivré par une autorité, ni de délais universels de 14 ou 30 jours pour les lettres de demande de mesures correctives privées ordinaires. Un formulaire rempli ne certifie pas la cybersécurité et ne remplace pas un test technique.

ZIP numérique complet pour 79 SEK : cinq modèles de travail suédois ainsi qu'un guide d'utilisation suédois et un anglais – tous au format Word (DOCX) modifiable et PDF A4 consultable et imprimable. De plus, un classeur Excel (XLSX) avec neuf onglets, 612 formules administratives et 36 tests de scénarios validés. Au total 7 DOCX + 7 PDF + 1 XLSX = 15 fichiers clients. Cinq documents de travail suédois, deux guides, sept documents indépendants ; les copies PDF ne sont pas remplissables de manière interactive.

À qui convient le contrôle des fournisseurs NIS2 ?

Les entreprises qui ont évalué qu'elles sont couvertes par la loi sur la cybersécurité – par exemple certains acteurs de l'énergie, des transports, de l'alimentation, des infrastructures numériques et des secteurs essentiels pertinents – et qui font appel à des services d'exploitation informatique, SaaS, cloud, des développeurs de systèmes, des services de sécurité ou d'autres fournisseurs pouvant affecter les réseaux et les systèmes d'information. Les publics cibles sont en particulier le RSSI, les responsables de la sécurité informatique, les achats, la conformité, les propriétaires de risques et d'entreprise, l'audit interne et les responsables des marchés publics.

Il peut également être utilisé par un fournisseur qui doit préparer une base concrète pour un client réglementé par NIS2, mais le fournisseur ne doit pas prétendre que le client ou le fournisseur a été automatiquement certifié. Le contrat lui-même et les éventuelles règles sectorielles spécifiques doivent être vérifiés.

Liste exacte des fichiers – 15 fichiers clients

Excel – neuf onglets et 36 tests de fonctionnalité vérifiés

Le classeur contient Lisez-moi, Aperçu, Fournisseurs, Certificat, Contrôles, Écarts, Contre-test, Décision et Sources. Chaque dossier est lié à un ID interne unique et à des références de preuves réelles. Le registre est réinitialisé à la livraison et ne contient aucune donnée client ni dossier de démonstration.

Les 612 formules peuvent fournir des signaux administratifs tels que « TESTER LA CHAÎNE D'APPROVISIONNEMENT », « TESTER L'APPLICABILITÉ », « VÉRIFIER LA PREUVE DE LA SOURCE », « MANQUE DE TEST », « LACUNE DE SÉCURITÉ », « CLARIFIER LE CONTRAT », « DÉFINIR LE DÉLAI MANUELLEMENT », « DOCUMENTER L'ENVOI », « ERREUR PERSISTANTE » et « ESCALADER LE RISQUE ÉLEVÉ ». Pour des saisies complètes, un support pour un examen manuel s'affiche à la place, jamais « approuvé par NIS2 ».

36 tests de scénarios techniques sur 36 ont réussi après la correction des erreurs de gestion des quantités dans l'aperçu. Un test vérifie en particulier que un risque élevé ne peut pas être marqué comme automatiquement clôturé même lorsque tous les champs de décision et d'attestation sont remplis et que l'utilisateur souhaite fermer le dossier. Les 12 valeurs d'aperçu du client sont à 0 avant que le premier fournisseur réel ne soit enregistré.

Flux de travail pratique pour un fournisseur présentant une lacune de sécurité

1. Évaluez la portée. Votre entreprise est-elle essentielle ou importante selon la loi sur la cybersécurité ? Documentez la décision, le secteur et la source dans le formulaire 01.
2. Délimitez le service concerné. Identifiez la partie contractante directe, les systèmes auxquels le fournisseur accède, les données concernées et les conséquences d'une interruption cyber.
3. Demandez des preuves de sécurité proportionnées. Demandez la version réelle et des preuves de MFA, d'accès privilégié, de procédures de vulnérabilité, de sauvegarde ou de procédure d'incident selon le risque identifié.
4. Évaluez un éventuel certificat. Une réponse oui signée, une déclaration ISO ou une politique de fournisseur n'est pas la même chose qu'un test vérifié du système concerné.
5. Envoyez une exigence de mesure concrète. Indiquez sur quel contrat et sur quel résultat de contrôle factuel l'exigence se fonde. Définissez un délai réaliste selon le contrat ; n'inventez pas un délai de réponse universelement légal.
6. Effectuez un contre-test et conservez la chaîne de preuves. Vérifiez les configurations réelles, la mesure effectuée, la date et les risques persistants. Ne partagez pas de clés secrètes ou de mots de passe dans des feuilles de calcul ouvertes.
7. Décidez séparément. Le responsable du risque habilité prend position sur la poursuite de l'exploitation, les protections compensatoires, l'escalade, la modification du contrat ou la sortie – sans décision positive automatique de l'Excel.

Fondement juridique – ce que les règles impliquent réellement

Loi sur la cybersécurité (2025:1506), chapitre 2, article 3 : les mesures de sécurité techniques, organisationnelles et liées à l'exploitation doivent être appropriées, proportionnées et basées sur les risques. Le point 4 concerne la sécurité de la chaîne d'approvisionnement et le point 6 l'évaluation de l'efficacité des mesures de sécurité. Lisez le texte intégral sur le site du Parlement.

Directive NIS2, article 21.2 d et 21.3 : les vulnérabilités spécifiques aux fournisseurs et la qualité du travail de sécurité des fournisseurs directs, y compris le développement sécurisé, doivent être prises en compte. C'est une base pour un contrôle basé sur les risques – pas un formulaire universel légal pour tous les fournisseurs. Directive officielle de l'UE.

MCFFS 2026:11 : les règlements et conseils généraux sur les mesures de sécurité et la formation de la direction pour les opérateurs d'activités essentielles et importantes sont en vigueur depuis le 1er octobre 2026. Vérifiez également les règles spéciales pertinentes pour votre propre secteur. Source officielle de la NCSC.

Limites de responsabilité : le fait qu'un fournisseur atteste certaines mesures ne dégage pas le client de l'obligation d'évaluer lui-même si sa propre sécurité est suffisante. En plus de NIS2, le RGPD, les règlements sectoriels, les contrats ou les règles de l'UE spécifiques à un secteur peuvent impliquer d'autres obligations. Ce pack n'est pas une déclaration d'incident, un formulaire d'autorité, un service de test d'intrusion ou une décision de sanction.

Différence avec les autres produits de Mallbutiken

Pack de modèles NIS2 – Loi sur la cybersécurité 2026 est un matériel plus large pour la gouvernance de la cybersécurité de votre propre organisation. Audit de fournisseur & Audit fournisseur est un contrôle général du fournisseur/de la qualité. Contrat de fournisseur informatique DORA a une application financière DORA. Ce nouveau produit se concentre spécifiquement sur les preuves de cybersécurité pertinentes pour NIS2, l'exigence écrite de mesure et le contre-test vérifié chez un fournisseur spécifique.

Questions fréquentes sur le certificat cyber du fournisseur NIS2

Tous les fournisseurs doivent-ils signer un certificat NIS2 ?

Non. Il n'existe pas de certificat de fournisseur officiel universel que tous les fournisseurs doivent remplir. L'entreprise choisit des mesures de contrôle appropriées et proportionnées en fonction du risque réel et des contrats applicables.

Un petit fournisseur SaaS est-il automatiquement soumis à NIS2 si le client l'est ?

Non. Les propres obligations du fournisseur doivent être évaluées séparément. Un client réglementé par NIS2 peut néanmoins avoir besoin d'exiger des exigences de sécurité basées sur le contrat et le risque.

Le modèle peut-il être utilisé comme certificat ISO 27001 ?

Non. L'auto-déclaration d'un fournisseur, ou un formulaire de questions rempli, n'est pas une certification ISO 27001, un audit indépendant ou une évaluation formelle d'une autorité.

Que se passe-t-il lorsque le fournisseur affirme qu'une lacune a été corrigée ?

Documentez la déclaration du fournisseur et vérifiez la preuve réelle et le contre-test par rapport au bon système/version. Les erreurs persistantes sont marquées et nécessitent une prise de position séparée.

Le fournisseur doit-il répondre à l'exigence de mesure dans les 30 jours ?

Non. Les exigences générales aux fournisseurs de la loi sur la cybersécurité ne précisent pas un tel délai universel pour les lettres de demande de mesures privées. Partez du contrat, de la situation de sécurité réelle et d'un calendrier raisonnable.

Excel peut-il approuver automatiquement la sécurité du fournisseur ?

Non. Les formules identifient le besoin de contrôle administratif et ne peuvent jamais afficher « approuvé juridiquement » ou « certifié ». Un examen technique et juridique réel est requis.

Le signalement d'incident à l'autorité est-il inclus ?

Non. Si un incident cyber significatif s'est produit, les règles d'incident de la loi et les règlements doivent être évalués séparément. Ce pack concerne le contrôle du fournisseur, pas le signalement officiel d'incident.

Tous les modèles sont-ils en anglais ?

Non. Cinq modèles de travail, le guide suédois et Excel sont en suédois. Un English User Guide est inclus pour l'utilisation mais n'est pas une traduction complète des cinq modèles principaux.

Les fichiers PDF sont-ils remplissables numériquement ?

Non. Les fichiers PDF sont des versions A4 consultables et imprimables. Modifiez les fichiers Word lorsque vous remplissez vos propres données.

Sources juridiques officielles et transparence

Sources : Loi sur la cybersécurité 2025:1506 ; Règlement sur la cybersécurité 2025:1507 ; Directive NIS2 2022/2555 ; MCFFS 2026:11 ; Guide de la NCSC sur les mesures de sécurité.

Version 1.0. Contrôle des sources juridiques assisté par l'IA et QA technique des fichiers le 9 novembre 2026. Aucun juriste externe, autorité, certificateur ou auditeur technique n'a approuvé le matériel. Le texte PDF et les 14 pages A4 sont vérifiés, Excel contient 612 formules et 36/36 tests de scénarios sont validés, et le ZIP est contrôlé pour l'intégrité. Utilisez les modèles comme base pour des décisions réelles et séparées sur l'applicabilité, la sécurité, les contrats et les risques.