Les obligations NIS2 se propagent par contrat. Ce que demande vraiment le questionnaire d'un client, ce qu'il faut avoir, ce qui se négocie, et un modèle de…
Votre entreprise est trop petite pour NIS2. Vous avez vérifié : vous n'êtes pas dans les annexes, vous êtes sous les seuils de taille, aucun régulateur ne vous a jamais écrit. Puis un matin, les achats de votre plus gros client vous transfèrent un PDF intitulé quelque chose comme « Évaluation cybersécurité fournisseurs, directive NIS2 », quarante questions, deux semaines pour répondre, et une nouvelle annexe contractuelle jointe. Rien n'a dysfonctionné. C'est la directive qui fonctionne comme prévu. NIS2 régule environ vingt mille entités rien qu'en Italie, et chacune d'elles est légalement tenue de gérer la sécurité de ses fournisseurs directs. L'obligation ne s'arrête pas au périmètre : elle se propage vers l'extérieur par les contrats, jusqu'à des entreprises que la loi ne nomme jamais. En 2026, cette deuxième vague est exactement là où tout se joue. La logique est identique en France avec la transposition pilotée par l'ANSSI …