Clauses de cybersécurité dans les contrats : ENS, NIS2, DORA et AI Act.

Dans un contrat technologique, il faut exiger cinq blocs : une certification ou déclaration de conformité en vigueur, dont le périmètre couvre le service (ENS, ISO 27001), une notification des incidents avec des délais précis, un droit d'audit, des preuves documentaires vérifiables, et un contrôle de la sous-traitance assorti d'une stratégie de sortie. L'ENS, NIS2, DORA et l'AI Act ajoutent chacun leurs propres nuances, détaillées norme par norme.

En bref : qui contracte une prestation technologique répond de ce que fait son prestataire : le RGPD l'exige dans les contrats de sous-traitance de données, NIS2 impose de gérer le risque de la chaîne d'approvisionnement, DORA fait de même pour les tiers TIC du secteur financier, et l'ENS (schéma national de sécurité espagnol, décret royal 311/2022) s'applique aux prestataires du secteur public. Le contrat est le moyen concret de transférer cette responsabilité : certifications au périmètre vérifié, délais de notification, droit d'audit, preuves documentaires et une sortie ordonnée. Vous trouverez ci-dessous le tableau critère → preuve → clause, des rédactions types et une checklist finale.

Je relis des contrats technologiques des deux côtés de la table : celui de l'acheteur et celui du prestataire qui veut répondre à un appel d'offres. Le schéma se répète : des pages entières sur les prix et les niveaux de service, puis un paragraphe générique sur la sécurité qui n'engage à rien. C'est pourtant ce paragraphe qui décide qui paie les pots cassés en cas d'incident. Voici quel critère exiger, quelle preuve le démontre et quelle clause le formalise.

Quelles clauses de cybersécurité exiger dans un contrat (réponse rapide)

Si vous ne pouvez négocier que cinq points, négociez ceux-ci :

• Conformité démontrable. Certification ou déclaration de conformité en vigueur (ENS, ISO 27001) dont le périmètre couvre le service contracté, maintenue pendant toute la durée du contrat.
• Notification des incidents avec des délais en heures. Pas une « notification diligente » : un délai en heures depuis la détection, un canal précis et un contenu minimal de l'avis.
• Droit d'audit. Pouvoir auditer le prestataire, directement ou via un tiers, et accéder aux rapports existants.
• Preuves documentaires. Politiques de sécurité, gestion des incidents, tests de continuité et résultats d'audit, mis à jour périodiquement.
• Sous-traitance encadrée et sortie ordonnée. Approbation préalable des sous-traitants significatifs, restitution et suppression certifiée des données, et un plan de sortie qui évite tout enfermement (lock-in).

Le reste n'est qu'une déclinaison de ces cinq blocs selon la norme qui vous concerne.

Pourquoi vous êtes responsable de ce que signe votre prestataire

Externaliser un service n'externalise pas le risque. Cette idée traverse toute la réglementation de cybersécurité en Espagne, et chaque cadre la formule à sa manière :

• RGPD. L'article 28 exige des sous-traitants présentant des garanties suffisantes et un contrat de sous-traitance au contenu minimal ; l'article 32 exige des mesures adaptées au risque. Si votre sous-traitant faillit, c'est votre entreprise qui reste responsable devant l'AEPD (l'Agence espagnole de protection des données).
• NIS2. La directive NIS2 impose aux entités essentielles et importantes de gérer la sécurité de la chaîne d'approvisionnement : vous devez évaluer le risque qu'introduisent vos prestataires directs.
• DORA. Le règlement DORA fait du risque lié aux tiers TIC une obligation centrale pour les entités financières, qui doivent tenir un registre de leurs accords avec les prestataires technologiques et y inclure des contenus précis.
• ENS. Le décret royal 311/2022 s'applique aussi aux entreprises privées qui fournissent des services au secteur public, avec des mesures spécifiques sur la contractualisation de services externes et la protection de la chaîne d'approvisionnement.

La conséquence est la même : « c'était la faute de mon prestataire » n'est pas une défense recevable devant le régulateur. Le contrat transforme votre responsabilité légale en obligations opposables au prestataire.

Critères, preuves et clauses par norme : le tableau de référence

Le tableau résume ce que je vérifie en relisant un contrat : le critère, la preuve qui le démontre et la clause qui le formalise. Les rédactions complètes suivent.

Clauses ENS : conformité, catégorie et périmètre de la déclaration

L'ENS entre en jeu lorsque le contrat concerne des services fournis à une administration publique : logiciels, hébergement, sites électroniques, maintenance de systèmes. Les cahiers des charges exigent de plus en plus la conformité à l'ENS comme condition pour contracter, et l'obligation se transmet en cascade à l'adjudicataire et à ses sous-traitants. Si vous êtes du côté du prestataire, je développe le sujet dans mon guide sur l'ENS pour les prestataires de l'administration.

Ce que la clause doit prévoir :

• Conformité dans la bonne catégorie. Il ne suffit pas de « disposer de l'ENS » : la certification ou la déclaration doit correspondre à la catégorie (BASIQUE, MOYENNE ou HAUTE) du système que le service soutient.
• Périmètre couvrant le service. L'erreur la plus fréquente : des certificats bien réels dont le périmètre n'inclut pas la plateforme ou le centre de données à partir duquel le service est fourni.
• Maintien pendant toute la durée du contrat. Renouveler la conformité et signaler immédiatement toute perte, suspension ou modification de son périmètre.

Rédaction indicative : « Le prestataire justifie de sa conformité au schéma national de sécurité (ENS, décret royal 311/2022) en catégorie [BASIQUE/MOYENNE/HAUTE] au moyen d'une certification dont le périmètre couvre les services objet du présent contrat, et s'engage à la maintenir en vigueur pendant toute sa durée, en signalant sous [X] jours ouvrés toute perte, suspension ou modification de son périmètre. »

Clauses NIS2 : chaîne d'approvisionnement et notification des incidents

Si votre entreprise est une entité essentielle ou importante au sens de NIS2, vos prestataires directs font partie de votre analyse de risques : la directive inclut la sécurité de la chaîne d'approvisionnement parmi ses mesures obligatoires. Vous avez en outre des délais stricts pour notifier les incidents significatifs — alerte précoce dans les 24 premières heures et notification sous 72 heures —, donc votre prestataire doit vous prévenir bien avant.

Ce que la clause doit prévoir :

• Mesures proportionnées au risque. Engagement à appliquer des mesures cohérentes avec celles que la norme vous impose à vous-même, et non une « sécurité raisonnable » indéfinie.
• Notification en heures, pas en jours. Un délai depuis la détection qui laisse une marge pour votre alerte précoce, avec un contenu minimal : ce qui s'est passé, ce qui est affecté et ce qui a été fait.
• Coopération dans l'investigation. Collaborer à l'analyse de l'incident, conserver les preuves et fournir les informations demandées par l'autorité compétente.

Rédaction indicative : « Le prestataire notifiera au client tout incident de sécurité affectant ou susceptible d'affecter le service dans un délai maximal de [X] heures depuis sa détection, par le canal désigné, en incluant une description, les systèmes affectés et les mesures prises, et coopérera à son investigation ainsi qu'aux communications obligatoires aux autorités. »

Clauses DORA : prestataires TIC essentiels et stratégie de sortie

DORA est la norme la plus contractuelle des quatre : elle oblige les entités financières à tenir un registre d'informations sur leurs accords avec les prestataires TIC et fixe les contenus que ces contrats doivent inclure. Si vous vendez de la technologie à des banques, des assureurs ou des établissements de paiement, ces exigences apparaîtront dans la négociation ; pour les fonctions essentielles ou importantes, l'exigence est renforcée.

Ce que la clause doit prévoir :

• Description complète du service. Fonctions couvertes, sites depuis lesquels il est fourni et localisation des données traitées.
• Niveaux de service et assistance en cas d'incident. Indicateurs mesurables et obligation d'assistance lorsque l'incident affecte le service.
• Droits d'accès, d'inspection et d'audit. Pour l'entité et, le cas échéant, pour ses superviseurs.
• Stratégie de sortie. Délais de préavis, transition assistée et réversibilité des données, sans interrompre la fonction que soutient le service.

Rédaction indicative : « À la résiliation du contrat, quelle qu'en soit la cause, le prestataire apportera l'assistance nécessaire à la transition ordonnée du service pendant [X] mois, y compris la restitution des données dans un format structuré et d'usage courant, la suppression certifiée des copies et le maintien des niveaux de service pendant la transition. »

Clauses AI Act : documentation technique et usage des systèmes d'IA

Le règlement (UE) 2024/1689, l'AI Act, s'applique de façon échelonnée ; le gros des obligations pour les systèmes à haut risque entre en vigueur en août 2026, comme je le résume dans mon guide sur les obligations de l'AI Act. Pour qui contracte, le problème est double : votre prestataire peut utiliser l'IA sans que vous le sachiez, et vous, en tant que déployeur du système, assumez des obligations propres de supervision et d'usage correct.

Ce que la clause doit prévoir :

• Déclaration d'usage de l'IA. Le prestataire déclare si le service intègre des systèmes d'intelligence artificielle, lesquels et dans quel but, et signale les changements pertinents.
• Documentation et notice d'utilisation. Pour les systèmes à haut risque, la documentation technique et la notice exigées par le règlement, afin que vous puissiez respecter vos propres obligations lors de leur déploiement.
• Support à la supervision humaine. Journaux d'activité, possibilité d'intervention et traçabilité des décisions.

Rédaction indicative : « Le prestataire déclare les systèmes d'intelligence artificielle intégrés au service à l'annexe [X], s'engage à tenir cette liste à jour et, pour les systèmes classés à haut risque au sens du règlement (UE) 2024/1689, à remettre la documentation technique et la notice d'utilisation nécessaires pour que le client respecte les obligations qui lui incombent. »

Comment vérifier les preuves fournies par le prestataire

Une clause bien rédigée ne vaut rien si vous acceptez les preuves sans les vérifier. Quatre vérifications rapides :

• Certificat ENS : vérifiez-le. La conformité à l'ENS est publique et vérifiable ; j'explique pas à pas comment consulter la liste des entreprises certifiées ENS. Contrôlez l'entité, la catégorie, le périmètre et la validité.
• Organisme certificateur accrédité. Vérifiez que l'entité ayant émis le certificat est accréditée par l'ENAC (l'organisme national d'accréditation espagnol) pour cette activité. Un « certificat » émis par une entité non accréditée n'a aucune valeur.
• ISO 27001 avec son périmètre et sa SoA. Demandez le certificat et sa déclaration d'applicabilité (SoA) : c'est là que vous voyez quels contrôles sont réellement appliqués. Un certificat qui couvre une autre unité d'affaires ou un autre centre de données ne vous protège pas.
• Preuves opérationnelles récentes. Rapport du dernier audit, tests de continuité récents et procédure de gestion des incidents avec sa date de révision. Un document sans date en dit plus par son silence.

Checklist des clauses par norme

Utilisez-la comme relecture finale avant signature, en ne cochant que les normes qui vous concernent.

ENS (le contrat concerne des services du secteur public) :

• Conformité ENS dans la catégorie exigée par le cahier des charges ou le système.
• Périmètre de la certification couvrant le service contracté.
• Maintien de la conformité et signalement de toute perte ou modification.
• Transfert des obligations ENS aux sous-traitants.

NIS2 (vous êtes une entité essentielle ou importante) :

• Mesures de sécurité cohérentes avec vos propres obligations.
• Notification des incidents en heures, avec canal et contenu convenus.
• Coopération dans l'investigation et conservation des preuves.
• Prestataire intégré à votre analyse de risques de la chaîne d'approvisionnement.

DORA (vous êtes une entité financière ou vous lui vendez) :

• Description du service, fonctions couvertes et localisation des données.
• Niveaux de service mesurables et assistance en cas d'incident.
• Droits d'accès, d'inspection et d'audit.
• Stratégie de sortie avec transition assistée et réversibilité.
• Données du contrat prêtes pour votre registre des tiers TIC.

AI Act (le service intègre ou peut intégrer de l'IA) :

• Déclaration des systèmes d'IA utilisés et de leur finalité.
• Documentation technique et notice d'utilisation pour le haut risque.
• Capacités de supervision humaine, journalisation et traçabilité.

Transversal (RGPD et bon sens) :

• Contrat de sous-traitance si le prestataire traite des données personnelles pour votre compte.
• Sous-traitance soumise à autorisation et avec transfert des obligations.
• Restitution et suppression certifiée des données à la fin du contrat.
• Conséquences convenues : pénalités, résiliation et répercussion des sanctions.

Erreurs dans la rédaction des clauses de cybersécurité (et comment les éviter)

Les contrats qui échouent le font généralement pour les mêmes raisons :

• Engagements génériques sans métrique. « Le prestataire appliquera des mesures de sécurité raisonnables » n'oblige à rien de vérifiable. Remplacez-le par des délais en heures, des objectifs de reprise et une périodicité d'audit : ce qui ne se mesure pas ne peut pas être réclamé.
• Accepter des certificats sans en vérifier le périmètre. Le certificat existe, il est valide, et il ne couvre pas le service que vous contractez. Demandez toujours le document de périmètre et, pour l'ISO 27001, la déclaration d'applicabilité.
• Copier des clauses d'un autre secteur sans les adapter. Exiger la stratégie de sortie de DORA à un prestataire d'affichage numérique renchérit l'offre et use la négociation. Chaque clause doit répondre à une obligation réelle qui vous incombe.
• Ne pas définir les conséquences. Sans pénalité, sans droit de résiliation ni voie de répercussion des sanctions causées par le prestataire, la clause reste décorative.
• Oublier la sous-traitance en cascade. Votre prestataire est conforme, mais pas son sous-traitant. Les obligations doivent être transmises par écrit à toute la chaîne.
• Exiger plus que ce que le marché peut offrir. Demander la catégorie HAUTE de l'ENS quand la catégorie BASIQUE suffit laisse l'appel d'offres infructueux ou le renchérit sans gain de sécurité. L'exigence doit être calibrée sur le risque réel.

Conclusion : la clause ne vaut que ce que vaut sa preuve

Un contrat technologique sans clauses de cybersécurité vérifiables est un transfert de risque vers vous : c'est vous qui répondez devant le régulateur, et votre prestataire ne répond devant personne. Nul besoin de réinventer quoi que ce soit : les cinq blocs de cet article — conformité avec périmètre, notification avec délais, audit, preuves et sortie ordonnée — couvrent l'immense majorité des cas.

Si vous préparez un cahier des charges, si vous négociez avec un prestataire ou si l'on vient de vous demander ces clauses et que vous ne savez pas par où commencer, racontez-moi votre situation et voyons cela ensemble, sans engagement.

Votre entreprise a-t-elle besoin de se certifier pour répondre à ce qu'exigent ces contrats ? Découvrez mon service de conseil en ENS pour les entreprises qui veulent répondre à des appels d'offres ou devenir prestataires de l'administration.

Questions fréquentes sur les clauses de cybersécurité dans les contrats

Quels critères dois-je exiger pour la conformité à NIS2, DORA, l'ENS et l'AI Act dans mes contrats ?

Quatre blocs : une certification ou déclaration de conformité en vigueur (ENS, ISO 27001), des engagements de notification des incidents avec des délais précis, un droit d'audit sur le prestataire et des preuves documentaires (SoA, rapports d'audit, politiques). Chaque norme ajoute ses propres nuances : l'ENS exige la bonne catégorie, NIS2 la gestion de la chaîne d'approvisionnement, DORA la stratégie de sortie et l'AI Act la documentation technique des systèmes d'IA.

Quelles preuves de conformité puis-je demander à un prestataire ?

Un certificat de conformité ENS (vérifiable dans la liste publiée par le CCN, le Centre national de cryptologie espagnol), un certificat ISO 27001 avec sa déclaration d'applicabilité (SoA), des rapports d'audit d'un tiers, des politiques de sécurité et de gestion des incidents, et des tests de continuité d'activité. Demandez toujours le périmètre : un certificat qui ne couvre pas le service contracté ne vaut rien.

Puis-je exiger l'ENS d'un prestataire privé ?

Oui, lorsque le contrat concerne des services fournis à une administration publique : le décret royal 311/2022 étend ses exigences aux prestataires privés qui traitent des informations ou des systèmes du secteur public, et les cahiers des charges des appels d'offres le prévoient de façon de plus en plus explicite.

Que se passe-t-il si le prestataire ne respecte pas les clauses de cybersécurité ?

Cela dépend de ce qui a été convenu : pénalités, résiliation du contrat et répercussion des sanctions qui vous seraient imposées par sa faute. C'est pourquoi il convient de convenir de métriques vérifiables (délais de notification en heures, RTO/RPO, périodicité des audits) et non d'engagements génériques de « sécurité raisonnable », qui n'obligent à rien de réclamable.

Un certificat ISO 27001 peut-il remplacer la conformité à l'ENS ?

Non. Ce sont des cadres complémentaires mais non équivalents : si le cahier des charges exige l'ENS, il faut la certification ou la déclaration de conformité ENS dans la catégorie correspondante. L'ISO 27001 peut accélérer la mise en conformité car de nombreux contrôles coïncident, mais elle ne la remplace pas.

Quel délai de notification des incidents dois-je convenir avec un prestataire ?

Celui qui vous permet de respecter vos propres obligations : le RGPD accorde 72 heures pour notifier l'AEPD et NIS2 exige une alerte précoce dans les 24 premières heures, donc votre prestataire doit vous prévenir bien avant. Convenez d'un délai en heures depuis la détection, avec un canal désigné et un contenu minimal de l'avis, et non d'une « notification diligente » sans métrique.

Sources

• Décret royal 311/2022 (ENS) · BOE
• Directive (UE) 2022/2555 (NIS2) · EUR-Lex
• Règlement (UE) 2022/2554 (DORA) · EUR-Lex
• Règlement (UE) 2024/1689 (AI Act) · EUR-Lex
• CCN-CERT · Centre national de cryptologie
• ENISA · Agence de l'UE pour la cybersécurité
• ENAC · Organisme national d'accréditation (Espagne)