Elles naissent d'une obligation qui pèse sur lui. Elles vous engagent par votre signature, pas par la loi.
À des obligations de sécurité, à des délais, et parfois à une somme d'argent. Ces clauses descendent d'une règle européenne qui demande aux grandes entreprises de veiller à la sécurité de leurs fournisseurs directs. Votre client la répercute dans ses contrats, et il fait son travail. Elle ne vous atteint pas par la loi, elle vous atteint par votre signature. Les engagements les plus lourds sont un délai de signalement compté en heures, un droit d'audit chez vous, et une indemnité forfaitaire en cas de manquement. Ce dernier point appelle une vérification d'assurance : beaucoup de polices écartent ce que vous acceptez au-delà de vos obligations légales.
La directive européenne NIS 2 range la sécurité de la chaîne d'approvisionnement parmi les mesures qu'elle impose aux entreprises régulées, celles qu'elle nomme entités essentielles ou importantes selon leur secteur et leur taille. Elle leur demande de tenir compte des vulnérabilités de chacun de leurs fournisseurs directs. Leur seul outil pour cela est le contrat.
Vous n'êtes donc pas régulé par ricochet : la directive ne crée aucune obligation à votre charge si votre entreprise n'entre pas dans son champ. Ce qui vous oblige, c'est la clause signée, et elle vous oblige immédiatement.
En France, le texte de transposition n'est pas encore adopté. Le projet de loi qui la transpose a été voté par le Sénat en mars 2025, puis examiné en commission spéciale à l'Assemblée nationale en septembre 2025. Au 5 août 2026, il attend son passage en séance publique, avant les décrets. Vos clients, eux, avancent déjà, souvent poussés par un groupe régulé ailleurs en Europe ou par leur propre donneur d'ordre.
Ces exigences figurent rarement dans le corps du contrat. Elles vivent dans une annexe, plan d'assurance sécurité ou charte fournisseur, qui se signe avec le reste et a la même force.
Une situation se distingue des autres. Si vous traitez des données personnelles pour le compte de votre client et sur ses instructions, le droit des données vous appelle sous-traitant. Le mot ne désigne pas ici la sous-traitance industrielle. Votre client, lui, reste celui qui décide à quoi servent ces données et comment : ce que le droit appelle le responsable de traitement. C'est la raison pour laquelle les instructions viennent de lui. Un contrat écrit devient alors obligatoire, dont l'article 28 du règlement européen fixe le contenu : instructions documentées, sécurité, sort des données en fin de prestation, et de quoi permettre les audits. Le droit d'audit n'est alors plus commercial, c'est le règlement : sa forme se discute, son principe non.
Une police de responsabilité, votre contrat d'assurance, répare le dommage que vous causez à autrui dans les limites qu'elle fixe. Un engagement envers un client déplace ces limites, que l'assureur n'a pas tarifées.
Une indemnité acceptée par contrat se rachète auprès de votre assureur
Les polices de responsabilité comportent très souvent une clause qui écarte l'aggravation de responsabilité née d'un engagement contractuel : renonciation à recours, par laquelle vous promettez de ne pas réclamer à votre client ce qu'il vous aura coûté ; indemnité forfaitaire acceptée au-delà de ce que la loi imposait. L'exclusion n'est pas une fatalité : elle se rachète, l'assureur acceptant de couvrir ce qu'il excluait, moyennant une prime et son accord écrit. Le réflexe utile est simple : transmettre le projet de contrat à votre assureur avant de signer, et garder sa réponse.
Plusieurs points se discutent avant la signature. Le plafond : le faire chiffrer plutôt que de le laisser ouvert. Le périmètre : limiter l'engagement aux systèmes qui servent ce client, pas à toute votre entreprise. Un grand compte qui protège sa chaîne accepte le plus souvent ces ajustements, parce qu'un engagement tenable lui sert mieux. Et le juge peut réduire une indemnité forfaitaire manifestement excessive, même sans qu'on le lui demande.
Ce que votre propre contrat cyber couvre est détaillé sur la page assurance cyber. Quand la faille vient de votre prestataire, la répartition s'inverse : voir le prestataire informatique piraté. Ce que NIS 2 attend des organes de direction est traité à part.
Les contrats commerciaux se renouvellent plus vite que les polices d'assurance. À chaque exigence nouvelle acceptée, le cabinet met à jour la liste de vos engagements et la soumet à l'assureur, avant qu'un sinistre ne la révèle.
Audit gratuit
Envoyez-nous l'annexe avant de la parapher. Nous reprenons chaque ligne, délai de signalement, droit d'audit, indemnité prévue en cas de manquement, et nous séparons ce que votre police suit de ce que vous porteriez seul.
Demander un audit en 30 minVos questions
Oui, par deux chemins, et il en existe un troisième à emprunter tout de suite. Un avenant se propose à tout moment, et un client qui a obtenu l'essentiel accepte souvent d'ajuster un plafond ou un délai. Le renouvellement offre la seconde occasion, dans un rapport de force différent puisque vous avez alors une exécution derrière vous. Le geste immédiat, lui, ne dépend que de vous : transmettez les clauses de sécurité à votre assureur et demandez-lui par écrit si elles entrent dans votre garantie. Sa réponse vous dira ce que vous portez seul, et c'est ce document qu'on vous réclamera si un incident survient avant que le contrat ait pu être repris.
Par la loi, non : aucun texte français n'impose cette certification à une entreprise du seul fait qu'elle fournit un grand compte. Par le contrat, oui, dès lors que vous l'avez signé, et le budget comme le calendrier deviennent alors les vôtres. Avant d'accepter, faites chiffrer la démarche, longue de plusieurs mois, qui mobilise des ressources internes rarement disponibles dans une PME. Beaucoup de donneurs d'ordre acceptent une étape intermédiaire : un questionnaire de sécurité renseigné et signé, l'attestation de certification de votre hébergeur, ou un engagement à certifier dans un délai convenu. Cette contre-proposition se formule avant la signature, pas après.
Les deux, car ils ne s'adressent pas aux mêmes destinataires. Le délai du contrat vous oblige envers votre client, et son dépassement se règle entre vous, le cas échéant par l'indemnité prévue. Les délais légaux visent l'autorité de protection des données et les services d'enquête, et ils courent en parallèle sans que l'un remplace l'autre. Un délai contractuel très court se tient à une condition : convenir que la première information peut être partielle. La nature de l'incident, l'heure de la découverte et les systèmes touchés suffisent à ce stade, le reste se complète à mesure que l'analyse avance. Faites écrire cette gradation dans le contrat, elle évite un manquement purement formel.
L'attestation résume la police, elle ne la remplace pas, et c'est la police qui décide en cas de sinistre. Vérifiez d'abord que le montant exigé correspond à un plafond par sinistre et non par année d'assurance, faute de quoi un second incident vous laisserait à découvert. Assurez-vous ensuite que l'activité exercée pour ce client figure bien dans celle que vous avez déclarée à la souscription. Regardez enfin la franchise, cette part qui reste à votre charge à chaque sinistre : un plafond confortable assorti d'une franchise élevée ne protège pas la trésorerie d'une PME. Et signalez à votre assureur que ce client vous fait signer des engagements de sécurité.
Oui, et c'est même ce que la logique de chaîne suppose : votre client sécurise ce qu'il achète, vous en faites autant. L'écart à surveiller est celui entre ce que vous promettez en amont et ce que vos fournisseurs vous doivent en aval. Si vous vous engagez à signaler un incident en quatre heures alors que votre hébergeur dispose contractuellement de vingt-quatre heures pour vous prévenir, la promesse est intenable dès le départ. Reprenez donc vos contrats fournisseurs dans le même mouvement, en commençant par le délai d'alerte, le plafond de responsabilité et le droit d'audit. Un fournisseur qui refuse tout engagement sur ces trois points vous laisse porter le risque à sa place.
Sources
Textes : directive (UE) 2022/2555, dite NIS 2, articles 21 et 23 ; RGPD, article 28 ; article 1231-5 du code civil, sur la clause pénale.
Transposition en France : dossier législatif du projet de loi résilience, dernière pièce déposée le 10 septembre 2025 ; ANSSI, avancement de la transposition. Sur l'exclusion visant les engagements contractuels : L'Argus de l'assurance.
Pour aller plus loin : ce que vous déclarez en souscrivant, sur la page questionnaire cyber et déclaration inexacte, et la responsabilité civile, le contrat qui répond des dommages causés à un tiers.
Cette page fait partie de nos réponses aux questions des employeurs.
Le cabinet : Accent Conseil est le nom commercial d'Accent Assurances, 80 rue de Paris, 93100 Montreuil. Courtier immatriculé à l'ORIAS sous le numéro 09049208 depuis le 30 avril 2009, registre consultable sur orias.fr.
Parce que notre métier chez Accent Conseil, c’est d’accompagner à la fois les décideurs dans la sélection des assurances les plus pertinentes, et les équipes qui sont les premières concernées par les options retenues.
