Une entreprise de 150 personnes travaille en moyenne avec plusieurs dizaines de prestataires informatiques, dont une poignée disposent d'un accès direct à son système d'information. Personne n'a le temps d'auditer cinquante fournisseurs. La bonne nouvelle : ce n'est pas ce qu'on vous demande. Ce qui est attendu, c'est de savoir lesquels comptent, et de pouvoir le démontrer.
Le risque fournisseur n'est plus théorique
Le panorama de la cybermenace 2025 de l'ANSSI consacre une section entière au ciblage des sous-traitants comme vecteur de compromission. L'agence y indique avoir été témoin, en 2025, de nombreuses compromissions d'entités par des attaquants en mesure de se latéraliser depuis les systèmes d'information de prestataires vers leurs clients. Elle cite le cas d'un attaquant ayant compromis un prestataire de nombreuses entités françaises puis, en tirant parti des interconnexions existantes et d'authentifiants volés, s'étant latéralisé sur le système d'information de plusieurs clients.
Le rapport documente aussi des compromissions par rançongiciel de prestataires ayant causé des impacts forts sur leurs clients, et relève que la généralisation de l'hébergement mutualisé permet aux attaquants d'obtenir les données de multiples entités en compromettant un unique prestataire.
Concrètement : le niveau de sécurité de votre entreprise inclut désormais celui de ses fournisseurs interconnectés. Ce n'est pas une opinion de consultant, c'est le constat opérationnel de l'agence nationale.
Ce que les textes exigent, texte par texte
Quatre cadres se superposent. Ils ne demandent pas la même chose, et il est utile de savoir lequel vous vise.
RGPD. Son article 28 impose de ne recourir qu'à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, et encadre par contrat le traitement effectué pour le compte du responsable de traitement. Ce cadre s'applique à toute entreprise, sans seuil.
NIS2. La directive (UE) 2022/2555 place explicitement, à l'article 21, paragraphe 2, point d), « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs » parmi les mesures de gestion des risques. En France, la loi de transposition n'était pas promulguée au 23 septembre 2026, le texte étant en première lecture à l'Assemblée nationale.
DORA. Pour les entités financières, le règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025, est nettement plus prescriptif : tenue d'un registre d'information sur l'ensemble des accords contractuels relatifs à l'utilisation de services TIC fournis par des tiers, mentions contractuelles obligatoires, exigences renforcées pour les fonctions critiques ou importantes.
ISO/IEC 27001:2022. L'annexe A consacre plusieurs contrôles aux relations avec les fournisseurs, de la définition des exigences de sécurité au suivi et à la revue des services fournis, en passant par la gestion de la chaîne d'approvisionnement TIC.
Le dénominateur commun de ces quatre textes n'est pas « auditez tout le monde ». C'est : identifiez, proportionnez, contractualisez, suivez.
Étape 1 — Segmenter en trois niveaux
La segmentation est le seul moment où l'on peut réellement gagner du temps. Elle repose sur deux questions, pas davantage : le fournisseur a-t-il un accès technique à votre SI ou à vos données ? Son indisponibilité arrête-t-elle une activité essentielle ?
| Niveau | Critère | Exemples | Traitement |
|---|---|---|---|
| Critique | Accès privilégié au SI ou arrêt d'activité en cas d'indisponibilité | Infogéreur, hébergeur du SI métier, éditeur de l'ERP | Évaluation approfondie + clauses + revue annuelle |
| Sensible | Traite des données personnelles ou confidentielles, sans accès privilégié | Paie externalisée, CRM, outil de signature | Questionnaire allégé + clauses RGPD + revue bisannuelle |
| Standard | Aucun accès, aucune donnée sensible | Fournitures, maintenance non informatique | Inscription à l'inventaire, rien de plus |
Dans les parcs que nous cartographions, le niveau critique représente rarement plus de cinq à huit fournisseurs, même pour une ETI. C'est là que doit aller 80 % de l'effort. Le piège classique consiste à envoyer un questionnaire de 120 questions aux cinquante fournisseurs : le taux de réponse s'effondre, les réponses obtenues ne sont pas exploitées, et la démarche meurt au bout d'un cycle.
Étape 2 — Le questionnaire qui tient en une page
Pour un fournisseur critique, dix questions correctement posées valent mieux qu'un formulaire exhaustif. Celles que nous utilisons en priorité :
- Disposez-vous d'une certification ou d'une qualification de sécurité en cours de validité ? Laquelle, sur quel périmètre, jusqu'à quelle date ?
- L'accès de vos équipes à nos systèmes est-il protégé par une authentification multifacteur ? Sans exception ?
- Comment sont gérés les comptes de vos collaborateurs quittant l'entreprise ou le projet ?
- Où sont hébergées nos données, et dans quel pays s'exerce le droit applicable à cet hébergement ?
- Quel est votre délai contractuel de notification en cas d'incident de sécurité nous concernant ?
- Sous-traitez-vous tout ou partie de la prestation ? À qui ?
- Quelle est votre politique de sauvegarde, et quand a-t-elle été testée pour la dernière fois ?
- Avez-vous subi un incident de sécurité significatif au cours des 24 derniers mois ?
- Quels engagements de disponibilité et quels délais de rétablissement figurent au contrat ?
- Que se passe-t-il pour nos données en fin de contrat : restitution sous quel format, suppression sous quel délai, avec quelle preuve ?
Deux remarques. La question 6 est la plus souvent oubliée et la plus révélatrice : elle fait apparaître la chaîne réelle derrière le contrat. La question 10 est celle qui se négocie le plus mal une fois le contrat signé — c'est donc au moment de l'évaluation initiale qu'il faut la poser.
Étape 3 — Contractualiser ce qui compte
Un questionnaire sans traduction contractuelle ne produit aucun droit. Pour les fournisseurs critiques et sensibles, quatre clauses forment le socle minimal.
Notification d'incident. Un délai chiffré, court, et une obligation d'information même en cas de suspicion. Sans cette clause, vous apprendrez la compromission de votre prestataire par la presse. Rappelons que le RGPD impose au responsable de traitement de notifier certaines violations à la CNIL dans les 72 heures : un fournisseur qui vous informe au bout d'une semaine vous place mécaniquement en infraction.
Localisation et sous-traitance ultérieure. Obligation d'information préalable et droit d'opposition en cas de changement d'hébergement ou de recours à un nouveau sous-traitant.
Droit d'audit ou équivalent. Sur les prestations critiques, soit un droit d'audit effectif, soit la transmission annuelle d'un rapport d'audit indépendant. La seconde option est souvent plus réaliste et tout aussi utile.
Réversibilité. Format de restitution des données, délai, assistance, preuve de suppression. C'est le poste qui coûte le plus cher lorsqu'il a été négligé.
Étape 4 — Réévaluer sans y passer l'année
La réévaluation systématique de tous les fournisseurs est le meilleur moyen d'épuiser la démarche. Nous recommandons un modèle par événements déclencheurs, complété d'une revue annuelle limitée au niveau critique.
Les déclencheurs à retenir : renouvellement ou modification substantielle du contrat, incident public affectant le fournisseur, changement d'actionnaire ou de localisation d'hébergement, extension du périmètre d'accès, expiration d'une certification. Ces cinq événements couvrent la quasi-totalité des dégradations réelles de risque.
C'est aussi là que l'outillage prend son sens. Dans les missions TPRM que nous conduisons, le registre des fournisseurs, les réponses aux questionnaires, les échéances de certification et les clauses associées sont tenus dans GALEA, où ils alimentent les contrôles de conformité correspondants et déclenchent les revues. La valeur n'est pas dans le stockage : elle est dans le fait que l'expiration d'une certification fournisseur devienne une tâche affectée à quelqu'un, avec une date, plutôt qu'une ligne oubliée dans un tableur.
Sources
- ANSSI / CERT-FR, Panorama de la cybermenace 2025, section « Le ciblage des sous-traitants comme vecteur de compromission »
- Directive (UE) 2022/2555 (NIS2), article 21 — EUR-Lex
- Règlement (UE) 2022/2554 (DORA) — EUR-Lex
- Règlement (UE) 2016/679 (RGPD), articles 28 et 33 — EUR-Lex
- ISO/IEC 27001:2022 — page officielle de la norme
- Assemblée nationale, dossier législatif du projet de loi résilience et cybersécurité
Liens consultés le 23 septembre 2026.
Questions fréquentes
Par combien de fournisseurs faut-il commencer ?
Par ceux qui disposent d'un accès privilégié à votre système d'information. Dans une PME, ils sont généralement moins de dix. Traiter correctement ces dix-là apporte plus de sécurité réelle qu'un questionnaire envoyé à l'ensemble du parc.
Un fournisseur certifié ISO 27001 est-il évalué d'office ?
Non. Une certification porte sur un périmètre déclaré, qui n'inclut pas toujours le service que vous achetez. Demandez systématiquement le certificat et sa déclaration d'applicabilité, et vérifiez que la prestation concernée entre bien dans le champ couvert.
Que faire si un fournisseur refuse de répondre ?
C'est une information en soi, à consigner. Selon la criticité, les options vont de la clause compensatoire renforcée à la recherche d'une alternative. En pratique, l'insertion de l'exigence dès l'appel d'offres résout la question mieux que toute relance après signature.