Sécurité de la chaîne d’approvisionnementCe qu’exigent NIS 2, DORA, le RGPD et ISO 27001
Une organisation peut avoir atteint un niveau de maturité cyber élevé en interne et rester vulnérable par ses fournisseurs, prestataires et sous-traitants. Les incidents SolarWinds, Kaseya ou Log4Shell ont démontré de façon éclatante que la chaîne d’approvisionnement constitue aujourd’hui l’un des vecteurs d’attaque les plus exploités par les acteurs malveillants. Selon l’ANSSI, les attaques ciblant l’écosystème de fournisseurs se sont multipliées ces dernières années, avec des scénarios de compromission passant par un éditeur logiciel, un prestataire de services ou la fourniture de composants vulnérables.
Pourquoi la chaîne d’approvisionnement est-elle un risque cyber majeur ?
La sécurité de la chaîne d’approvisionnement ne se résume pas à une clause dans un contrat. Elle implique une démarche structurée d’évaluation, de contractualisation et de suivi continu de la posture de sécurité de l’ensemble des tiers ayant accès aux systèmes ou aux données de l’organisation. C’est aussi une exigence explicite et renforcée de NIS 2, DORA, ISO 27001, RGPD et LPM.
DSI, RSSI, responsables achats ou responsables conformité : cette page vous présente les exigences clés d’une gestion des risques tiers conforme aux référentiels en vigueur, et les étapes concrètes pour la mettre en œuvre au sein de votre organisation.
La transformation numérique a profondément modifié la relation des organisations avec leurs prestataires. Les fournisseurs de services managés (MSP), les éditeurs de logiciels SaaS, les prestataires cloud et les sous-traitants disposent souvent d’accès directs, parfois étendus, aux systèmes d’information de leurs clients. Chacun de ces accès représente un risque potentiel.
L’ANSSI identifie plusieurs scénarios de menace liés à la chaîne d’approvisionnement :
- La compromission d’un éditeur logiciel dont les mises à jour sont utilisées comme vecteur d’attaque vers les clients
- L’attaque via un prestataire de services disposant d’accès privilégiés aux systèmes de l’organisation
- La fourniture de composants vulnérables intégrés dans les systèmes sans contrôle de sécurité préalable
Face à ces risques, l’ANSSI recommande une approche structurée en cinq axes : cartographier l’écosystème fournisseurs, évaluer leur maturité cyber, contractualiser les exigences de sécurité, superviser les accès tiers, et intégrer la Supply Chain dans les exercices de gestion de crise.
La chaîne d’approvisionnement au cœur des nouvelles réglementations
NIS 2 et DORA ont fait de la sécurité de la chaîne d’approvisionnement une exigence réglementaire explicite et contraignante. L’article 21.2(d) de la directive NIS 2 impose aux entités essentielles et importantes de prendre en compte les risques liés à leurs fournisseurs et prestataires de services directs. DORA va encore plus loin pour le secteur financier, avec un cadre complet de gestion des prestataires TIC couvrant les articles 28 à 44 du règlement.
Les points de contrôle communs
Cinq exigences fondamentales structurent toute démarche de gestion des risques liés aux tiers conforme aux standards reconnus.
L’évaluation cyber des prestataires critiques
Avant d’intégrer un prestataire dans son écosystème, et de façon régulière pendant toute la durée de la relation, l’organisation doit évaluer la maturité cyber de ses fournisseurs. Cette évaluation doit être proportionnée à la criticité du prestataire et à la nature de ses accès.
L’ANSSI recommande d’intégrer des critères de cybersécurité dans les processus d’achat, en vérifiant notamment les certifications obtenues par le prestataire (ISO 27001, HDS, qualification ANSSI…), ses pratiques de gestion des incidents, et sa capacité à démontrer le respect des exigences de sécurité applicables. Cette évaluation doit couvrir la période d’intégration, la durée d’utilisation et la phase de retrait du prestataire.
Les clauses de sécurité dans les contrats
La contractualisation des exigences de sécurité est le premier levier pour responsabiliser les prestataires. Tout contrat avec un tiers ayant accès aux systèmes ou aux données de l’organisation doit inclure des clauses de sécurité précises, incluant notamment :
- Les exigences techniques minimales applicables (MFA, chiffrement des données, gestion des accès)
- L’obligation de notification des incidents de sécurité dans un délai défini
- Le droit d’audit de sécurité avec un préavis raisonnable
- L’interdiction de sous-traiter sans accord écrit préalable
- Les pénalités contractuelles en cas de non-respect des obligations de sécurité
- Les conditions de transfert de données hors UE, en conformité avec le RGPD
Pour les sous-traitants traitant des données personnelles, l’article 28 du RGPD impose la mise en place d’un contrat de traitement de données (DPA) incluant des dispositions obligatoires précises : objet, durée, nature et finalité du traitement, obligations de confidentialité, mesures de sécurité, et conditions de recours à des sous-traitants ultérieurs.
Le registre des tiers avec niveau de criticité
L’organisation doit tenir un registre formalisé de l’ensemble de ses prestataires et sous-traitants, avec pour chacun une évaluation de sa criticité. Ce registre permet de prioriser les efforts de surveillance et de s’assurer qu’aucun tiers n’est oublié dans la démarche de gestion des risques.
Pour les entités du secteur financier soumises à DORA, ce registre est une obligation réglementaire explicite : il doit recenser l’ensemble des prestataires TIC, être mis à jour régulièrement, et être transmis annuellement à l’autorité compétente (AMF ou ACPR selon le cas).
Les critères de criticité à prendre en compte incluent la nature des accès accordés (accès aux systèmes critiques, aux données sensibles, aux environnements de production), la dépendance opérationnelle de l’organisation vis-à-vis du prestataire, et l’impact potentiel d’une défaillance ou d’une compromission du prestataire sur l’activité.
Le droit d’audit des prestataires
Le droit d’audit est une exigence incontournable pour les prestataires critiques. Il permet à l’organisation de vérifier, de façon indépendante, que les engagements de sécurité pris contractuellement sont effectivement respectés. Ce droit doit être prévu dans le contrat, avec des modalités précises : délai de préavis, périmètre de l’audit, conditions d’accès aux systèmes et aux documents.
L’ANSSI peut elle-même demander à consulter les contrats fournisseurs, le registre des risques tiers et les preuves d’évaluation régulière des prestataires critiques lors de contrôles des entités soumises à NIS 2.
La stratégie de sortie pour les prestataires critiques
La dépendance vis-à-vis d’un prestataire critique peut devenir un risque en soi. Une défaillance, une faillite, une compromission ou une décision stratégique du prestataire peut mettre en péril la continuité d’activité de l’organisation. DORA impose explicitement aux entités financières de définir une stratégie de sortie pour leurs prestataires TIC critiques, incluant des plans de substitution et des procédures de transition documentées.
Cette exigence, bien que formellement imposée par DORA au secteur financier, constitue une bonne pratique applicable à toute organisation dépendant de prestataires critiques pour ses activités essentielles.
Ce qu’en disent les référentiels
La sécurité de la chaîne d’approvisionnement est l’une des familles d’exigences les plus transversales de l’ensemble des référentiels de cybersécurité. En structurant une seule fois cette démarche, notamment via ISO 27001, vous progressez simultanément sur l’ensemble de vos obligations réglementaires.
-
PCI DSS
Payment Card Industry Data Security Standard v4.0.1Voir les exigences de PCI DSSL’exigence 12.8 du standard PCI DSS v4 impose la gestion des prestataires de services ayant accès aux données de cartes de paiement ou aux environnements associés : liste des prestataires, politiques et procédures de gestion, programme de surveillance, et accord écrit incluant les responsabilités de chaque partie.
-
ISO 27701
Norme ISO/IEC 27701:2019 — PIMSVoir les exigences de ISO 27701Les contrôles A.7.2.6 et B.8.5.6 intègrent explicitement les exigences de gestion des sous-traitants traitant des données à caractère personnel dans une dimension protection de la vie privée, en complément des exigences héritées de l’ISO 27001.
-
ISO 27001
Norme ISO/IEC 27001:2022Voir les exigences de ISO 27001Les contrôles A.5.19 à A.5.23 couvrent explicitement la sécurité des relations avec les fournisseurs : politique de sécurité des fournisseurs, exigences de sécurité dans les accords, gestion de la sécurité dans la chaîne d’approvisionnement TIC, surveillance et revue des services fournisseurs, et gestion des changements chez les fournisseurs. C’est le référentiel structurant pour bâtir une démarche complète et documentée.
-
HDS
Hébergement de Données de SantéVoir les exigences de HDSTout prestataire hébergeant des données de santé pour le compte d’un organisme de santé doit être lui-même certifié HDS ou signer un contrat conforme au référentiel HDS. Cette exigence est explicite et non négociable : l’hébergement de données de santé par un prestataire non certifié expose l’organisation à des sanctions.
-
LPM / OIV
Loi de Programmation Militaire — OIVVoir les exigences de LPM / OIVLa loi de programmation militaire 2024 renforce les exigences applicables aux sous-traitants critiques des Opérateurs d’Importance Vitale. Les OIV doivent s’assurer que leurs sous-traitants ayant accès aux SIIV respectent les règles de sécurité applicables, et peuvent être tenus responsables des manquements de leurs prestataires.
-
DORA
Règlement (UE) 2022/2554Voir les exigences de DORALes articles 28 à 44 du règlement définissent un cadre complet de gestion des prestataires TIC pour les entités financières : registre des prestataires TIC, évaluation des risques de concentration, exigences contractuelles minimales, droit d’audit, stratégie de sortie et supervision des prestataires TIC critiques au niveau européen. C’est le référentiel le plus exigeant en matière de gestion des risques tiers.
-
NIS 2
Directive (UE) 2022/2555Voir les exigences de NIS 2L’article 21.2(d) impose aux entités essentielles et importantes de prendre en compte la sécurité de la chaîne d’approvisionnement, notamment en ce qui concerne les relations avec leurs fournisseurs et prestataires de services directs. L’ANSSI peut contrôler le respect de cette obligation et demander les preuves d’évaluation des prestataires critiques.
-
RGPD
Règlement (UE) 2016/679Voir les exigences de RGPDL’article 28 impose la mise en place d’un contrat de traitement de données (DPA) avec tout sous-traitant traitant des données personnelles pour le compte de l’organisation. Ce contrat doit définir précisément les obligations du sous-traitant, ses engagements de confidentialité et de sécurité, et les conditions de recours à des sous-traitants ultérieurs. La CNIL met à disposition des modèles de clauses contractuelles types pour faciliter cette mise en conformité.
-
SOC 2
System and Organization Controls 2 (AICPA)Voir les exigences de SOC 2Le critère CC9.2 du référentiel SOC 2 évalue la capacité de l’organisation à gérer les risques liés aux fournisseurs et partenaires commerciaux, incluant l’évaluation des risques avant l’engagement, la contractualisation des exigences de sécurité et la surveillance continue de la posture de sécurité des tiers.
Sécurité de la chaîne d’approvisionnement en 3 questions
Quels prestataires sont concernés par les exigences de sécurité de la chaîne d’approvisionnement ?
Tous les prestataires et sous-traitants ayant accès aux systèmes d’information ou aux données de l’organisation sont concernés. Une priorité doit être accordée aux prestataires critiques : ceux dont la défaillance ou la compromission aurait un impact significatif sur l’activité, et ceux disposant d’accès privilégiés aux systèmes ou aux données sensibles. Les fournisseurs de services managés (MSP), les éditeurs de logiciels SaaS et les prestataires cloud sont particulièrement exposés.
Qu’est-ce qu’un contrat de traitement de données (DPA) et quand est-il obligatoire ?
Le Data Processing Agreement (DPA), ou contrat de traitement de données, est le contrat imposé par l’article 28 du RGPD entre un responsable de traitement et tout sous-traitant traitant des données personnelles en son nom. Il est obligatoire dès lors qu’un prestataire accède à des données personnelles dans le cadre de sa mission. La CNIL met à disposition des modèles de clauses contractuelles types pour faciliter sa rédaction.
Qu’est-ce que la stratégie de sortie imposée par DORA ?
La stratégie de sortie est un plan documenté permettant à l’organisation de mettre fin à sa relation avec un prestataire TIC critique sans mettre en péril la continuité de ses activités. Elle inclut des plans de substitution, des procédures de migration des données et des systèmes, et des délais de transition réalistes. DORA l’impose explicitement aux entités financières pour leurs prestataires TIC critiques.
La valeur ajoutée de Fidens pour votre cybersécurité
Faire appel à Fidens pour votre démarche ISO/IEC 27001, c’est choisir un partenaire expert qui vous accompagne à chaque étape, de la mise en place de votre Système de Management de la Sécurité de l’Information (SMSI) à la pérennisation de votre certification. Grâce à nos consultants expérimentés, nos outils performants comme APOS, et notre approche sur-mesure, nous vous aidons à sécuriser vos informations, renforcer votre conformité, et optimiser vos processus internes.
Avec Fidens, vous ne faites pas qu’obtenir une certification, vous transformez la sécurité de l’information en un véritable levier stratégique pour protéger vos actifs, renforcer la confiance de vos parties prenantes et anticiper les menaces de demain. Contactez-nous dès aujourd’hui pour faire de votre certification un gage de succès durable.
