La plupart des dispositifs d'évaluation fournisseurs mesurent la mauvaise chose. Ils notent la maturité générale du prestataire, alors que le risque tient à ce qu'il peut atteindre chez vous. Un hébergeur certifié avec un accès administrateur permanent expose davantage qu'une petite structure qui reçoit un fichier par mois.
Segmenter avant d'évaluer
Un questionnaire unique envoyé à tous les fournisseurs coûte cher et ne discrimine rien. Trois critères suffisent à segmenter.
L'accès technique. Le prestataire dispose-t-il d'un accès à vos systèmes, permanent ou à la demande, et avec quels droits. C'est le critère le plus prédictif, et le plus souvent absent des grilles.
La donnée traitée. Nature, volume, sensibilité. Une donnée personnelle déclenche en plus les obligations du RGPD sur les sous-traitants.
La dépendance opérationnelle. Combien de temps votre activité tient-elle sans ce fournisseur. Un prestataire sans accès ni donnée peut être critique si son indisponibilité arrête une chaîne de production.
Le croisement donne trois catégories : les fournisseurs critiques, peu nombreux, qui justifient une évaluation approfondie et un suivi contractuel ; les fournisseurs significatifs, traités par questionnaire ciblé ; et le reste, pour lequel une clause standard suffit.
Le premier travail n'est pas d'évaluer, c'est de disposer de la liste. Beaucoup d'organisations découvrent en la constituant des prestataires souscrits par une direction métier, avec un accès et une carte bancaire, et sans passage par les achats.
Les questions qui apportent une information
Les questionnaires longs produisent des réponses déclaratives. Quelques questions ciblées, avec demande de preuve, valent mieux.
Demander le rapport SOC 2 ou le certificat ISO 27001 avec son périmètre : c'est le périmètre qui compte, un certificat peut ne couvrir qu'une filiale ou un centre de données. Demander comment sont gérés les accès de leurs propres administrateurs à votre environnement. Demander leur délai contractuel de notification en cas d'incident les concernant. Demander la liste de leurs propres sous-traitants qui toucheront votre donnée, ce qui ouvre le rang deux.
Ce dernier point est celui qu'on néglige. Les compromissions marquantes de ces dernières années sont passées par un fournisseur du fournisseur, souvent un éditeur d'outil largement déployé.
Les clauses qui servent réellement
Quatre clauses font la différence au moment d'un incident.
La notification, avec un délai chiffré. Sans elle, vous apprenez l'incident par la presse. Le délai doit être compatible avec vos propres obligations : sous NIS2, une alerte précoce est attendue dans les 24 heures suivant la prise de connaissance, ce qui suppose que le fournisseur vous prévienne bien plus tôt.
Le droit d'audit ou son équivalent. Peu exercé, mais son existence change la conversation. Un rapport d'audit indépendant fourni annuellement est un équivalent acceptable et plus réaliste.
L'encadrement de la sous-traitance. Information préalable, et droit d'objection pour les fournisseurs critiques.
La réversibilité. Format de restitution des données, délai, suppression certifiée. C'est la clause qu'on n'écrit jamais et qu'on regrette toujours, parce qu'elle se négocie mal une fois la relation dégradée.
Après la signature, le point aveugle
L'essentiel des dispositifs s'arrête à l'entrée en relation. Or le risque évolue : le fournisseur est racheté, change de sous-traitants, subit un incident, ou son périmètre de certification se réduit.
Trois mesures peu coûteuses couvrent l'essentiel. Une revue annuelle des fournisseurs critiques, centrée sur ce qui a changé plutôt que sur un nouveau questionnaire complet. Une veille sur les incidents publics touchant vos fournisseurs, qui vous fait poser la question avant qu'ils n'appellent. Et une revue des accès accordés aux tiers, au même titre que celle des accès internes : les comptes de prestataires dont la mission est terminée survivent longtemps.
Ce que les textes exigent
NIS2. L'article 21 place la sécurité de la chaîne d'approvisionnement parmi les mesures de gestion des risques, en visant explicitement la qualité des pratiques de sécurité des fournisseurs directs et la sécurité du développement de leurs produits.
RGPD. L'article 28 impose un contrat encadrant le sous-traitant, avec des garanties suffisantes et l'autorisation préalable pour la sous-traitance ultérieure.
DORA. Pour les entités financières, le régime est plus strict : registre des accords contractuels, exigences précises sur les prestataires de services informatiques critiques, stratégie de sortie documentée.
Ces trois cadres demandent des choses proches. Construire un registre unique des fournisseurs, avec leur criticité et leurs preuves, évite d'entretenir trois listes qui divergeront.
Ce que Zaxyr apporte
Zaxyr tient le registre des fournisseurs avec leur segmentation, les preuves reçues et leur date de validité, et signale les certificats expirés plutôt que de les compter comme valides. Les exigences NIS2, RGPD et DORA sont rattachées au même registre, de sorte qu'une preuve collectée une fois répond aux trois.