Daniel Bermejo · Cofondateur et directeur technique, Trusty · Entrepreneur en série, ancien de PwC, IBM et Roche · Ancien Managing Director, Startup Invest
Un fournisseur de services cloud tombe en panne.
Un fournisseur de logiciels est compromis.
Un fournisseur de services de sécurité gérés est compromis.
Un sous-traitant introduit une vulnérabilité dans votre réseau.
En vertu de DORA et de NIS2, dire « le problème est survenu chez notre fournisseur » ne vous décharge pas nécessairement de votre responsabilité.
Mais les deux régimes européens de cybersécurité abordent différemment le risque lié aux tiers.
sur une seule plateforme
Gardez vos preuves fournisseurs prêtes pour l’audit. Suivez quels fournisseurs soutiennent des fonctions critiques, rassemblez les pièces de due diligence et conservez les preuves attendues par les régulateurs, au même endroit.
DORA vs NIS2 en un coup d’œil
DORA | NIS2 | |
|---|---|---|
Nom complet | Règlement sur la résilience opérationnelle numérique | Directive NIS2 |
Objectif principal | Résilience opérationnelle numérique dans le secteur financier | Cybersécurité dans les secteurs essentiels et importants |
Tiers visés | Prestataires de services TIC tiers | Fournisseurs et prestataires directs pertinents pour la cybersécurité/la sécurité de la chaîne d’approvisionnement |
Registre des fournisseurs | Registre détaillé des accords contractuels TIC | Pas d’exigence universelle équivalente à un registre de type DORA |
Évaluation de la criticité | Priorité centrale | Évaluation de la chaîne d’approvisionnement fondée sur les risques |
Exigences contractuelles | Exigences détaillées, en particulier pour les fonctions critiques ou importantes | Les exigences de cybersécurité doivent être traitées dans les relations fournisseurs, selon le cas |
Sous-traitance | Spécifiquement pertinente dans le cadre DORA | Les risques de la chaîne d’approvisionnement peuvent s’étendre au-delà des fournisseurs directs |
La responsabilité peut-elle être externalisée ? | Non | Pas de transfert simple de la responsabilité en matière de cybersécurité |
Règlement ou directive ? | Règlement de l’UE | Directive transposée via le droit national |
Que requiert DORA en matière de risque tiers ?
DORA s’applique à un large éventail d’entités financières et crée un cadre dédié pour gérer le risque TIC lié aux tiers.
Son principe de base est simple :
recourir à un prestataire TIC externe ne vous décharge pas de votre responsabilité réglementaire.
Une entité financière reste responsable du respect de DORA même lorsqu’un service TIC est fourni par un tiers.
Cela fait de la supervision des fournisseurs un enjeu de gouvernance continu, plutôt qu’un simple exercice d’achats.
Quels tiers sont concernés par DORA ?
DORA se concentre sur les fournisseurs de services TIC tiers.
Les exemples peuvent inclure les fournisseurs de :
- infrastructure cloud ;
- logiciels ;
- hébergement de données ;
- centres de données ;
- services informatiques gérés ;
- services de cybersécurité ;
- traitement de données ;
- plateformes technologiques ;
- infrastructure réseau ;
- certaines fonctions TIC externalisées.
La question clé est de savoir si le tiers fournit un service TIC utilisé par l’entité financière.
Tous les fournisseurs n’ont donc pas besoin d’un traitement DORA identique.
Votre fournisseur de café au bureau n’appartient pas à la même catégorie de risque que la plateforme cloud qui exécute un processus bancaire central.
Qu’en est-il des fonctions critiques ou importantes ?
DORA met un accent particulier sur les services TIC qui soutiennent une fonction critique ou importante.
Avant de conclure certains arrangements TIC, les entités financières doivent évaluer des éléments tels que le fait que le service soutienne ou non une fonction critique ou importante et les risques découlant de l’arrangement.
Cela peut affecter :
- la diligence raisonnable ;
- les exigences contractuelles ;
- l’analyse du risque de concentration ;
- la surveillance ;
- les droits d’audit/d’accès ;
- la planification de la sortie ;
- les contrôles de sous-traitance.
Cela signifie que la classification des fournisseurs compte.
Un inventaire DORA utile ne devrait pas simplement indiquer :
Fournisseur : Entreprise cloud
Il devrait plutôt consigner, par exemple :
Fournisseur → service TIC → fonction métier → criticité → données → localisation → sous-traitants → risque → contrat → surveillance → stratégie de sortie
DORA exige-t-il un registre des fournisseurs tiers ?
DORA exige que les entités financières tiennent un registre d’informations couvrant les accords contractuels relatifs aux services TIC fournis par des prestataires de services TIC tiers.
C’est l’une des différences les plus nettes entre DORA et un programme générique de gestion des fournisseurs.
L’organisation doit savoir non seulement qui sont ses fournisseurs, mais aussi comment les services TIC se rattachent aux accords contractuels et aux fonctions métier.
Ce registre est également important pour donner aux autorités de supervision une visibilité sur les dépendances TIC.
Devez-vous surveiller tous les fournisseurs TIC DORA de la même manière ?
Non.
DORA utilise explicitement la proportionnalité.
Le niveau de surveillance doit tenir compte de facteurs tels que :
- la nature de la dépendance TIC ;
- l’échelle et la complexité ;
- l’importance du service ;
- s’il soutient une fonction critique ou importante ;
- l’impact potentiel d’une perturbation ;
- le risque de concentration ;
- la substituabilité ;
- la sous-traitance ;
- les dépendances géographiques ou opérationnelles.
Cela crée une approche par niveaux du risque fournisseur.
Identifier tous les accords TIC pertinents → les classer → appliquer des contrôles plus stricts là où le risque est plus élevé.
TIC critiques
Besoin de démontrer une supervision proportionnée ? Trusty suit quels fournisseurs soutiennent des fonctions critiques ou importantes, rassemble les pièces de due diligence et conserve les preuves attendues par les régulateurs, au même endroit.
Qu’exige NIS2 pour les tiers ?
NIS2 adopte une approche plus large de la cybersécurité et de la chaîne d’approvisionnement.
L’article 21 exige que les entités essentielles et importantes couvertes mettent en œuvre des mesures de gestion des risques de cybersécurité appropriées et proportionnées.
Une mesure explicitement listée est :
la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations avec les fournisseurs ou prestataires directs de chaque entité.
Cela signifie que la cybersécurité des fournisseurs fait explicitement partie de la conformité NIS2.
Quels fournisseurs devez-vous évaluer en vertu de NIS2 ?
NIS2 met un accent particulier sur les fournisseurs directs et les prestataires de services.
Lorsqu’elles décident des mesures appropriées, les organisations doivent prendre en compte :
- les vulnérabilités propres à chaque fournisseur ou prestataire direct ;
- la qualité globale de leurs produits ;
- leurs pratiques de cybersécurité ;
- les procédures de développement sécurisé ;
- la résilience des services ou produits ;
- les dépendances pertinentes de la chaîne d’approvisionnement.
L’analyse va donc au-delà de la simple question de savoir si un fournisseur dispose d’un certificat de cybersécurité.
Vous devez comprendre quel risque le fournisseur introduit dans votre réseau et vos systèmes d’information.
Quels types de fournisseurs NIS2 créent un risque particulier ?
Selon l’organisation, les tiers pertinents peuvent inclure :
- les fournisseurs de services cloud ;
- les centres de données ;
- les éditeurs de logiciels ;
- les fournisseurs SaaS ;
- les fournisseurs de services gérés ;
- les fournisseurs de services de sécurité gérés ;
- les consultants informatiques ;
- les fournisseurs d’hébergement ;
- les fournisseurs de communications ;
- les fournisseurs de matériel critique ;
- les fournisseurs de traitement de données.
NIS2 met spécifiquement en avant les risques impliquant des prestataires tels que les services de stockage et de traitement des données, les fournisseurs de services de sécurité gérés et les fournisseurs de logiciels.
NIS2 ne couvre-t-elle que les fournisseurs directs ?
L’exigence légale de sécurité de la chaîne d’approvisionnement vise spécifiquement les aspects de sécurité des relations avec les fournisseurs ou prestataires directs.
Mais cela ne signifie pas que les risques plus profonds de la chaîne d’approvisionnement peuvent toujours être ignorés.
Les considérants de NIS2 reconnaissent expressément que les organisations peuvent prendre en compte les risques découlant d’autres niveaux de fournisseurs et de prestataires de services.
Cela devient particulièrement pertinent lorsque :
- un fournisseur critique dépend fortement d’un sous-traitant ;
- un logiciel intègre des composants tiers vulnérables ;
- il existe un point de défaillance unique ;
- un fournisseur a une concentration géographique significative ;
- un fournisseur dépend d’un autre fournisseur d’infrastructure critique.
Ainsi, la question pratique n’est pas simplement :
« Est-ce notre fournisseur direct ? »
Elle est aussi :
« Une dépendance plus profonde pourrait-elle compromettre de manière significative notre cybersécurité ? »
DORA vs NIS2 : qui devez-vous surveiller ?
Une distinction utile est :
Sous DORA
Commencez par cartographier vos prestataires de services TIC tiers.
Puis identifiez quels services soutiennent des fonctions critiques ou importantes.
Ces accords méritent une évaluation particulièrement robuste, des contrôles contractuels et une supervision continue.
Sous NIS2
Commencez par les fournisseurs et prestataires directs susceptibles d’affecter la sécurité de votre réseau et de vos systèmes d’information.
Puis évaluez si des dépendances indirectes importantes créent un risque cyber important supplémentaire.
Exemple : utilisation de Microsoft Azure
Supposons qu’une entreprise financière dépende d’un grand fournisseur de services cloud pour une infrastructure qui soutient une fonction critique.
En vertu de DORA, cet arrangement est clairement pertinent pour le cadre de gestion des risques tiers liés aux TIC de l’organisation.
L’organisation peut avoir besoin de considérer :
- la criticité du service ;
- les dispositions contractuelles ;
- la disponibilité ;
- la localisation des données ;
- la sécurité ;
- les droits d’audit et d’accès ;
- la sous-traitance ;
- le risque de concentration ;
- les options de sortie.
Si cette organisation relève également du champ d’application de NIS2, la même relation fournisseur pourrait être pertinente pour la cybersécurité de la chaîne d’approvisionnement.
Le fournisseur sous-jacent est le même.
La raison légale de son évaluation ne l’est pas.
Exemple : fournisseur de paie
Prenons un prestataire SaaS externe de gestion de la paie.
Sous DORA, la première question est de savoir si le service relève du cadre TIC tiers pertinent et quelles fonctions il soutient.
Sous NIS2, l’entreprise doit se demander si la compromission du fournisseur pourrait créer un risque de cybersécurité important.
Le niveau de risque qui en résulte pourrait être nettement inférieur à celui de l’infrastructure cloud centrale de l’organisation.
C’est pourquoi appliquer le même questionnaire et le même calendrier de revue à chaque fournisseur est rarement la meilleure approche.
ne convient pas à tous les fournisseurs
Évaluez les fournisseurs selon le risque, pas par habitude. Trusty évalue les prestataires TIC et les fournisseurs critiques au regard des risques de conformité, envoie des demandes de due diligence et surveille les résultats sur une seule plateforme. Ou réservez une démo.
Que devez-vous vérifier avant d’entrer en relation avec un tiers ?
Pour les fournisseurs TIC à plus haut risque, une due diligence utile peut inclure :
Identité de l’entreprise
Confirmez avec quelle entité juridique vous contractez réellement.
Actionnariat
Comprenez les liens de propriété et de groupe pertinents.
Exposition aux sanctions
Vérifiez si l’entreprise ou ses actionnaires de contrôle présentent un risque au regard des sanctions.
Presse négative
Recherchez des rapports crédibles sur :
- les incidents cyber ;
- les actions réglementaires ;
- les défaillances de sécurité ;
- la fraude ;
- la mauvaise conduite ;
- les pannes majeures ;
- les violations de données.
Contrôles de cybersécurité
Évaluez les pratiques de sécurité et les certifications pertinentes.
Sous-traitants
Déterminez si des fonctions critiques dépendent d’autres prestataires.
Risque de concentration
Demandez ce qui se passe si plusieurs services critiques dépendent du même fournisseur.
Géographie
Comprenez où les services et les données sont fournis et où existent des dépendances critiques.
Continuité d’activité
Évaluez comment le prestataire réagit en cas de perturbation.
Planification de sortie
Déterminez si le service pourrait être transféré de manière réaliste à un autre fournisseur.
Le risque tiers n’est donc pas seulement un exercice de sécurité informatique.
Il suppose souvent de croiser des informations de cybersécurité, d’entreprise, de conformité, opérationnelles et de réputation.
DORA est plus prescriptif concernant les fournisseurs TIC
L’une des façons les plus utiles de comprendre la différence est que DORA construit une architecture réglementaire explicite autour des relations TIC avec des tiers.
Les entités financières doivent intégrer le risque lié aux tiers dans leur cadre de gestion des risques TIC et conserver des informations structurées sur les accords contractuels TIC.
NIS2 établit une obligation plus large en matière de cybersécurité et y inclut explicitement la sécurité de la chaîne d’approvisionnement.
Donc :
DORA va plus loin sur l’externalisation TIC et la gouvernance des fournisseurs.
NIS2 intègre les fournisseurs dans la gestion globale des risques de cybersécurité.
Que se passe-t-il si DORA et NIS2 s’appliquent tous les deux ?
Pour les entités financières, DORA est particulièrement important car le droit de l’UE le considère comme le cadre de cybersécurité sectoriel pour les entités financières couvertes dans les domaines où ses dispositions sont qualifiées de règles sectorielles.
Cela signifie que les organisations ne devraient pas simplement dupliquer chaque contrôle dans deux programmes de conformité distincts.
Au lieu de cela, elles devraient déterminer :
- quelle entité est concernée ;
- quelle exigence réglementaire régit la question spécifique ;
- quels fournisseurs et services TIC sont impliqués ;
- si un seul contrôle peut générer des preuves soutenant plusieurs obligations de conformité.
Un inventaire fournisseurs unifié peut aider considérablement.
Un modèle pratique de surveillance des fournisseurs
Au lieu de maintenir une feuille de calcul pour DORA, une autre pour NIS2 et une autre pour les achats, construisez un inventaire partagé des tiers.
Par exemple :
Fournisseur
↓
Entité juridique + propriété
↓
Service fourni
↓
TIC / non-TIC
↓
Fonction métier prise en charge
↓
Criticité
↓
Risque de cybersécurité
↓
Sanctions / risque de réputation
↓
Sous-traitants
↓
Contrôles contractuels
↓
Fréquence de surveillance
↓
Incidents / changements
Cela permet aux équipes de conformité d’appliquer différentes règles réglementaires aux mêmes données sous-jacentes des fournisseurs.
lié aux tiers
Une vue de chaque fournisseur. Évaluez les prestataires TIC et les fournisseurs critiques au regard des risques de conformité, envoyez des demandes de due diligence et surveillez les résultats sur une seule plateforme, au lieu de tableurs séparés pour DORA et NIS2.
Avez-vous besoin d’une surveillance continue des fournisseurs ?
Aucun des deux régimes n’exige de vérifier chaque information sur les fournisseurs seconde par seconde.
Mais la gestion des risques tiers ne peut raisonnablement pas s’arrêter à l’entrée en relation.
Le risque évolue.
Un prestataire peut :
- subir une cyberattaque ;
- connaître une panne majeure ;
- changer de propriétaire ;
- faire l’objet de sanctions réglementaires ;
- faire l’objet d’une presse négative ;
- changer de sous-traitants ;
- changer de lieux de prestation ;
- rencontrer des difficultés financières.
Les prestataires à plus haut risque justifient donc une surveillance continue, proportionnée à l’importance et au risque de la relation.
Questions fréquentes
Oui. Les entités financières couvertes doivent gérer le risque TIC lié aux tiers dans le cadre de leur dispositif de gestion des risques TIC. Cela inclut une supervision continue, proportionnée à la nature et à l’importance de la dépendance TIC.
Oui. NIS2 exige explicitement des mesures de sécurité de la chaîne d’approvisionnement et impose aux entités de prendre en compte les vulnérabilités et les pratiques de cybersécurité associées aux fournisseurs et prestataires directs.
DORA se concentre sur les prestataires de services TIC tiers utilisés par les entités financières couvertes. Les exigences deviennent particulièrement importantes lorsqu’un service TIC soutient une fonction critique ou importante.
Les exigences NIS2 relatives à la chaîne d’approvisionnement se concentrent particulièrement sur les fournisseurs et prestataires directs pertinents pour la sécurité du réseau et des systèmes d’information de l’organisation.
L’exigence centrale vise spécifiquement les relations avec les fournisseurs/prestataires directs, mais NIS2 reconnaît que les organisations peuvent aussi considérer les risques provenant de niveaux plus profonds de la chaîne d’approvisionnement.
Non. Les deux cadres soutiennent une approche proportionnée, fondée sur les risques. Les fournisseurs qui soutiennent des fonctions critiques ou créent une dépendance plus forte en matière de cybersécurité justifient généralement des contrôles renforcés.
Non. DORA indique explicitement que les entités financières restent responsables de la conformité réglementaire lorsqu’elles recourent à des prestataires TIC tiers.
DORA fonctionne comme une législation européenne de cybersécurité sectorielle pour les entités financières couvertes, dans les domaines pertinents. L’articulation doit être évaluée exigence par exigence, plutôt que de supposer que chaque disposition NIS2 disparaît simplement.
En résumé
DORA et NIS2 aboutissent à la même conclusion fondamentale :
votre risque de cybersécurité ne s’arrête pas aux frontières de votre organisation.
Mais les deux textes abordent différemment le risque fournisseur.
DORA : identifier et gérer les dépendances TIC vis-à-vis de tiers, avec des contrôles particulièrement stricts autour des services soutenant des fonctions critiques ou importantes.
NIS2 : protéger la sécurité de votre chaîne d’approvisionnement, en particulier vos relations avec les fournisseurs et prestataires directs.
Pour les entreprises soumises à l’un ou l’autre cadre, la première étape pratique est donc la même :
Sachez qui sont réellement vos tiers, ce qu’ils fournissent, de quoi ils dépendent et comment leur risque évolue au fil du temps.
Un processus de filtrage et de surveillance des tiers peut compléter cette évaluation en contrôlant en continu l’exposition des fournisseurs aux sanctions, les risques liés à l’actionnariat et la presse négative, en plus des contrôles opérationnels et de cybersécurité.
Sources externes :
EUR-Lex, règlement sur la résilience opérationnelle numérique (DORA)
EUR-Lex, Directive NIS2
À lire aussi : comment les entités financières doivent surveiller les prestataires TIC sous DORA, comment les PME peuvent répondre aux exigences NIS2 avec un processus simple de signalement des vulnérabilités, et la sélection des tiers.
ÉVALUATION DES RISQUES LIÉS AUX TIERS
QuickScreen360 : évaluez les fournisseurs et partenaires au regard des risques de conformité. Envoyez des demandes de due diligence, attribuez des formations et suivez les résultats sur une seule plateforme.