La directive NIS 2 n’est plus une perspective lointaine. En juin 2026, 23 des 27 États membres de l’UE l’ont transposée dans leur droit national, permettant aux autorités compétentes d’engager les premiers contrôles. Même si les calendriers d’application varient selon les pays, la trajectoire ne fait aucun doute : les entités entrant dans le champ d’application de NIS 2 doivent démontrer leur conformité à ses exigences de cybersécurité. Or, l’un des volets majeurs du texte concerne précisément la sécurité de la chaîne d’approvisionnement. Les régulateurs constatent en effet que les cyberrisques ne s’arrêtent pas aux frontières de l’entreprise. Dès lors, une question centrale s’impose :
« Quelles sont les exigences de NIS 2 en matière de gestion des risques liés aux tiers (TPRM) ? »
La réponse est à la fois simple et nuancée. La directive NIS 2 n’impose pas formellement de créer un programme dédié à la TPRM. En revanche, elle exige d’identifier et de maîtriser les cyberrisques issus des fournisseurs et prestataires de services au sein de son dispositif global de gestion des risques de cybersécurité.
Pourquoi la directive NIS 2 change la donne pour la TPRM
Le lien direct entre NIS 2 et la gestion des risques liés aux tiers figure à l’article 21, paragraphe 2, point d), qui impose aux organisations d’adopter des mesures de gestion des risques de cybersécurité adaptées et proportionnées, portant notamment sur :
« La sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs. »
Le message des régulateurs est sans équivoque : la cybersécurité ne relève plus seulement du périmètre interne. Les organisations doivent appréhender l’impact potentiel de leurs fournisseurs sur leur niveau de sécurité et prendre des dispositions concrètes pour maîtriser ces risques.
Quatre étapes pour aligner sa TPRM sur les exigences de NIS 2
1. Connaître ses fournisseurs
La première étape consiste à établir et tenir à jour un inventaire de vos fournisseurs : prestataires cloud, fournisseurs de services managés (MSP), éditeurs de logiciels, partenaires d’externalisation et tout tiers soutenant vos activités critiques. Vous devez savoir quels services chaque prestataire fournit, à quels systèmes ou données il a accès, et quel est le degré de dépendance de votre organisation à son égard. Cet inventaire doit également identifier les fournisseurs intervenant sur des processus métier critiques ou accédant à des informations sensibles.
Sans visibilité sur cet écosystème de fournisseurs, toute gestion efficace des risques de la chaîne d’approvisionnement devient impossible : on ne gère pas un risque que l’on ne voit pas.
2. Structurer la gouvernance des risques liés aux tiers
La directive NIS 2 attend des organisations qu’elles intègrent les cyberrisques liés aux fournisseurs dans leur dispositif global de gestion des risques. Une fois vos prestataires identifiés, l’étape suivante consiste à formaliser une gouvernance qui définit les modalités d’évaluation, de traitement et de reporting des risques liés aux tiers. Celle-ci doit notamment préciser :
- Les rôles et responsabilités dans le pilotage des risques fournisseurs
- L’appétence au risque et les seuils de tolérance
- Les critères de classification des fournisseurs selon leur niveau de risque
- Les exigences d’évaluation initiale et périodique
- Les procédures d’acceptation du risque et d’escalade
- Les modalités de reporting auprès de la direction
En instaurant une gouvernance claire, vous assurez des prises de décision cohérentes et concentrez vos ressources sur les tiers présentant le risque le plus élevé pour votre organisation.
3. Évaluer les risques fournisseurs
Tous les fournisseurs ne présentent pas le même profil de risque. En vous appuyant sur le cadre de gouvernance défini, adoptez une approche par les risques pour vos évaluations, en accordant une attention renforcée aux prestataires qui soutiennent des services essentiels, accèdent à des données sensibles ou pourraient paralyser vos opérations en cas de compromission.
Ces démarches d’évaluation peuvent comprendre :
- Des questionnaires de sécurité
- L’examen des éléments de preuve
- La vérification des certifications
- Des rapports d’audit indépendants
- Des évaluations techniques de sécurité
Il convient également d’intégrer des exigences de cybersécurité adaptées dans les contrats de vos fournisseurs : obligations de notification des incidents, exigences de continuité d’activité, droits d’audit, règles de protection des données et responsabilités en matière de sécurité. L’objectif est d’obtenir des garanties suffisantes quant à la capacité du prestataire à maîtriser les risques cyber conformément à votre appétence au risque.
4. Surveiller et réagir
La gestion des risques fournisseurs ne s’arrête pas à la signature du contrat. Vous devez surveiller vos prestataires en continu pour détecter tout changement dans leur posture de sécurité, l’apparition de vulnérabilités, la survenue d’incidents de sécurité ou tout élément susceptible de modifier leur niveau de risque. Cela peut passer par des réévaluations périodiques, une surveillance externe en continu, le contrôle de validité des certifications ou des revues de performance fournisseurs.
Veillez également à intégrer vos prestataires critiques dans vos plans de réponse aux incidents et de continuité d’activité, conformément aux obligations de notification de l’article 23. Des procédures d’escalade claires, des canaux de communication dédiés et des attentes précises en matière de réaction doivent être définis en amont. En maintenant cette surveillance continue, vous identifiez et traitez les risques de votre chaîne d’approvisionnement avant qu’ils ne perturbent votre activité, tout en prouvant que les risques tiers sont pilotés tout au long du cycle de vie de la relation.
Un manque de temps ou de ressources ?
Face à la complexité opérationnelle de ces exigences, 3rdComply met à disposition une plateforme de TPRM dédiée, conçue pour vous permettre de faire monter en charge la gestion des risques liés aux tiers sans mobiliser massivement vos équipes internes.
Au-delà de la phase de référencement, 3rdComply assure une veille continue sur vos fournisseurs à partir de sources publiques, de divulgations de vulnérabilités, d’actualités et de renseignements issus du dark web. Les scores de risque dynamiques sont mis à jour automatiquement au fil des nouvelles informations, ce qui vous permet de repérer l’évolution des risques fournisseurs et de réagir bien plus vite.
La plateforme facilite également la collaboration avec vos prestataires grâce à un espace d’évaluation dédié. Les fournisseurs y répondent directement aux questionnaires et y déposent leurs justificatifs, ce qui limite les allers-retours répétitifs.
Pour garantir une évaluation homogène, vous pouvez importer dans 3rdComply vos politiques, procédures, référentiels, exigences de contrôle et certifications. L’IA génère alors une base de connaissances personnalisée qui analyse les réponses des fournisseurs au regard de vos propres standards, évalue leur niveau de conformité et met en évidence les écarts nécessitant un arbitrage.
Pour les organisations disposant de ressources restreintes, 3rdComply propose également des services managés : notre équipe prend en charge l’évaluation, la surveillance et l’analyse pour votre compte, laissant à vos collaborateurs le soin de se concentrer sur l’analyse des résultats et les prises de décision.
En résumé, 3rdComply vous aide à déployer un programme de TPRM évolutif, continu et fondé sur les preuves, en phase avec les exigences réglementaires comme la directive NIS 2, tout en réduisant considérablement la charge opérationnelle liée au suivi de vos tiers.
En conclusion
La directive NIS 2 consacre une réalité incontournable : la résilience d’une organisation dépend directement de celle de ses fournisseurs. Dès lors, la question que posent les régulateurs n’est plus :
« Quel est le niveau de sécurité de votre organisation ? »
Elle est devenue :
« Comment vous assurez-vous de la sécurité des organisations dont vous dépendez ? »
Et surtout, êtes-vous en mesure de le démontrer ? www.3rdcomply.com