Demandez à la plupart des équipes de conformité ce que la directive NIS 2 ou le règlement DORA imposent en matière de gestion des risques liés aux tiers (TPRM), et vous obtiendrez presque toujours la même réponse : « Nous devons évaluer nos fournisseurs et consigner les résultats. »
C’est exact en théorie. En pratique, c’est très insuffisant.
Ces deux réglementations ont été conçues en réaction directe à un constat récurrent des régulateurs : des entreprises dotées d’une sécurité interne robuste se faisaient compromettre par le biais d’un fournisseur ou d’un prestataire que personne n’avait examiné d’assez près. La logique de simple « case à cocher » qui nous a menés là est précisément celle dont ces cadres réglementaires veulent nous éloigner.
Directive NIS 2 : la sécurité de la chaîne d’approvisionnement n’est pas une option
La directive NIS 2 mentionne explicitement la chaîne d’approvisionnement et les relations avec les fournisseurs parmi les mesures obligatoires de gestion des risques d’une organisation. Concrètement, cela implique de :
- Évaluer les pratiques de sécurité de vos fournisseurs et prestataires directs.
- Prendre en compte la qualité globale des produits d’un fournisseur et ses pratiques de gestion des vulnérabilités.
- Être en mesure de prouver la réalité de cette évaluation, et non simplement de l’affirmer.
Le texte n’exige pas un simple questionnaire classé dans un dossier. Il demande la preuve tangible que le risque a été réellement évalué et que cette évaluation reste défendable si un régulateur ou un auditeur demande à la consulter.
Règlement DORA : le risque lié aux tiers comme pilier dédié, et non comme variable d’ajustement
Le règlement DORA va encore plus loin pour les entités financières, en érigeant le risque lié aux tiers prestataires de services TIC en pilier dédié plutôt qu’en une sous-partie de la gestion générale des risques. Les principales attentes couvrent notamment :
- Un registre d’informations recensant l’ensemble des contrats conclus avec des tiers prestataires de services TIC
- Une surveillance continue des prestataires critiques, loin d’une évaluation ponctuelle unique
- Des clauses contractuelles encadrant les droits d’audit, les niveaux de service et les stratégies de sortie
- Une analyse du risque de concentration lorsqu’une dépendance excessive pèse sur un seul prestataire
Notez le dénominateur commun de ces deux textes : l’accent est mis sur une maîtrise continue et démontrable du risque, et non sur un formulaire statique rempli une seule fois lors du référencement.
Les limites d’une gestion des risques tiers cantonnée à des checklists
Un questionnaire rempli au début d’une relation fournisseur ne répond qu’à une seule question : qu’affirmait ce fournisseur ce jour-là ? Il ne dit rien sur :
- L’évolution de sa posture de sécurité six mois plus tard
- Le fait que ses réponses reposaient sur des preuves tangibles ou sur de simples estimations
- Votre capacité à justifier la logique de votre évaluation face à une autorité de contrôle
La directive NIS 2 comme le règlement DORA reposent sur un principe de responsabilité continue. Un questionnaire isolé, aussi détaillé soit-il, ne constitue qu’un instantané, pas un programme de gestion des risques.
À quoi ressemble concrètement une confiance « démontrable » envers les fournisseurs ?
Respecter l’esprit de ces réglementations signifie pouvoir répondre à tout instant à cette interrogation : « Pourquoi faisons-nous confiance à ce fournisseur, et pouvons-nous le prouver pièces à l’appui ? » Cela exige :
- Des évaluations étayées par des éléments de preuve, au lieu de simples déclarations sur l’honneur
- Une surveillance continue afin que le niveau de risque reflète la situation actuelle et non passée
- Une traçabilité documentaire sans faille, capable de résister à l’examen d’un régulateur ou d’un auditeur
- Une méthodologie cohérente sur tout votre portefeuille de fournisseurs, afin d’éviter les décisions au cas par cas
La véritable question en matière de conformité
La directive NIS 2 et le règlement DORA ne demandent pas : « Avez-vous envoyé un questionnaire ? » Ils demandent : « Savez-vous vraiment à qui vous confiez vos systèmes, vos données et les finances de vos clients, et êtes-vous en mesure de le prouver ? »
C’est précisément là que réside le fossé entre la conformité de façade et une véritable gestion des risques liés aux tiers. Le combler ne revient pas à accumuler davantage de paperasse, mais à bâtir un processus où la confiance est vérifiée, et non présumée.
Besoin d’un processus de gestion des risques tiers à l’épreuve des exigences de NIS 2 et DORA ? [Échangez avec 3rdComply]