NIS 2 redéfinit les exigences d’une gestion efficace des risques liés aux tiers
La directive NIS 2 n’a pas inventé la gestion des risques liés aux tiers (TPRM). En revanche, elle a considérablement relevé le niveau de maturité exigé. Dans les programmes traditionnels de cybersécurité et de gestion des risques fournisseurs, la démarche reposait le plus souvent sur des évaluations périodiques. Les organisations géraient leurs inventaires de prestataires dans des tableurs, envoyaient des questionnaires de sécurité annuels et évaluaient leurs fournisseurs critiques selon un calendrier prédéfini. Le risque était considéré comme relativement statique, réévalué lors du référencement ou des revues annuelles. En vertu de l’article 21, paragraphe 2, point d), de la directive (UE) 2022/2555 (NIS 2), les organisations doivent mettre en œuvre des mesures de gestion des risques de cybersécurité qui incluent explicitement :
« La sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs directs ou ses prestataires de services. »
Cette exigence est précisée par le règlement d’exécution (UE) 2024/2690 de la Commission, qui définit les exigences techniques et méthodologiques détaillées pour la mise en œuvre pratique de la sécurité de la chaîne d’approvisionnement et des mesures de l’article 21. Le texte passe de principes généraux à des contrôles opérationnels et vérifiables lors de la sélection, de la contractualisation et du suivi des fournisseurs.
Ce changement est majeur : la responsabilité de l’organisation s’étend bien au-delà de ses systèmes internes. Elle doit désormais intégrer, structurer et gérer en continu les risques apportés par sa chaîne d’approvisionnement dans le cadre de sa posture globale de cybersécurité.
Concrètement, l’évolution se résume simplement :
- Modèle traditionnel : évaluations périodiques des fournisseurs et cycles d’audit annuels
- Modèle NIS 2 + règlement d’exécution : gestion des risques fournisseurs continue, fondée sur les risques et sur des preuves, assortie de contrôles techniques définis
Pourquoi les processus TPRM traditionnels ne suffisent plus
La plupart des programmes TPRM existants n’ont pas été conçus pour faire face aux réalités opérationnelles imposées par NIS 2 et son règlement d’exécution. Ils reposent encore largement sur des processus manuels et fragmentés : des tableurs pour l’inventaire des fournisseurs, des questionnaires envoyés par e-mail et des documents dispersés entre les achats, la sécurité et la conformité. Sous NIS 2, ce fonctionnement montre rapidement ses limites structurelles.
La première limite réside dans le manque de visibilité en temps réel. Les informations sur les risques fournisseurs deviennent souvent obsolètes dès qu’elles sont recueillies. Or, l’article 21 de NIS 2 impose des mesures de gestion des risques « appropriées et proportionnées », ce qui suppose une connaissance continue de l’état réel des risques. S’appuyer sur des données statiques revient à piloter l’exposition de sa chaîne d’approvisionnement avec un train de retard.
La deuxième limite est le manque d’évolutivité. Une organisation collabore aujourd’hui avec des centaines, voire des milliers de tiers. Sans outillage adéquat, les processus TPRM manuels deviennent vite ingérables et contraignent les équipes à se concentrer uniquement sur une poignée de prestataires « critiques ». Pourtant, l’article 21, paragraphe 2, point d), et le règlement d’exécution (UE) 2024/2690 exigent une gouvernance structurée de la sécurité des fournisseurs, comprenant des critères de sélection précis et des contrôles de sécurité réguliers sur toute la chaîne d’approvisionnement.
La troisième limite concerne la dispersion des éléments de preuve pour les audits. Avec NIS 2, les organisations doivent prouver que leurs mesures de gestion des risques cyber ne sont pas seulement documentées, mais bien appliquées. Le règlement d’exécution renforce cette exigence en imposant une documentation structurée des registres de fournisseurs, des exigences de sécurité contractuelles et des processus de gouvernance de la chaîne d’approvisionnement. Lorsque ces preuves sont disséminées dans des outils disparates, produire un dossier d’audit cohérent devient une tâche manuelle particulièrement chronophage et sujette aux erreurs.
La quatrième limite tient à l’absence de surveillance continue. La gestion traditionnelle des risques tiers repose sur une approche ponctuelle : une fois le fournisseur évalué, son dossier n’est souvent réouvert qu’au cycle suivant. Cela crée un angle mort majeur face aux changements de posture de sécurité, qu’il s’agisse d’un incident de sécurité, de l’expiration d’une certification ou d’une modification de son infrastructure.
Prises ensemble, ces limites créent un fossé entre la réalité opérationnelle des équipes et les exigences réglementaires.
Pourquoi s’appuyer sur une plateforme TPRM dédiée
Une telle plateforme permet aux organisations d’évaluer les prestataires plus efficacement, de maintenir une visibilité constante sur les risques grâce à une surveillance continue et de simplifier les échanges avec les fournisseurs via un portail d’évaluation centralisé. En s’appuyant sur l’IA, les organisations peuvent également évaluer les fournisseurs au regard de leurs propres politiques, normes et exigences de sécurité, garantissant ainsi une cohérence accrue tout au long du processus d’évaluation.
Plutôt que de remplacer vos outils d’achats, de gestion des fournisseurs ou de GRC, 3rdComply est conçue pour les compléter. La plateforme agit comme une couche de productivité qui permet d’automatiser les activités d’évaluation les plus chronophages, de centraliser les informations sur les fournisseurs et de réduire l’effort manuel nécessaire pour collecter, examiner et analyser les données de risque des tiers, tout en valorisant vos systèmes existants.
Pour les organisations dont les ressources sont limitées, les services managés de 3rdComply peuvent prendre en charge les activités d’évaluation, de surveillance et d’analyse. Les équipes internes peuvent ainsi se concentrer sur l’analyse des risques et la prise de décisions éclairées. 3rdComply aide les organisations à mettre en place un programme TPRM plus évolutif, fondé sur les risques et surveillé en continu, parfaitement aligné sur les attentes réglementaires croissantes telles que la directive NIS 2.
L’objectif ne se limite pas à l’efficacité opérationnelle : il s’agit de s’aligner sur les exigences réglementaires, en particulier sur l’obligation d’opérationnaliser la sécurité de la chaîne d’approvisionnement au moyen de contrôles structurés, reproductibles et vérifiables tout au long du cycle de vie des fournisseurs.
En conclusion
La directive NIS 2 n’a pas introduit la gestion des risques liés aux tiers : elle en a rehaussé le niveau d’exigence. Le passage d’évaluations périodiques à une sécurisation continue et fondée sur les risques de la chaîne d’approvisionnement signifie que de nombreux programmes TPRM traditionnels ne répondent plus aux attentes du régulateur.
À l’heure où les organisations réévaluent leurs capacités, la question n’est plus de savoir si elles gèrent le risque fournisseur, mais si leur approche actuelle permet de prouver en continu que ce risque est compris, maîtrisé et étayé par des preuves, conformément à la directive et à son règlement d’exécution.
Pour beaucoup d’organisations, c’est là que les processus traditionnels atteignent leurs limites et que des plateformes comme 3rdComply deviennent un levier concret pour assurer leur conformité à l’échelle.