L’essentiel en bref<\/p>\n
- \n
- C\u0153ur l\u00e9gal :<\/strong> Le paragraphe 30 BSIG exige la s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement pour les fournisseurs directs, l’article 21 de NIS2 demande une gestion continue des risques. Un r\u00e9pertoire seul ne suffit pas.<\/li>\n
- DORA est plus strict :<\/strong> Dans le secteur financier, un registre des tiers IKT avec d\u00e9claration annuelle, strat\u00e9gies de sortie et surveillance continue s’applique depuis le 17 janvier 2025. Le 18 novembre 2025, l’autorit\u00e9 de supervision a d\u00e9sign\u00e9 19 prestataires critiques.<\/li>\n
- Le snapshot ne suffit pas :<\/strong> L’\u00e9tat du questionnaire d’hier ne couvre pas le changement de sous-traitant d’aujourd’hui. Le tiering par criticit\u00e9 et le monitoring continu remplacent le contr\u00f4le annuel.<\/li>\n
- L’ownership d\u00e9cide :<\/strong> Sans propri\u00e9taire clair pour chaque \u00e9tape du processus et sans rattachement au registre des risques de l’entreprise, le risque fournisseur reste un ticket d’approvisionnement plut\u00f4t qu’un sujet pour la direction.<\/li>\n<\/ul>\n<\/div>\n
Li\u00e9 :<\/span>TrapDoor : Attaque sur la cha\u00eene d’approvisionnement de npm, PyPI et Crates<\/a> \/<\/span> DORA et NIS2 : Pourquoi les audits bancaires se heurtent<\/a><\/p>\n
Ce que le paragraphe 30 exige vraiment pour la cha\u00eene d’approvisionnement<\/h2>\n
Qu’est-ce que le Third-Party-Risk-Management ?<\/strong> Le Third-Party-Risk-Management est le processus continu par lequel une organisation identifie, \u00e9value, s\u00e9curise contractuellement et surveille les risques de s\u00e9curit\u00e9 de ses prestataires de services, de ses fournisseurs de logiciels et de leurs sous-traitants. Il s’\u00e9tend de l’onboarding au contr\u00f4le continu jusqu’\u00e0 l’offboarding.<\/p>\n
Le paragraphe 30 alin\u00e9a 2 num\u00e9ro 4 BSIG mentionne explicitement la s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement comme mesure obligatoire. L’accent est mis sur les relations avec les prestataires directs. L’int\u00e9gralit\u00e9 de la cha\u00eene jusqu’\u00e0 la mati\u00e8re premi\u00e8re n’est pas concern\u00e9e. C’est la bonne nouvelle pour le Mittelstand : il s’agit des partenaires contractuels directs ayant acc\u00e8s aux syst\u00e8mes ou aux donn\u00e9es.<\/p>\n
La nouvelle moins confortable figure \u00e0 l’alin\u00e9a 1 et dans le texte europ\u00e9en. Les mesures doivent \u00eatre adapt\u00e9es, proportionn\u00e9es et efficaces, et une obligation de documentation s’y ajoute. L’article 21 de NIS2 exige une gestion continue des risques pour tous les syst\u00e8mes de r\u00e9seaux et d’information utilis\u00e9s par l’exploitation. Le consid\u00e9rant 85 de la directive nomme explicitement le cloud, la s\u00e9curit\u00e9 g\u00e9r\u00e9e et les logiciels. Un r\u00e9pertoire cr\u00e9\u00e9 une fois par an ne couvre pas cette obligation.<\/p>\n
DORA transforme le registre en obligation permanente<\/h2>\n
Ceux qui travaillent dans le secteur financier connaissent la norme plus stricte. DORA s’applique de mani\u00e8re contraignante depuis le 17 janvier 2025. Pour les entreprises financi\u00e8res, il pr\u00e9vaut en tant que droit plus sp\u00e9cifique \u00e0 la place des obligations NIS2 en mati\u00e8re de cha\u00eene d’approvisionnement. Les deux r\u00e9gimes ne s’appliquent pas en parall\u00e8le \u00e0 la m\u00eame entreprise. L’article 28 laisse l’enti\u00e8re responsabilit\u00e9 \u00e0 l’entreprise financi\u00e8re, m\u00eame lorsque la prestation est externalis\u00e9e.<\/p>\n
Le registre des informations n’est pas un Excel que l’on remplit une seule fois. Il est tenu au niveau de l’\u00e9tablissement et du groupe, d\u00e9clar\u00e9 annuellement \u00e0 l’autorit\u00e9 de supervision et doit pouvoir \u00eatre pr\u00e9sent\u00e9 int\u00e9gralement sur demande. Avant tout contrat pour une fonction critique, une due diligence est requise, ainsi qu’une analyse des risques de concentration et des strat\u00e9gies de sortie. L’article 30 prescrit des contenus contractuels pr\u00e9cis : dispositions relatives aux sous-traitants, localisation du traitement des donn\u00e9es, droits d’audit et obligations de notification en cas de modifications substantielles.<\/p>\n
La gravit\u00e9 avec laquelle l’autorit\u00e9 prend cela au s\u00e9rieux appara\u00eet le 18 novembre 2025. Les autorit\u00e9s europ\u00e9ennes de supervision EBA, EIOPA et ESMA ont publi\u00e9 la premi\u00e8re liste de prestataires tiers IKT critiques : 19 fournisseurs, dont plusieurs grands prestataires cloud et SAP. Ces prestataires sont d\u00e9sormais plac\u00e9s sous supervision directe de l’UE. Le risque de la cha\u00eene d’approvisionnement est r\u00e9gul\u00e9 au niveau du syst\u00e8me, bien au-del\u00e0 du contrat individuel.<\/p>\n
Pourquoi le questionnaire annuel ne comble pas la faille<\/h2>\n
J’ai un jour archiv\u00e9 un questionnaire fournisseur avec une coche verte pour l’ISO 27001 et consid\u00e9r\u00e9 le dossier comme clos. Quatre mois plus tard, le prestataire a chang\u00e9 de sous-traitant d’h\u00e9bergement. Le questionnaire \u00e9tait encore vert, la r\u00e9alit\u00e9 ne l’\u00e9tait plus. C’est pr\u00e9cis\u00e9ment cet \u00e9cart temporel qui pose probl\u00e8me.<\/p>\n
Le texte r\u00e9glementaire vise un cycle. Un contr\u00f4le unique ne lui suffit pas. Le paragraphe 30 num\u00e9ro 6 exige une \u00e9valuation de l’efficacit\u00e9, l’article 30 de DORA exige une surveillance continue pour les contrats critiques. Tous les fournisseurs n’ont pas besoin du m\u00eame niveau de profondeur. Un tiering selon l’acc\u00e8s aux syst\u00e8mes, la sensibilit\u00e9 des donn\u00e9es et la d\u00e9pendance \u00e0 la disponibilit\u00e9 distingue les partenaires Tier A de la longue liste de prestataires non critiques.<\/p>\n
S’y ajoute un probl\u00e8me de donn\u00e9es. Une enqu\u00eate sectorielle sur le Third-Party-Risk-Management de 2026 indique que seule une minorit\u00e9 des programmes est pleinement int\u00e9gr\u00e9e \u00e0 l’Enterprise-Risk-Management et encore moins d’organisations jugent \u00e9lev\u00e9e leur qualit\u00e9 de donn\u00e9es. Les valeurs exactes varient selon la m\u00e9thodologie. Le constat demeure : sans un registre propre, aucune d\u00e9cision de tiering fiable n’est possible. Sans rattachement \u00e0 l’ERM, le risque reste coinc\u00e9 dans un ticket d’approvisionnement au lieu de figurer dans le rapport trimestriel de la direction.<\/p>\n
Le tableau suivant oppose les deux approches.<\/p>\n
\n - DORA est plus strict :<\/strong> Dans le secteur financier, un registre des tiers IKT avec d\u00e9claration annuelle, strat\u00e9gies de sortie et surveillance continue s’applique depuis le 17 janvier 2025. Le 18 novembre 2025, l’autorit\u00e9 de supervision a d\u00e9sign\u00e9 19 prestataires critiques.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/st-15595-pexels-30901557-cybersecurity-vulnerability-250x167.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/dora-nis2-doppel-compliance-deutsche-banken-audit-team-2026-cover-hero-1-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/nis2-technische-mindestanforderungen-mittelstand-2026-cover-hero-250x141.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>