Cybersécurité de la chaîne d’approvisionnement : comment maîtriser les risques fournisseurs ?
DPO Consulting Rejoint Grant Thornton
Pendant longtemps, la cybersécurité a été pensée comme un sujet essentiellement interne : sécuriser le réseau, protéger les postes de travail, contrôler les accès et surveiller les systèmes d’information de l’entreprise. Cette approche montre aujourd’hui ses limites.
Les entreprises sont désormais au cœur d’écosystèmes numériques complexes, constitués de fournisseurs de logiciels, prestataires cloud, infogéreurs, éditeurs SaaS, cabinets de conseil, sous-traitants, partenaires et nombreuses dépendances open source. Une compromission chez l’un de ces acteurs peut permettre à un attaquant d’atteindre plusieurs organisations en cascade.
Le constat est désormais clairement établi au niveau européen. Dans son Threat Landscape 2025, ENISA souligne une intensification du ciblage des dépendances numériques et de la chaîne d’approvisionnement : les attaquants cherchent de plus en plus à compromettre des fournisseurs ou des composants intermédiaires afin d’amplifier l’impact de leurs opérations.
Dans ce contexte, une question devient essentielle : comment maîtriser un risque dont une partie significative se situe chez des organisations que l’entreprise ne contrôle pas directement ?
Le recours massif aux services numériques a profondément transformé les systèmes d’information. Une entreprise peut aujourd’hui dépendre de dizaines, voire de centaines, de fournisseurs pour assurer ses opérations quotidiennes : hébergement cloud, logiciels métiers, outils collaboratifs, services de paiement, maintenance informatique, cybersécurité, télécommunications ou encore composants logiciels open source.
Cette interconnexion crée une forme de paradoxe : plus l’entreprise externalise certaines fonctions, plus elle doit être capable d’en maîtriser les risques.
Le risque peut prendre la forme d’une compromission du système d’information d’un fournisseur, du vol d’identifiants chez un prestataire disposant d’accès privilégiés, d’une vulnérabilité dans un logiciel ou une dépendance open source, ou encore de l’indisponibilité prolongée d’un service critique.
L’enjeu n’est donc plus seulement de savoir si son propre système d’information est sécurisé. Il faut également se demander si les organisations dont dépend l’entreprise sont suffisamment robustes pour ne pas devenir son point faible.
Les attaques par la chaîne d’approvisionnement présentent une caractéristique particulière : elles permettent aux cyberattaquants de multiplier l’effet de levier d’une compromission initiale.
Plutôt que d’attaquer directement une grande entreprise très protégée, un attaquant peut chercher à compromettre un prestataire qui dispose d’un accès légitime à plusieurs clients. Le fournisseur devient ainsi un même point de compromission pouvant potentiellement affecter plusieurs organisations, plusieurs environnements et plusieurs secteurs d’activité.
ENISA observe précisément cette tendance dans son Threat Landscape 2025 : l’exploitation des dépendances numériques permet aux attaquants d’amplifier l’impact de leurs opérations en tirant parti de l’interconnexion des écosystèmes numériques.
Cette réalité est particulièrement importante pour les fournisseurs disposant de privilèges élevés : prestataires d’infogérance, services cloud, MSSP, éditeurs de logiciels, outils de supervision ou solutions de gestion des identités.
Une question doit donc être systématiquement posée lors de l’évaluation d’un tiers : « Que pourrait faire un attaquant avec les accès dont dispose ce fournisseur ? »
La réponse doit déterminer non seulement le niveau de sécurité attendu, mais également les mesures de continuité et de réversibilité nécessaires.
L’un des principaux défis réside aujourd’hui dans la visibilité. Les grandes entreprises connaissent généralement leurs fournisseurs directs. Mais elles disposent souvent d’une visibilité beaucoup plus limitée sur les dépendances indirectes.
Un fournisseur peut lui-même dépendre d’un hébergeur cloud, d’un éditeur logiciel, d’une bibliothèque open source, d’un sous-traitant, d’un prestataire de cybersécurité ou encore d’un fournisseur situé dans un autre pays. La chaîne peut donc rapidement devenir extrêmement complexe.
C’est précisément pourquoi ENISA considère les dépendances aux fournisseurs de services ICT comme l’un des risques émergents majeurs à long terme.
Le véritable enjeu pour les entreprises n’est donc plus uniquement de cartographier leurs fournisseurs, mais plutôt de comprendre les dépendances critiques qui se cachent derrière eux.
Cette évolution se retrouve désormais dans les réglementations européennes.
La directive NIS2 intègre explicitement la sécurité de la chaîne d’approvisionnement dans les mesures de gestion des risques cyber. Son article 21 impose aux entités essentielles et importantes de mettre en œuvre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur leurs réseaux et systèmes d’information.
Demander une simple attestation de sécurité à ses fournisseurs ne suffit plus.
Concrètement, les organisations doivent être capables d’identifier leurs fournisseurs critiques, d’évaluer les risques associés à ces dépendances et d’intégrer des exigences de sécurité dans leurs relations contractuelles. Elles doivent également être en mesure de suivre l’évolution de ces risques dans le temps et d’intégrer les incidents fournisseurs dans leurs dispositifs de gestion de crise.
ENISA recommande d’ailleurs une approche structurée de la cybersécurité de la chaîne d’approvisionnement couvrant notamment la gestion des risques, la relation fournisseur, la gestion des vulnérabilités et la qualité des produits et services.
La logique est donc claire : la sécurité d’un fournisseur ne doit plus être vérifiée uniquement au moment de sa sélection. Elle doit être pilotée pendant toute la durée de la relation.
Dans le secteur financier, cette logique est encore plus structurée avec DORA.
Le règlement européen sur la résilience opérationnelle numérique impose aux entités financières de gérer le risque lié aux prestataires TIC comme une composante à part entière de leur gestion des risques informatiques.
DORA rappelle notamment que le recours à un prestataire externe ne transfère pas la responsabilité de l’entité financière : celle-ci reste responsable du respect de ses obligations réglementaires. L’entreprise reste responsable de la maîtrise de son risque et doit disposer d’une visibilité suffisante sur les services dont elle dépend, notamment lorsqu’ils sont critiques.
Cette approche constitue un enseignement qui dépasse largement le seul secteur financier : externaliser une fonction ne signifie pas externaliser le risque.
Pour les entreprises financières comme pour leurs prestataires technologiques, la gestion des tiers devient donc un processus stratégique intégrant l’identification des dépendances critiques, l’évaluation des fournisseurs, la contractualisation, le suivi des risques et la capacité à réagir à une défaillance.
Face à cette complexité, les organisations ont besoin d’un cadre permettant de dépasser les questionnaires fournisseurs ponctuels et les évaluations réalisées en silos. La norme ISO/IEC 27001 constitue à ce titre un socle méthodologique particulièrement pertinent.
En s’appuyant sur un système de management de la sécurité de l’information (SMSI), la norme permet d’inscrire la gestion des risques fournisseurs dans une démarche structurée et d’amélioration continue. Elle aide notamment à identifier les dépendances critiques, évaluer les risques associés, définir des exigences de sécurité proportionnées et formaliser les responsabilités entre l’entreprise et ses partenaires.
Cette approche permet également d’intégrer la cybersécurité dans les processus achats et contractuels, de suivre les risques dans la durée et de conserver les preuves nécessaires aux audits.
☑ Cartographier l’ensemble des fournisseurs et prestataires numériques
☑ Identifier les fournisseurs critiques et les dépendances à fort impact
☑ Évaluer les risques selon la criticité réelle des services et des données
☑ Intégrer des exigences de cybersécurité dans les processus achats
☑ Renforcer les clauses contractuelles relatives à la sécurité et aux incidents
☑ Vérifier les accès privilégiés accordés aux prestataires
☑ Identifier les sous-traitants et dépendances indirectes lorsque cela est pertinent
☑ Mettre en place une surveillance continue des risques fournisseurs
☑ Tester les scénarios de compromission ou d’indisponibilité d’un fournisseur critique
☑ Prévoir des mécanismes de continuité et de réversibilité
☑ Intégrer les fournisseurs critiques dans les exercices de gestion de crise
☑ Documenter les contrôles et conserver les preuves nécessaires aux audits
En 2026, la cybersécurité ne se limite plus aux frontières de votre organisation.
Les systèmes d’information sont désormais interconnectés, les services sont externalisés et les chaînes de dépendances se multiplient. Dans ce contexte, la sécurité d’une organisation dépend aussi de la capacité de ses partenaires à résister, détecter et répondre aux cyberattaques.
Les évolutions réglementaires européennes vont dans le même sens. NIS2 intègre explicitement la sécurité de la chaîne d’approvisionnement dans la gestion des risques, tandis que DORA impose au secteur financier une approche structurée du risque lié aux prestataires TIC.
La conformité ne doit toutefois pas être l’unique motivation car maîtriser ses risques fournisseurs, c’est avant tout protéger la continuité de son activité.
L’objectif n’est pas de contrôler chaque fournisseur avec la même intensité, ni de multiplier les questionnaires et les audits. Il s’agit de développer une vision globale des dépendances, de concentrer les efforts sur les fournisseurs critiques et de construire une capacité de résilience.
Dans cette perspective, la cybersécurité devient un enjeu collectif : une entreprise réellement résiliente est une entreprise qui connaît ses dépendances, comprend ses risques et sait quoi faire lorsque l’un de ses partenaires devient le point d’entrée d’une crise.
Vous souhaitez évaluer vos risques fournisseurs, structurer votre dispositif de cybersécurité ou vous préparer aux exigences de NIS2 et de DORA ?
Découvrez l’accompagnement Cybersécurité de DPO Consulting : https://www.dpo-consulting.com/fr-fr/pole-cybersecurite
ou contactez nos experts pour définir une démarche adaptée à votre organisation : https://www.dpo-consulting.com/fr-fr/contact
%20(1).png)
.svg)
_FR%20(1).png)
.png)
