La sécurité d’une entreprise dépend désormais aussi de celle de ses fournisseurs et partenaire, d’après Romain Meunier, architecte de solutions chez Integrity360 France. À mesure que les cybermenaces gagnent en sophistication et en ampleur, les entreprises doivent faire face à une réalité préoccupante : même les dispositifs de sécurité internes les plus robustes peuvent être mis en échec par les vulnérabilités d’un fournisseur, d’un prestataire ou d’un partenaire.
Le risque est désormais clairement identifié par les dirigeants. Selon le Global Cybersecurity Outlook 2026 du World Economic Forum, 65 % des grandes entreprises interrogées considèrent les vulnérabilités liées aux tiers et à la chaîne d’approvisionnement comme leur principal obstacle à la cyber-résilience, contre 54 % en 2025.
Fournisseurs, prestataires de services, sous-traitants et plateformes cloud sont aujourd’hui profondément intégrés au fonctionnement quotidien des entreprises. La gestion des risques liés aux tiers n’est donc plus une option : elle est devenue un enjeu stratégique.
Un périmètre de sécurité qui dépasse désormais celui de l’entreprise
Le risque lié aux tiers reste pourtant l’un des aspects les plus sous-estimés de la cybersécurité. Trop d’organisations considèrent encore qu’un système d’information interne correctement protégé suffit à assurer leur sécurité.
Elles consacrent donc leurs budgets et leurs ressources à renforcer leurs propres défenses (protection des terminaux, segmentation des réseaux, formation des collaborateurs) sans toujours prendre en compte une évolution fondamentale : le périmètre numérique de l’entreprise s’étend aujourd’hui bien au-delà de sa propre infrastructure.
Les failles liées aux tiers résultent souvent d’une évaluation insuffisante des prestataires, d’un manque de visibilité sur leurs pratiques de sécurité ou encore de l’absence d’une surveillance continue. Présumer qu’un partenaire externe possède le même niveau de maturité en matière de cybersécurité que sa propre organisation est une erreur. Et les cybercriminels le savent.
Ils ciblent de plus en plus les fournisseurs et les prestataires pour contourner les défenses d’une organisation et accéder à ses systèmes ou à ses données sensibles.
Les conséquences peuvent être considérables : interruption de l’activité, perte ou vol de données, atteinte à la réputation, perte de confiance des clients et sanctions réglementaires. Une vulnérabilité chez un prestataire peut ainsi devenir très rapidement une crise pour l’ensemble de l’organisation.
DORA place également les tiers au cœur de la résilience
Dans le secteur financier, l’enjeu est particulièrement important. Les établissements dépendent de plus en plus de prestataires externes de technologies et de services de données.
Le règlement européen DORA (Digital Operational Resilience Act) impose précisément un cadre destiné à éviter que ces partenaires ne deviennent les maillons faibles de la chaîne de cyber-résilience.
Les établissements financiers doivent notamment procéder à une évaluation approfondie avant de contractualiser avec un prestataire : résilience opérationnelle, dispositifs de cybersécurité, capacité à répondre à un incident ou encore protection des données.
Cette vigilance ne doit pas s’arrêter à la signature du contrat. Les responsabilités, les droits d’accès, les obligations de notification en cas d’incident ou encore les conditions de sortie de la relation doivent être clairement définis et régulièrement réévalués.
Passer d’une logique de conformité à une gestion continue du risque
Gérer les risques liés aux tiers ne peut plus consister à remplir un questionnaire de conformité une fois par an. Les entreprises doivent adopter une démarche proactive couvrant l’ensemble du cycle de vie de leurs relations avec leurs partenaires.
Première étape : évaluer le niveau de sécurité avant de s’engager. Avant toute contractualisation, l’organisation doit examiner la posture de cybersécurité du prestataire, notamment sa capacité à répondre à un incident, ses mesures de protection des données et sa conformité aux réglementations applicables.
Deuxième étape : intégrer la cybersécurité dans les contrats. Les rôles et responsabilités, les droits d’accès, les délais de notification en cas de compromission, les conditions d’audit et les modalités de traitement des données doivent être clairement définis.
Troisième étape : surveiller dans la durée. Le risque ne disparaît pas une fois le fournisseur référencé. Les entreprises doivent disposer des outils et des processus permettant de surveiller l’évolution du risque, de détecter les anomalies et de réagir rapidement à l’apparition d’une menace.
Quatrième étape : hiérarchiser les fournisseurs selon leur niveau de risque. Tous les partenaires ne présentent évidemment pas le même degré d’exposition. Un prestataire ayant accès à des données sensibles ou à des systèmes critiques doit faire l’objet d’un niveau de contrôle supérieur à celui d’un fournisseur sans accès au système d’information.
Cinquième étape : intégrer les tiers aux plans de réponse aux incidents. Lorsqu’une compromission survient chez un partenaire, les entreprises doivent pouvoir agir de manière coordonnée. Les responsabilités et les procédures doivent avoir été définies en amont afin de contenir rapidement l’incident et de préserver la continuité de l’activité.
La cyber-résilience est une responsabilité partagée
La gestion des risques liés aux tiers n’est plus une fonction technique ou administrative cantonnée aux équipes informatiques. Elle doit devenir un sujet de gouvernance et être prise en compte au niveau de la direction.
L’objectif dépasse la simple protection des systèmes. Il s’agit de pouvoir avoir confiance dans l’ensemble de son écosystème numérique.
Face à des cybercriminels qui exploitent de plus en plus les vulnérabilités de la chaîne d’approvisionnement, les organisations doivent abandonner une approche uniquement réactive ou dictée par la conformité pour adopter une véritable stratégie de gestion du risque.
Une gestion efficace des tiers contribue à renforcer la continuité de l’activité, à protéger la réputation de l’entreprise et à répondre aux exigences réglementaires. Elle favorise également une meilleure collaboration entre les équipes cybersécurité, achats, juridiques et opérationnelles.
Construire une chaîne d’approvisionnement cyber-résiliente n’est donc pas uniquement une question de technologie. Cela suppose également une évolution de la culture de l’entreprise : définir clairement ce que l’on attend de ses fournisseurs, investir collectivement dans la résilience et, surtout, accepter qu’en matière de cybersécurité, la confiance ne peut plus simplement être accordée. Elle doit être vérifiée en permanence.
