Fournisseurs critiques et NIS2
la méthode pour piloter son risque tiers sans y passer sa vie, quand on est seul

Pourquoi NIS2 vous oblige à regarder au-delà de votre propre sécurité

La directive NIS2 ne se contente pas de vous demander de sécuriser vos propres systèmes. Elle impose explicitement d'évaluer et de surveiller la sécurité de votre chaîne d'approvisionnement : vos prestataires informatiques, vos éditeurs de logiciels, vos hébergeurs, vos intégrateurs. Autrement dit, le périmètre de votre responsabilité ne s'arrête plus à votre propre système d'information.

Ce n'est pas une exigence abstraite. Le baromètre CESIN 2025 le confirme avec un chiffre net : un tiers des incidents cyber en France trouve son origine chez un partenaire ou un fournisseur, pas chez la victime elle-même.

La conclusion est simple à énoncer et difficile à appliquer : vous ne pouvez plus vous contenter de sécuriser votre propre périmètre. Vous devez aussi savoir, à tout moment, qui sont vos fournisseurs critiques et quel niveau de confiance vous pouvez leur accorder.

Le vrai problème : qualifier des dizaines de fournisseurs, seul, sans outillage

Sur le papier, la démarche semble évidente : lister ses fournisseurs, évaluer leur niveau de sécurité, prioriser les actions. Dans la pratique, pour un RSSI seul dans une PME ou une ETI, c'est là que ça bloque. Une organisation de taille moyenne travaille facilement avec plusieurs dizaines de prestataires critiques : hébergeur, éditeurs métier, intégrateurs, sous-traitants IT, parfois des cabinets externes qui ont accès à des données sensibles. Envoyer un questionnaire de sécurité à chacun, dépouiller les réponses, les relancer, les tenir à jour : c'est un travail à temps plein, que personne n'a le temps de faire en plus du reste.

Résultat : la plupart des RSSI seuls renoncent, purement et simplement. Pas par manque de conviction, mais parce que l'ampleur perçue de la tâche décourage de la commencer. Le risque fournisseurs reste alors un point aveugle, documenté nulle part, jusqu'à ce qu'un incident le révèle — au mauvais moment.

La bonne nouvelle, c'est que NIS2 n'exige pas d'auditer tous vos fournisseurs avec la même profondeur. Elle exige une démarche proportionnée au risque. Et une démarche proportionnée commence toujours par la même question : lesquels, parmi tous ces fournisseurs, méritent vraiment votre attention en premier ?

La méthode : prioriser avant d'auditer, en 4 étapes

L'erreur la plus fréquente consiste à vouloir tout qualifier d'un coup, avec le même niveau d'exigence pour chaque fournisseur. La méthode qui fonctionne, même seul, repose sur l'inverse : trier avant d'approfondir.

1. 1. Lister sans filtrer. Sortez la liste complète de vos prestataires IT et de vos éditeurs, sans jugement de valeur à ce stade. Un tableur suffit largement pour commencer : nom, prestation fournie, type de données ou de systèmes auxquels le fournisseur a accès.
2. 2. Classer par criticité, pas par taille de contrat. Un petit prestataire avec un accès à votre infrastructure de production est plus critique qu'un gros fournisseur qui ne touche à rien de sensible. Trois critères suffisent pour classer rapidement chaque ligne : accès à des données sensibles ou personnelles, accès à des systèmes critiques pour votre activité, et facilité à le remplacer en cas de problème.
3. 3. Concentrer l'effort sur le haut de la liste. Les 10 à 15 % de fournisseurs les plus critiques méritent un vrai questionnaire de sécurité et un suivi régulier. Pour le reste, une déclaration simple ou une clause contractuelle standard suffit dans un premier temps — ce n'est pas l'idéal, mais c'est largement défendable au regard d'une approche proportionnée au risque.
4. 4. Garder l'inventaire vivant, pas figer un audit annuel. L'épisode FortiSIEM le montre bien : ce qui compte, ce n'est pas d'avoir audité ses fournisseurs il y a six mois, c'est de pouvoir répondre en quelques minutes à la question « est-ce qu'on utilise cet outil, chez nous ou chez l'un de nos prestataires ? » le jour où une faille critique tombe. Un inventaire qu'on met à jour à chaque nouveau contrat vaut mieux qu'un audit exhaustif qu'on ne refait jamais.

Par où commencer cette semaine, même avec un simple tableur

Vous n'avez pas besoin d'un outil ni d'un budget pour démarrer. Trois actions suffisent pour sortir ce sujet de la liste des choses « à faire un jour » :

• Bloquez une heure, pas plus, pour dresser la liste brute de vos prestataires IT à partir de vos contrats et de vos factures récurrentes. Ne cherchez pas l'exhaustivité parfaite dès le premier passage.
• Appliquez la grille de criticité en trois critères (données sensibles, systèmes critiques, facilité de remplacement) à chaque ligne. Trente secondes par fournisseur suffisent pour un premier tri.
• Envoyez un premier questionnaire court aux 3 à 5 fournisseurs qui ressortent comme les plus critiques. Ne visez pas l'exhaustivité du premier coup : une version imparfaite, envoyée cette semaine, vaut mieux qu'une version idéale qu'on repousse encore.

C'est exactement la démarche qu'on recommande à nos clients RSSI qui pilotent seuls leur périmètre sécurité : une version volontairement imprécise au départ, qu'on affine ensuite, plutôt qu'un audit parfait qui n'arrive jamais. L'objectif n'est pas la perfection dès le départ ; c'est de sortir du point mort.

En résumé

NIS2 impose d'évaluer la sécurité de votre chaîne d'approvisionnement, et le baromètre CESIN 2025 rappelle pourquoi : un tiers des incidents cyber en France vient d'un partenaire ou d'un fournisseur. Pour un RSSI seul, la bonne réponse n'est pas d'auditer tous ses prestataires en profondeur, mais de les classer par criticité pour concentrer l'effort là où il compte, avec un inventaire qu'on met à jour en continu plutôt qu'un audit figé dans un classeur.