Risques tiers et chaîne d'approvisionnement : qui exige quoi
Les violations passant par des fournisseurs continuent de grimper dans les statistiques d'incidents, et les référentiels ont suivi. La plupart exigent désormais la sécurité des fournisseurs, mais ils n'entendent pas la même chose par là.
Cet article couvre les 11 référentiels que ControlMapping avait mis en correspondance au moment de sa rédaction. Depuis, DORA, CPS 234, Cyber Essentials ont été ajoutés le 2026-10-27 ; leurs pages et la matrice de couverture les intègrent.
Les fournisseurs sont devenus l'une des voies d'accès les plus courantes vers les organisations, des mises à jour logicielles compromises aux prestataires de services managés victimes de violations. Les référentiels ont réagi, certains plus que d'autres. ControlMapping suit ce sujet à travers deux sujets : la gestion des risques fournisseurs (évaluation et gestion de chaque fournisseur) et le risque lié à la chaîne d'approvisionnement (le programme qui les encadre).
Gestion des risques fournisseurs
| Référentiel | Gestion des risques fournisseurs | Lien |
|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | Définition du sujet |
| ISO 27001 | A.5.19A.5.20A.5.22 | Correspondance |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | Correspondance |
| SOC 2 | CC9.2 | Éditorial |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | Correspondance |
| CMMC | — | |
| 800-53 | SA-4SA-9SR-6 | Correspondance |
| HIPAA | §164.308(b)(1)§164.314(a) | Correspondance |
| GDPR | Art.28(1)Art.28(3) | Éditorial |
| NIS2 | 5.15.26.1 | Correspondance |
| Essential Eight | — | Aucune correspondance dans nos données |
Détail complet et raison de chaque lien : Gestion des risques fournisseurs dans les référentiels →
Risque lié à la chaîne d'approvisionnement en tant que programme
| Référentiel | Risque lié à la chaîne d'approvisionnement | Lien |
|---|---|---|
| NIST CSF 2.0 | GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09 | Définition du sujet |
| ISO 27001 | A.5.19A.5.21 | Correspondance |
| CIS v8.1 | CIS 15.2 | Correspondance |
| SOC 2 | CC9.2 | Éditorial |
| PCI DSS | 6.3.212.8.1 | Correspondance |
| CMMC | — | |
| 800-53 | PM-30SR-2SR-3SR-11 | Correspondance |
| HIPAA | — | |
| GDPR | Art.28(1) | Éditorial |
| NIS2 | 5.16.1 | Correspondance |
| Essential Eight | — | Aucune correspondance dans nos données |
Détail complet et raison de chaque lien : Risque lié à la chaîne d'approvisionnement dans les référentiels →
Points de convergence
La plupart des référentiels imposent le même cycle de vie : connaître ses fournisseurs, les évaluer avant de s'engager, inscrire des exigences de sécurité dans les contrats, les surveiller et mettre fin à la relation de façon sécurisée. ISO 27001 couvre cela dans A.5.19 à A.5.22 ; PCI DSS exige une liste des prestataires de services, des accords écrits, une diligence raisonnable, une surveillance annuelle et une répartition documentée des responsabilités (12.8.1 à 12.8.5) ; SOC 2 attend que le risque lié aux prestataires soit évalué et géré (CC9.2) ; les CIS Controls exigent un inventaire, une classification, des exigences contractuelles, une évaluation, une surveillance et un désengagement sécurisé (Contrôle 15). Construisez ce cycle de vie une seule fois, et le même processus répondra à la plupart de ces référentiels.
Points de divergence
- RGPD [GDPR] se concentre sur les sous-traitants : contrats écrits comportant les clauses de l'article 28, et recours uniquement à des sous-traitants offrant des garanties suffisantes. Il porte sur les données personnelles, et non sur les fournisseurs en général.
- HIPAA exige des accords de partenariat commercial (§164.308(b)(1), §164.314(a)) avec toute entité qui traite des ePHI pour votre compte.
- NIS2 traite la sécurité de la chaîne d'approvisionnement comme une mesure à part entière (article 21, paragraphe 2, point d)), et le règlement d'application demande une politique de sécurité de la chaîne d'approvisionnement, des critères de sélection des fournisseurs et des exigences de sécurité contractuelles (points 5.1 et 5.2), en tenant compte des pratiques de sécurité et des vulnérabilités propres aux fournisseurs.
- NIST CSF 2.0 va le plus loin, avec dix sous-catégories Govern consacrées à la gestion des risques de la chaîne d'approvisionnement cyber, de la mise en place d'un programme à la gestion des fournisseurs tout au long du cycle de vie.
- CMMC Level 2 ne comporte aucune pratique relative aux fournisseurs ; la transmission des exigences aux sous-traitants découle des clauses contractuelles. Les Essential Eight n'abordent pas les fournisseurs.
À quoi ressemble un bon programme
- Un inventaire unique des fournisseurs, indiquant à quoi chaque fournisseur peut accéder et son niveau de criticité.
- Diligence raisonnable graduée : davantage pour les fournisseurs ayant accès à des données ou systèmes sensibles, moins pour les autres. Acceptez leur rapport SOC 2 ou leur certificat ISO lorsqu'il couvre le service, et vérifiez le périmètre.
- Exigences contractuelles : obligations de sécurité, notification des violations, droits d'audit et restitution ou suppression des données à la fin du contrat (clauses de l'article 28 du RGPD lorsque des données personnelles sont concernées).
- Surveillance proportionnée au niveau : revues annuelles pour les fournisseurs critiques, comme l'exige PCI DSS pour les prestataires de services.
- Fin de relation : révoquer les accès, récupérer ou supprimer les données, et le confirmer.
Les pages sujets Risques fournisseurs et Risque lié à la chaîne d'approvisionnement répertorient chaque exigence avec sa source. Notre article sur pourquoi un rapport SOC 2 ne répond pas à lui seul à la question des fournisseurs explique comment lire les garanties fournisseurs.
Questions
Que demande NIS2 en matière de sécurité de la chaîne d'approvisionnement ?
L'article 21, paragraphe 2, point d), exige la sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité des relations avec les fournisseurs directs et les prestataires de services. Le règlement d'application définit une politique de sécurité de la chaîne d'approvisionnement, des critères de sélection des fournisseurs et des exigences contractuelles (points 5.1 et 5.2).
CMMC Level 2 exige-t-il une gestion des risques liés aux fournisseurs ?
Pas en tant que programme. CMMC Level 2 reprend SP 800-171 Rev 2, qui porte sur la protection des CUI dans vos propres systèmes ; la transmission des exigences aux sous-traitants découle plutôt des clauses contractuelles.
Données au 2026-10-27 : les chiffres de cet article sont calculés à partir de la correspondance actuelle et sont mis à jour lorsqu'elle évolue. Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Pas un conseil en conformité.
Articles connexes
Analyse · 2026-10-27APRA CPS 234 et ISO 27001 : ce que couvre votre SMSI et ce qu'APRA ajouteUn SMSI ISO 27001 couvre presque chaque paragraphe de la norme CPS 234 de l'APRA, mais l'APRA ajoute des obligations pour le conseil d'administration, l'assurance des tiers et des délais de notification stricts.
Analyse · 2026-10-27Cyber Essentials face à l'Essential Eight : deux référentiels nationaux comparésLe Cyber Essentials britannique et l'Essential Eight australien visent tous deux les attaques courantes, mais ils ne couvrent pas les mêmes domaines. Ce qui se recoupe, ce qui ne se recoupe pas, et pourquoi.
Analyse · 2026-10-27DORA vs NIS2 : ce qu'un programme NIS2 couvre déjàDORA et NIS2 partagent l'essentiel de la sécurité, mais DORA ajoute registre, clauses et tests basés sur la menace. Article par article, ce qui se reporte.