Comment rédiger une politique de sécurité des fournisseurs

Pourquoi le risque tiers est désormais central

La plupart des compromissions passent aujourd'hui par un fournisseur. Une politique de sécurité des fournisseurs définit comment vous évaluez, contractualisez et surveillez les tiers qui traitent vos données ou opèrent vos systèmes critiques — et les régulateurs (NIS2, DORA) l'exigent de plus en plus.

Quoi inclure

Périmètre — quels fournisseurs sont concernés, classés selon le risque qu'ils portent.
Due diligence — questionnaires de sécurité, certifications (ISO 27001, SOC 2), revue avant intégration.
Contrats — clauses de sécurité, accord de traitement (DPA, article 28 RGPD), obligations de notification de violation et droit d'audit.
Classification du risque — examen renforcé pour les fournisseurs ayant accès à des données sensibles ou à des opérations critiques.
Suivi continu — réévaluation périodique, pas un contrôle unique à la signature.
Sortie — restitution ou suppression des données, et révocation des accès en fin de contrat.
Registre — tenir un inventaire à jour des fournisseurs et de leur risque.

Erreurs fréquentes

Évaluer un fournisseur une seule fois à la signature, jamais ensuite.
Aucun DPA avec les sous-traitants, un manquement RGPD direct.
Aucun registre des fournisseurs, donc personne ne sait qui accède à quoi.

Alignement référentiels

Correspond à l'Annexe A 5.19–5.22 d'ISO 27001:2022 (relations avec les fournisseurs), aux critères SOC 2, et soutient les exigences de risque tiers de NIS2 et DORA.

Sources de référence

NIST SP 800-161 Rev. 1 — gestion des risques de la chaîne d'approvisionnement (csrc.nist.gov/pubs/sp/800/161/r1/final).
ISO/IEC 27001:2022 — contrôles 5.19 à 5.22 de l'Annexe A, relations avec les fournisseurs (iso.org/standard/27001).
ENISA — ressources sur la sécurité de la chaîne d'approvisionnement (enisa.europa.eu).

Générez-la en quelques minutes

Voir un exemple de politique de sécurité des fournisseurs ou générez la vôtre gratuitement.

Questions fréquentes

Faut-il un accord de traitement (DPA) avec chaque fournisseur ?

Vous avez besoin d’un DPA au titre de l’article 28 du RGPD avec tout fournisseur qui traite des données personnelles pour votre compte. L’absence de DPA avec un sous-traitant est un manquement direct. Votre politique fournisseurs doit l’exiger avant l’intégration, avec les obligations de notification de violation et un droit d’audit.

À quelle fréquence réévaluer les fournisseurs ?

Le risque fournisseur est continu, pas un contrôle unique à la signature. Réévaluez périodiquement, avec un examen renforcé pour ceux qui accèdent à des données sensibles ou opèrent des activités critiques. Tenez un registre à jour pour toujours savoir qui accède à quoi.

Pourquoi le risque tiers compte-t-il autant aujourd’hui ?

La plupart des compromissions passent désormais par un fournisseur, et les régulateurs (NIS2, DORA) exigent de plus en plus une gestion du risque tiers. Une politique de sécurité des fournisseurs correspond à l’Annexe A 5.19–5.22 d’ISO 27001:2022 et offre un processus défendable d’évaluation, de contractualisation et de suivi.