L'outil de gestion des tiers qui relie vos fournisseurs à vos actifs et à vos métiers

Un tiers est toute organisation externe dont la relation avec vous crée une exposition : fournisseur, prestataire, partenaire, revendeur. Le sous-traitant, au sens du RGPD, est celui qui traite des données personnelles pour votre compte, ce qui impose un contrat encadrant ce traitement. « Fournisseur critique » recouvre deux réalités distinctes : la criticité que vous qualifiez vous-même, en général à partir des fonctions critiques ou importantes que ce prestataire soutient, et, sous DORA, le prestataire tiers de services TIC critique, désigné au niveau européen par les autorités de surveillance. Un même prestataire peut relever des trois lectures.

Aucun texte unique ne l'impose, mais plusieurs régimes y conduisent. NIS2 range la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs directs, parmi les mesures de gestion des risques attendues des entités dans son champ. DORA consacre un chapitre entier au risque lié aux prestataires tiers de services TIC. Le RGPD impose un contrat écrit avec chaque sous-traitant, quel que soit votre secteur. L'ISO/IEC 27001 reste volontaire : ses contrôles sur les relations fournisseurs ne vous engagent que si vous êtes certifié ou si un client l'exige.

C'est une preuve utile, pas une réponse complète. Un certificat porte sur un périmètre déclaré, qui ne couvre pas forcément le service que vous achetez ni le site où vos données sont traitées : vérifiez ce périmètre, les dates de validité et l'organisme émetteur, dont l'accréditation se contrôle, puis demandez la déclaration d'applicabilité. Un rapport SOC 2 ou une qualification SecNumCloud se lisent avec la même méthode. Ces documents réduisent l'effort d'évaluation, ils ne remplacent pas votre analyse du risque que ce fournisseur fait peser sur vos activités.

Non, et vouloir le faire est le meilleur moyen de n'en évaluer sérieusement aucun. La segmentation se décide sur des critères observables : nature des données confiées, accès accordé à votre système d'information, dépendance opérationnelle, facilité de remplacement, profondeur de la chaîne de sous-traitance derrière le contrat. Un hébergeur de données de santé et un prestataire de fournitures de bureau ne méritent pas le même questionnaire. Ce qu'un auditeur regarde, c'est que la règle de classement soit écrite, appliquée, et revue quand le contrat ou l'usage évolue.

Par le contrat d'abord, par la preuve ensuite. Le RGPD interdit à votre sous-traitant de recruter un sous-traitant ultérieur sans votre autorisation écrite préalable et lui impose de répercuter les mêmes obligations de protection des données. DORA va plus loin pour les fonctions critiques ou importantes : les conditions de sous-traitance figurent au contrat et la chaîne doit être documentée et suivie. En pratique, exigez la liste des sous-traitants et sa mise à jour, un préavis avant tout changement, et vérifiez où les données sont réellement traitées. Une dépendance de rang deux reste votre risque.

Ce sont deux familles d'outils distinctes, souvent confondues au moment du choix. La gouvernance des données répond à des questions internes : quelles données existent, où elles sont, qui y accède, sur quelle base légale. La gestion du risque tiers répond à une question externe : quel niveau de risque cette organisation fait peser sur vos activités, et quelles preuves l'établissent. Les deux se rejoignent sur l'inventaire, mais un catalogue de données ne produit ni évaluation fournisseur, ni plan de traitement, ni piste d'audit opposable en contrôle. Si votre moteur est réglementaire (NIS2, DORA), c'est le second dont vous avez besoin.

Parce qu'une évaluation fournisseur n'est pas un livrable, c'est un cycle. Un tableur fige une photo à une date : il ne dit pas ce qui a changé depuis la campagne précédente, qui a accepté tel écart et pour combien de temps, ni quelles clauses de sécurité arrivent à renégociation. Le jour où une autorité ou un client vous demande de reconstituer une décision prise il y a deux ans, c'est cet historique qui manque. Une plateforme conserve ces liens, garde la trace des arbitrages et rejoue le fil complet. Chez Vailor, le registre des tiers relié à vos actifs est disponible, et les questionnaires analysés par l'IA sont prévus.