Gestion des risques tiers: comment auditer la cybersécurité de vos prestataires

En 2026, plus de 60 % des cyberattaques contre les PME transitent par un tiers de confiance : un prestataire informatique, un cabinet comptable, un fournisseur de logiciel SaaS, ou même un simple sous-traitant qui a accès à votre réseau. La gestion des risques tiers, ou TPRM (Third-Party Risk Management), est devenue l’un des piliers de toute stratégie de cybersécurité sérieuse. Voici comment l’aborder de manière structurée, même sans équipe sécurité dédiée.

Pourquoi vos prestataires sont-ils le maillon faible ?

La logique est simple : vous investissez dans votre propre sécurité, pare-feu, antivirus, MFA, sauvegardes, mais votre prestataire de maintenance informatique utilise peut-être encore un VPN sans MFA pour se connecter à vos serveurs. Un attaquant qui compromet ce prestataire accède à tous ses clients d’un coup. C’est exactement ce qui s’est passé lors de l’attaque SolarWinds en 2020, qui a compromis des milliers d’organisations via un simple éditeur de logiciel de monitoring réseau.

Nous avons analysé ce phénomène en détail dans notre article sur les attaques par supply chain : comprendre pourquoi vos fournisseurs sont ciblés est la première étape pour s’en protéger. La gestion des risques tiers est directement complémentaire du modèle d’audit cybersécurité PME que nous avons publié : c’est un audit spécifiquement orienté vers vos partenaires externes.

Cartographier vos tiers : la première étape indispensable

Avant d’auditer quoi que ce soit, vous devez savoir qui vous auditez. La plupart des PME ont une vision partielle de leurs tiers, elles connaissent les grands prestataires IT, mais ignorent que leur logiciel de paie connecté en API à leur SI ou que leur prestataire de ménage équipé d’un badge d’accès constituent aussi des risques tiers.

Commencez par dresser un inventaire exhaustif en trois catégories :

• Accès IT direct : prestataires de maintenance, hébergeurs, éditeurs de logiciels avec accès distant, intégrateurs, MSP (Managed Service Providers)
• Accès aux données : cabinets comptables et juridiques, prestataires RH externalisés, agences marketing avec accès CRM, plateformes SaaS traitant vos données clients
• Accès physique : services de nettoyage, prestataires de livraison réguliers, gardiennage, techniciens de maintenance matérielle

Une fois cet inventaire réalisé, classez chaque tiers par niveau de risque : critique (accès privilégié à votre SI ou à des données sensibles), élevé (accès limité mais régulier), standard (interaction ponctuelle sans accès direct).

Les 5 dimensions d’un audit de cybersécurité prestataire

1. Politique de sécurité et gouvernance

Le prestataire dispose-t-il d’une politique de sécurité formalisée et à jour ? A-t-il désigné un responsable de la sécurité (RSSI ou équivalent) ? Réalise-t-il des audits de sécurité réguliers ? Ces éléments de base sont souvent absents chez les petits prestataires, et leur absence est un signal d’alerte fort. Demandez systématiquement à consulter la politique de sécurité du prestataire avant toute signature de contrat.

2. Gestion des accès et authentification

Comment le prestataire gère-t-il les accès à votre environnement ? Utilise-t-il des comptes nominatifs individuels ou des comptes génériques partagés ? Le MFA (authentification multi-facteur) est-il activé sur tous les accès distants ? Les accès sont-ils révoqués immédiatement en cas de départ d’un technicien ? Ce dernier point est crucial : combien de fois des PME ont-elles découvert, des mois après la fin d’un contrat, que l’ancien prestataire avait encore des accès actifs à leur système ?

3. Sécurité des données et sous-traitance

Le prestataire sous-traite-t-il lui-même certaines activités à des tiers ? Si oui, quelles garanties offre-t-il sur la chaîne de sous-traitance ? Dans le cadre du RGPD, vous êtes responsable des sous-traitants de vos sous-traitants (sous-traitants ultérieurs). Notre article sur les obligations RGPD et cybersécurité pour les PME détaille ces responsabilités en cascade. Vérifiez que des DPA (Data Processing Agreements) en chaîne sont bien en place.

4. Gestion des incidents et continuité

Comment le prestataire vous notifie-t-il en cas d’incident de sécurité le concernant ? Dispose-t-il d’un plan de continuité d’activité testé ? Quelle est sa garantie de temps de reprise (GTR) en cas de cyberattaque le touchant ? Ces questions doivent figurer dans vos contrats, pas seulement dans vos questionnaires d’audit. Un prestataire qui n’a pas de procédure de notification d’incident est un risque contractuel et réglementaire pour vous.

5. Certifications et conformité réglementaire

Le prestataire dispose-t-il de certifications reconnues ? Les principales à rechercher sont : ISO 27001 (management de la sécurité de l’information), SOC 2 Type II (pour les prestataires cloud américains), HDS (hébergeur de données de santé, si pertinent), et les qualifications ANSSI (PASSI, PRIS, SecNumCloud) pour les prestataires français. Une certification n’est pas une garantie absolue, mais elle démontre une démarche structurée et auditée par un tiers indépendant.

Questionnaire d’évaluation : les 20 questions essentielles

Voici un questionnaire de base à adresser à vos prestataires critiques. Il ne remplace pas un audit complet, mais permet un premier niveau de qualification rapide :

Intégrer la cybersécurité dans vos contrats prestataires

Un audit sans clauses contractuelles contraignantes n’a qu’une valeur limitée. Votre contrat avec chaque prestataire critique doit inclure les clauses suivantes :

• Clause de notification d’incident : obligation de vous notifier dans les 24 heures ouvrées en cas d’incident de sécurité affectant vos données ou votre environnement
• Droit d’audit : possibilité pour vous (ou un tiers mandaté) de réaliser des audits de sécurité avec préavis raisonnable
• Gestion des accès : obligation de comptes nominatifs, MFA, et révocation sous 4h en cas de départ d’un collaborateur ayant accès à votre SI
• DPA RGPD : accord de traitement des données conforme au RGPD, couvrant la chaîne de sous-traitance
• Pénalités en cas de violation : clauses de responsabilité claires en cas de fuite de données imputable au prestataire

Pour les PME soumises à NIS2, ces exigences contractuelles ne sont plus optionnelles. La directive NIS2 impose explicitement aux entités concernées de mettre en place une gestion des risques liés à la chaîne d’approvisionnement.

Le processus TPRM en 4 phases

Phase 1 : Qualification initiale (avant contractualisation)

Avant de signer avec un nouveau prestataire critique, envoyez-lui le questionnaire d’évaluation. Analysez les réponses et identifiez les risques résiduels acceptables. Si le prestataire refuse de répondre ou fournit des réponses vagues, c’est un signal d’alerte majeur. Intégrez les clauses de sécurité dans le contrat avant signature, pas après.

Phase 2 : Surveillance continue

La cybersécurité d’un prestataire évolue dans le temps, en bien ou en mal. Mettez en place une surveillance continue : abonnez-vous aux alertes de violation de données (HIBP Enterprise, services de threat intelligence), suivez les actualités de sécurité concernant vos prestataires critiques, et vérifiez que leurs certifications restent valides. Certains outils spécialisés (SecurityScorecard, Bitsight, UpGuard) automatisent ce monitoring en scannant en permanence l’exposition externe de vos prestataires.

Phase 3 : Révision périodique

Planifiez une révision annuelle de chaque prestataire critique. Renouvelez le questionnaire, vérifiez l’évolution des certifications, et revisitez les clauses contractuelles si nécessaire. Pour les prestataires avec accès très sensible, envisagez un audit technique léger (scan de vulnérabilités, test d’intrusion ciblé sur l’interface d’accès qu’ils utilisent) tous les 2 ans.

Phase 4 : Gestion de la fin de contrat

La fin d’une relation prestataire est un moment à risque souvent négligé. Votre checklist de fin de contrat doit inclure : révocation de tous les accès IT dans les 4 heures suivant la fin du contrat, récupération ou destruction certifiée des données confiées, révocation des certificats et tokens d’API partagés, audit des traces de connexion des 30 derniers jours avant départ.

Les outils pour automatiser votre TPRM

Pour les PME qui souhaitent industrialiser cette démarche, plusieurs solutions existent :

• SecurityScorecard : évalue automatiquement le score de cybersécurité de vos prestataires (et de vous-même) à partir de données publiques ; tarif accessible pour les PME
• Prevalent TPRM : plateforme complète de gestion des risques tiers, avec questionnaires automatisés, workflow d’approbation et reporting ; plutôt orienté ETI
• OneTrust Vendorpedia : bibliothèque de questionnaires standardisés (SIG, CAIQ) et gestion des évaluations prestataires
• Simple questionnaire Excel/Google Sheets : pour les PME qui débutent, un tableur bien construit avec les 20 questions ci-dessus suffit pour un premier niveau de qualification

FAQ : Gestion des risques tiers en PME

Par combien de prestataires une PME est-elle typiquement exposée ?

Une PME de 50 à 200 salariés utilise en moyenne entre 30 et 80 fournisseurs SaaS et prestataires de service. Parmi eux, 5 à 15 ont généralement un accès direct ou indirect à des données sensibles ou au système d’information. C’est ce sous-ensemble critique qui doit faire l’objet d’une évaluation formelle.

Puis-je exiger une certification ISO 27001 de tous mes prestataires ?

Pour les prestataires critiques (accès direct au SI, traitement massif de données clients), oui, ou a minima une démarche de certification en cours. Pour les prestataires standard, c’est excessif. Adaptez vos exigences au niveau de risque : questionnaire de base pour les prestataires à risque standard, questionnaire approfondi + certificats pour les prestataires à risque élevé, audit formel pour les prestataires critiques.

Comment gérer un prestataire qui refuse de répondre au questionnaire ?

C’est un signal d’alerte sérieux. Demandez un entretien pour comprendre les raisons du refus : souvent, les prestataires n’ont tout simplement pas les réponses (absence de politique formalisée) plutôt qu’une réticence délibérée. Si le prestataire reste opposé à tout niveau de transparence sur sa sécurité, évaluez si sa criticité justifie de maintenir la relation ou de rechercher un prestataire alternatif plus coopératif.

La gestion des risques tiers est-elle obligatoire sous NIS2 ?

Oui, pour les entités directement soumises à NIS2 (entités essentielles et importantes). L’article 21 de la directive impose explicitement la mise en place de « politiques et procédures relatives à la sécurité de la chaîne d’approvisionnement ». En pratique, cela signifie un processus TPRM documenté, des clauses contractuelles de sécurité, et une surveillance continue des prestataires critiques.

Quelle différence entre un audit prestataire et une attestation SOC 2 ?

Un audit prestataire est réalisé par vous (ou un mandataire) sur votre prestataire spécifique. Une attestation SOC 2 est un audit indépendant réalisé par un cabinet certifié, qui évalue les contrôles de sécurité du prestataire de manière standardisée. Le SOC 2 Type II est plus robuste car il couvre une période de 6 à 12 mois (pas juste un instant T), mais il coûte cher à produire. Pour les PME, accepter un SOC 2 valide d’un prestataire est souvent plus efficient que de réaliser votre propre audit technique.