Les agences qui utilisent une infrastructure partagée restent responsables des risques

Le régime de surveillance des tiers critiques de DORA s’applique spécifiquement aux entités financières et aux prestataires TIC désignés comme critiques pour ce secteur. Les agences gouvernementales ne sont pas directement concernées. Pourtant, la logique sous-jacente s’applique tout autant à la dépendance d’une agence à une infrastructure cloud partagée : la surveillance réglementaire d’un fournisseur, où qu’elle s’exerce, ne transfère jamais la responsabilité propre de l’agence dans cette relation.

Certaines agences, observant cette évolution, pensent que la leçon ne les concerne pas car elles relèvent d’autres réglementations. Cette supposition passe à côté de l’essentiel : le risque de concentration auprès d’un petit nombre de fournisseurs critiques est inhérent à cette dépendance, et non le résultat d’une réglementation spécifique. Une agence peut ne pas être concernée par DORA et pourtant être exposée au même risque de défaillance que DORA vise à encadrer.

Résumé Exécutif

Les agences qui suivent l’évolution de cadres comme DORA dans les services financiers peuvent en tirer un enseignement direct pour leur propre gestion des risques fournisseurs, même sans être concernées : la concentration auprès d’un petit nombre de fournisseurs critiques, et la responsabilité qui en découle, ne disparaît pas parce qu’aucun régulateur externe ne surveille ce fournisseur en particulier. Pour les responsables IT et achats, il s’agit de considérer la concentration des fournisseurs comme un risque à gérer en continu, et non comme une simple catégorie de conformité réservée à d’autres secteurs.

Points Clés à Retenir

1. Le fait qu’un fournisseur soit soumis à une surveillance externe ne transfère pas la responsabilité de l’agence dans cette relation. L’obligation de comprendre et de gérer le risque incombe toujours à l’agence.
2. Les agences qui s’appuient sur un petit nombre de fournisseurs cloud critiques supportent un risque de concentration, qu’un organisme externe surveille ou non ces fournisseurs.
3. Les citoyens et les organismes de contrôle attendent de plus en plus des preuves continues de la surveillance des fournisseurs, et non un simple exercice de diligence lors de la signature du contrat.
4. Tenir un registre des relations fournisseurs et de leur criticité reste pertinent, quelle que soit la réglementation sectorielle, car le risque sous-jacent existe indépendamment de la réglementation.
5. L’obligation pour l’agence de prouver la maîtrise de ses relations fournisseurs ne disparaît jamais, quel que soit le niveau de surveillance externe.

À quoi sert réellement la désignation de tiers critique dans les services financiers

Comprendre pourquoi le mécanisme de DORA existe permet de clarifier pourquoi la leçon sous-jacente s’applique même hors du champ de la réglementation. Ce mécanisme donne aux régulateurs une visibilité sur les prestataires dont la défaillance pourrait avoir des conséquences pour de nombreuses entités financières à la fois, en raison de leur impact systémique et de la concentration de la dépendance.

La désignation concerne la concentration systémique, pas le risque individuel lié à un fournisseur

Un fournisseur est désigné comme critique parce qu’un grand nombre d’entités réglementées en dépendent, ce qui pourrait entraîner une perturbation à l’échelle du secteur. L’exposition propre d’une agence à un fournisseur, selon le niveau de dépendance réel, est une question distincte que la désignation, quel que soit le secteur, ne traite pas à sa place.

Pourquoi votre propre responsabilité ne disparaît jamais

Qu’un régulateur surveille directement ou non un fournisseur, l’agence qui dépend de ce fournisseur conserve l’entière responsabilité de comprendre les conséquences d’une éventuelle défaillance. Cela reste vrai quel que soit le secteur d’activité de l’agence.

La surveillance externe d’un fournisseur n’est pas la surveillance de votre contrat

Même lorsqu’un fournisseur fait l’objet d’un contrôle réglementaire strict dans un autre secteur, cette surveillance porte sur la gestion générale des risques du fournisseur, et non sur le contrat, le plan de sortie ou la dépendance spécifique d’un client. Une agence ne peut pas déléguer sa propre diligence à un régulateur qui n’a jamais examiné sa relation concrète avec ce fournisseur.

Le risque de concentration existe indépendamment du périmètre réglementaire

Une agence qui dépend d’un petit nombre de fournisseurs pour ses systèmes, son stockage ou ses communications à destination des citoyens supporte le même risque structurel de concentration qu’une institution financière vis-à-vis de ses prestataires TIC critiques, que la réglementation nomme ou non ce risque explicitement.

À quoi ressemble une bonne gestion des risques fournisseurs, réglementation ou non

Les pratiques qui rendent le régime de gestion des risques tiers de DORA efficace pour les entités financières sont les mêmes qui protègent toute organisation dépendant d’un petit nombre de fournisseurs critiques.

Un registre des relations fournisseurs est un document vivant

Tenir à jour une cartographie précise des fournisseurs qui soutiennent les différentes fonctions gouvernementales, et du niveau de criticité de chacun, reste pertinent indépendamment des obligations sectorielles, car cet exercice permet d’identifier le risque de concentration avant qu’il ne devienne une crise.

La surveillance doit être continue, pas ponctuelle

Un exercice de diligence mené une seule fois lors de la signature du contrat n’apporte aucune information sur la posture de risque actuelle du fournisseur, plusieurs années plus tard. Une surveillance continue, même informelle, transforme la relation fournisseur d’une simple supposition en un risque effectivement géré.

Mettre en place une gestion des risques fournisseurs avant qu’un régulateur ne l’exige

Pour une agence, la réponse concrète consiste à développer la même capacité interne qu’une entité financière réglementée : disposer d’une vision actualisée en continu des fournisseurs réellement critiques, du niveau de concentration de cette dépendance, et des preuves d’une surveillance continue, non pas parce qu’une réglementation l’impose, mais parce que cela protège l’agence.

Comment un Data Control Plane soutient la preuve continue de la gestion des risques fournisseurs

Prouver la maîtrise des risques fournisseurs suppose de pouvoir démontrer, en continu, quelles données transitent par quels fournisseurs et canaux, qui y accède et dans quelles conditions, plutôt que de s’en remettre aux seules garanties du fournisseur.

Le Data Control Plane de Kiteworks applique des contrôles zero-trust à chaque action sur chaque canal, en générant un journal d’audit infalsifiable et non limité qui s’intègre directement dans les outils SIEM, offrant ainsi aux agences la preuve de leur propre surveillance fournisseurs, indépendamment de tout dispositif externe de désignation. L’architecture à locataire unique et les clés de chiffrement détenues par le client garantissent en outre que le contrôle des échanges les plus sensibles ne dépend d’aucun tiers ni de son statut réglementaire.

Les agences souhaitant voir comment la preuve continue renforce leur propre gestion des risques fournisseurs peuvent réserver une démo personnalisée.