Les plateformes industrielles partagées ne partagent pas la responsabilité

Le régime de surveillance des tiers critiques de DORA s’applique spécifiquement aux entités financières et aux fournisseurs TIC désignés comme critiques pour ce secteur. Les fabricants ne sont pas directement concernés. Cependant, le schéma mis en lumière concerne tout autant la dépendance des fabricants aux plateformes industrielles et cloud partagées : la surveillance réglementaire d’un fournisseur, où qu’elle existe, ne transfère jamais la responsabilité du fabricant dans cette relation.

Certains fabricants, observant cette évolution, pensent que la leçon sous-jacente ne les concerne pas car ils sont soumis à une réglementation différente. Cette hypothèse passe à côté de l’essentiel : le risque de concentration sur un petit nombre de fournisseurs critiques est inhérent à cette dépendance, et non la conséquence d’une réglementation spécifique. Un fabricant peut être totalement hors du champ d’application de DORA et rester exposé aux mêmes risques de défaillance que DORA vise à maîtriser.

Résumé Exécutif

Les fabricants qui suivent l’évolution de cadres comme DORA dans les services financiers peuvent en tirer une leçon directe pour leur propre gestion des risques fournisseurs, même sans être concernés : la concentration sur un petit nombre de fournisseurs critiques, et la responsabilité que cela implique, ne disparaît pas parce qu’aucun régulateur externe ne surveille ce fournisseur en particulier. Pour les responsables IT et risques, il s’agit de traiter la concentration des fournisseurs comme un risque à gérer en continu, et non comme une simple catégorie de conformité réservée à d’autres secteurs.

Résumé des points clés

1. Le fait qu’un fournisseur soit soumis à une surveillance externe ne transfère pas la responsabilité du fabricant dans cette relation. L’obligation de comprendre et de gérer le risque incombe toujours au fabricant.
2. Les fabricants qui dépendent d’un petit nombre de fournisseurs de plateformes critiques sont exposés à un risque de concentration, que ces fournisseurs soient ou non surveillés par un organisme externe.
3. Clients et régulateurs attendent de plus en plus des preuves continues de la surveillance des fournisseurs, et non un simple exercice de due diligence lors de la signature du contrat.
4. Tenir un registre des relations fournisseurs et de leur criticité reste pertinent, quelle que soit la réglementation sectorielle, car le risque existe indépendamment de la réglementation.
5. L’obligation du fabricant de prouver la maîtrise de ses relations fournisseurs ne change jamais, quel que soit le regard externe porté sur celles-ci.

Ce que signifie réellement la désignation de tiers critiques dans les services financiers

Comprendre pourquoi le mécanisme de DORA existe permet de mieux saisir pourquoi la leçon sous-jacente s’applique même en dehors de la réglementation. Ce mécanisme donne aux régulateurs de la visibilité sur les fournisseurs dont la défaillance pourrait avoir des conséquences pour de nombreuses entités financières en même temps, en raison de leur impact systémique et de la concentration de la dépendance.

La désignation concerne la concentration systémique, pas le risque individuel lié à un fournisseur

Un fournisseur est désigné comme critique parce qu’un grand nombre d’entités réglementées dépendent de lui d’une manière qui pourrait provoquer une perturbation sectorielle. L’exposition propre d’un fabricant à un fournisseur, selon le degré de dépendance, est une question distincte à laquelle aucun mécanisme de désignation, dans aucun secteur, ne répond à sa place.

Pourquoi votre propre responsabilité ne change jamais

Qu’un régulateur surveille ou non directement un fournisseur, le fabricant qui dépend de ce fournisseur reste pleinement responsable de comprendre ce qui se passe en cas de défaillance. Cela vaut quel que soit le secteur d’activité du fabricant.

La surveillance externe d’un fournisseur n’est pas la surveillance de votre contrat

Même lorsqu’un fournisseur fait l’objet d’un contrôle réglementaire strict dans un autre secteur, ce contrôle porte sur la gestion globale des risques du fournisseur, et non sur le contrat, le plan de sortie ou la dépendance d’un client en particulier. Un fabricant ne peut pas déléguer sa propre due diligence à un régulateur qui n’a jamais examiné sa relation réelle avec ce fournisseur.

Le risque de concentration existe indépendamment du périmètre réglementaire

Un fabricant qui dépend d’un petit nombre de fournisseurs pour ses systèmes de production, d’ingénierie et de communication porte le même risque structurel de concentration qu’un établissement financier vis-à-vis de ses fournisseurs TIC critiques, qu’une réglementation nomme ou non explicitement ce risque.

À quoi ressemble une bonne gestion des risques fournisseurs, réglementée ou non

Les pratiques qui rendent le régime de gestion des risques tiers de DORA efficace pour les entités financières sont les mêmes qui protègent toute organisation dépendant d’un petit nombre de fournisseurs critiques.

Un registre des relations fournisseurs est un document vivant

Tenir à jour un inventaire précis des fournisseurs impliqués dans les fonctions de production et d’ingénierie, et du niveau de criticité de chacun, reste pertinent quelle que soit la réglementation sectorielle, car c’est cet exercice qui permet d’identifier le risque de concentration avant qu’il ne devienne une crise.

La surveillance doit être continue, pas un exercice ponctuel

Un exercice de due diligence mené une seule fois à la signature du contrat n’apporte aucune information sur le niveau de risque actuel du fournisseur plusieurs années plus tard. Une surveillance continue, même informelle, transforme la relation fournisseur d’une simple hypothèse en un risque réellement géré.

Construire la gestion des risques fournisseurs avant qu’un régulateur ne vous y oblige

Pour un fabricant, la bonne approche consiste à développer en interne la même capacité qu’une entité financière réglementée : disposer d’une vision actualisée en continu des fournisseurs réellement critiques, du niveau de concentration de cette dépendance, et des preuves d’une surveillance continue, non pas parce que la réglementation l’exige, mais parce que cela protège le fabricant.

Comment un Data Control Plane soutient la preuve continue de gestion des risques fournisseurs

Prouver la maîtrise des risques fournisseurs implique de pouvoir démontrer, en continu, quelles données transitent par quels fournisseurs et canaux, qui y a accédé et dans quelles conditions, plutôt que de s’en remettre aux seules garanties du fournisseur.

Le Data Control Plane de Kiteworks applique des contrôles zero trust à chaque action sur chaque canal, en capturant un journal d’audit inviolable et non limité qui s’intègre directement aux outils SIEM, offrant ainsi aux fabricants la preuve de leur propre surveillance fournisseurs, indépendamment de tout régime de désignation externe. L’architecture à locataire unique et les clés de chiffrement détenues par le client garantissent en outre que le contrôle du fabricant sur ses échanges les plus sensibles ne dépend pas du statut de surveillance d’un tiers.

Les fabricants qui souhaitent voir comment la preuve continue soutient leur propre gestion des risques fournisseurs peuvent réserver une démo personnalisée.