Ce que le statut critique de tiers ne change pas pour les maîtres d’œuvre

Le régime de surveillance critique des tiers de DORA s’applique spécifiquement aux entités financières et aux prestataires TIC désignés comme critiques pour ce secteur. Les donneurs d’ordre de la défense et leurs sous-traitants ne sont pas directement concernés. Cependant, la logique sous-jacente s’applique tout autant à la dépendance d’un sous-traitant vis-à-vis de fournisseurs cloud et IT : la surveillance réglementaire d’un fournisseur, lorsqu’elle existe, ne transfère jamais la responsabilité du sous-traitant dans cette relation.

Certains sous-traitants qui observent cette évolution estiment que la leçon ne les concerne pas, car ils relèvent d’autres réglementations, telles que le CMMC ou des cadres de contrôle à l’export. Cette hypothèse passe à côté de l’essentiel : le risque de concentration autour d’un petit nombre de fournisseurs critiques est inhérent à cette dépendance, et non à une réglementation spécifique. Un sous-traitant peut être totalement hors du champ d’application de DORA et rester exposé au même risque que DORA vise à encadrer.

Résumé Exécutif

Les sous-traitants qui suivent l’évolution de cadres comme DORA dans les services financiers peuvent en tirer un enseignement direct pour leur propre gestion des risques fournisseurs, même sans être concernés : la concentration autour d’un petit nombre de fournisseurs critiques, et la responsabilité qui en découle, ne disparaît pas sous prétexte qu’aucun régulateur externe ne surveille ce fournisseur en particulier. Pour les responsables sécurité des programmes, la bonne approche consiste à traiter la concentration fournisseurs comme un risque à gérer en continu, et non comme une simple catégorie de conformité réservée à d’autres secteurs.

Points Clés à Retenir

1. Le fait qu’un fournisseur soit soumis à une surveillance externe ne transfère jamais la responsabilité du sous-traitant dans cette relation. L’obligation de comprendre et de gérer le risque incombe toujours au sous-traitant.
2. Les sous-traitants qui dépendent d’un petit nombre de fournisseurs IT critiques portent un risque de concentration, qu’un organisme externe les surveille ou non.
3. Les régulateurs et donneurs d’ordre attendent de plus en plus des preuves continues de la surveillance des fournisseurs, et non un simple exercice de diligence à la signature du contrat.
4. Tenir un registre des relations fournisseurs et de leur criticité reste pertinent, quel que soit le secteur, car le risque existe indépendamment de la réglementation.
5. L’obligation du sous-traitant de prouver la maîtrise de ses relations fournisseurs ne change jamais, quel que soit le regard extérieur.

Ce que signifie réellement la désignation de tiers critiques dans les services financiers

Comprendre pourquoi le mécanisme DORA existe permet de saisir pourquoi la leçon s’applique même hors du champ réglementaire. Ce mécanisme donne aux régulateurs une visibilité sur les prestataires dont la défaillance pourrait avoir des conséquences pour de nombreuses entités financières à la fois, en raison de leur impact systémique et de la concentration des dépendances.

La désignation concerne la concentration systémique, pas le risque individuel fournisseur

Un prestataire est désigné critique parce qu’un grand nombre d’entités réglementées en dépendent d’une manière susceptible de provoquer une perturbation sectorielle. L’exposition propre d’un sous-traitant à un fournisseur, selon le niveau de dépendance réel, est une question distincte à laquelle aucun mécanisme de désignation, dans aucun secteur, ne répond à sa place.

Pourquoi votre propre responsabilité ne change jamais

Qu’un régulateur surveille ou non directement un fournisseur, le sous-traitant qui dépend de ce fournisseur conserve l’entière responsabilité de comprendre ce qui se passe en cas de défaillance. Cela reste vrai quel que soit le secteur d’activité du sous-traitant.

La surveillance externe d’un fournisseur n’est pas la surveillance de votre contrat

Même lorsqu’un fournisseur fait l’objet d’un contrôle réglementaire poussé dans un autre secteur, ce contrôle porte sur la gestion générale des risques du fournisseur, et non sur le contrat spécifique, le plan de sortie ou la dépendance d’un client particulier. Un sous-traitant ne peut pas déléguer sa propre diligence à un régulateur qui n’a jamais examiné sa relation réelle avec ce fournisseur.

Le risque de concentration existe indépendamment du périmètre réglementaire

Un sous-traitant qui dépend d’un petit nombre de fournisseurs pour ses systèmes, son stockage ou ses communications porte le même risque structurel de concentration qu’un établissement financier vis-à-vis de ses prestataires TIC critiques, qu’une réglementation nomme ce risque ou non.

À quoi ressemble une bonne gestion des risques fournisseurs, réglementée ou non

Les pratiques qui rendent le régime de gestion des risques tiers de DORA efficace pour les entités financières sont les mêmes qui protègent toute organisation dépendant d’un petit nombre de fournisseurs critiques.

Un registre des relations fournisseurs est un document vivant

Tenir à jour une cartographie précise des fournisseurs impliqués dans les fonctions du programme, et du niveau de criticité de chacun, reste pertinent quel que soit le secteur, car c’est cet exercice qui permet d’identifier le risque de concentration avant qu’il ne devienne une crise.

La surveillance doit être continue, pas un exercice ponctuel

Un exercice de diligence réalisé une seule fois à la signature du contrat ne renseigne en rien sur la posture de risque actuelle du fournisseur, des années plus tard. Seule une surveillance continue, même informelle, transforme la relation fournisseur d’une simple hypothèse en un risque réellement géré.

Mettre en place la gestion des risques fournisseurs avant que le régulateur ne l’exige

Pour un sous-traitant, la bonne démarche consiste à bâtir la même capacité interne qu’une entité financière réglementée : disposer d’une vision actualisée en continu des fournisseurs réellement critiques, du niveau de concentration de cette dépendance, et des preuves d’une surveillance continue, non pas parce qu’une réglementation l’impose, mais parce que cela protège le programme.

Comment un Data Control Plane soutient la preuve continue de la gestion des risques fournisseurs

Prouver la maîtrise du risque fournisseur suppose de pouvoir montrer, en continu, quelles données transitent par quels fournisseurs et canaux, qui y a accédé et dans quelles conditions, sans se contenter des seules assurances du fournisseur.

Le Data Control Plane de Kiteworks applique des contrôles zero-trust à chaque action sur chaque canal, consignant un journal d’audit infalsifiable et non limité qui alimente directement les outils SIEM, offrant ainsi aux sous-traitants la preuve de leur propre surveillance fournisseurs, indépendamment de tout régime de désignation externe. L’architecture à locataire unique et les clés de chiffrement détenues par le client garantissent en outre que la maîtrise des échanges les plus sensibles ne dépend pas du statut de surveillance d’un tiers.

Les sous-traitants qui souhaitent voir comment la preuve continue soutient leur gestion des risques fournisseurs peuvent réserver une démo personnalisée.