Nous cartographions vos fournisseurs et prestataires, évaluons leur criticité, menons la due diligence, renforçons les clauses, surveillons leur sécurité dans la durée et préparons les plans de sortie.
Une large part des incidents passe aujourd’hui par un prestataire : un infogérant, un éditeur, un service en nuage. Externaliser une activité n’en externalise pas le risque.
Nous traitons donc chaque tiers selon sa criticité : un examen léger pour la plupart, une due diligence approfondie, des clauses solides, une surveillance continue et une stratégie de sortie pour ceux dont vous dépendez vraiment.
Un effort proportionné à la criticité de chaque tiers, pour concentrer le travail là où il réduit le risque.
Vous obtenezUn registre des tiers classés par criticité
Vous obtenezUne évaluation par tiers critique
Vous obtenezDes clauses types et des avenants
Vous obtenezUn suivi continu et des plans de sortie
DORA, NIS 2 et le RGPD convergent : connaître ses tiers, les choisir sur des garanties, contractualiser et pouvoir en sortir.
Les entités financières gèrent le risque lié aux prestataires informatiques au sein de leur cadre de gestion des risques, tiennent un registre d’information sur tous leurs contrats de services informatiques et ne contractent qu’avec des prestataires qui appliquent des normes de sécurité appropriées.123
Pour les services soutenant des fonctions critiques ou importantes, elles mettent en place des stratégies de sortie.4
La directive demande aux États membres d’exiger des entités la sécurité de leur chaîne d’approvisionnement, en tenant compte des pratiques de cybersécurité de leurs fournisseurs ; le ReCyF (version de travail) leur fixe l’objectif d’une liste à jour de leurs prestataires et de processus, notamment contractuels, pour s’assurer de la conformité de leurs prestations.567
Le responsable de traitement ne fait appel qu’à des sous-traitants présentant des garanties suffisantes ; la CNIL recommande, de même, de ne faire appel qu’à de tels sous-traitants, et de considérer toute la chaîne de sous-traitance, pas seulement les sous-traitants directs.8910
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Nous tenons le registre des tiers à jour et surveillons à intervalles convenus les tiers critiques.
LivrablesNous menons les évaluations, analysons les réponses et recommandons les clauses et mesures, que vous arbitrez.
LivrablesNous animons le programme avec vos achats, vos juristes et vos métiers, sans effectuer les changements dans votre SI.
LivrablesDes questionnaires de sécurité proportionnés à la criticité du tiers, prêts à envoyer.
Sécurité, notification des incidents, audit, localisation, réversibilité : des clauses à adapter avec vos juristes.
Registre des tiers, évaluations, contrats et écarts dans un outil partagé avec vos équipes.
Non. Tous sont recensés, mais l’effort suit la criticité : un examen léger pour la plupart, une due diligence approfondie et une surveillance continue pour ceux dont dépendent vos activités ou vos données sensibles.
Documenter le risque, chercher des mesures compensatoires de votre côté, et faire accepter le risque résiduel par qui de droit. Pour une entité financière soumise à DORA, la stratégie de sortie prend alors toute son importance.4
Il en est une forme réglementée, centrée sur les contrats de services informatiques. Pour une entité financière, nous tenons les deux ensemble pour ne saisir chaque information qu’une fois.2
Non. Nous évaluons vos fournisseurs à distance : questionnaires, preuves demandées, observations techniques non intrusives. Lorsque la criticité justifie un audit approfondi et que le contrat le permet, nous vous aidons à trouver l’auditeur adapté, que vous mandatez, et intégrons ses constats au suivi.
Décrivez vos principaux prestataires et ce qu’ils font pour vous. Nous revenons vers vous avec une proposition de cadrage.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
32022R2554-a28-p1Financial entities shall manage ICT third-party risk as an integral component of ICT risk within their ICT risk management framework as referred to in Article 6(1), and in accordance with the following principles:32022R2554-a28-p3As part of their ICT risk management framework, financial entities shall maintain and update at entity level, and at sub-consolidated and consolidated levels, a register of information in relation to all contractual arrangements on the use of ICT services provided by ICT third-party service providers. The contractual arrangements referred to in the first subparagraph shall be appropriately documented, distinguishing between those that cover ICT services supporting critical or important functions and those that do not. Financial entities shall report at least yearly to the competent authorities on the number of new arrangements on the use of ICT services, the categories of ICT third-party service providers, the type of contractual arrangements and the ICT services and functions which are being provided. Financial entities shall make available to the competent authority, upon its request, the full register of information or, as requested, specified sections thereof, along with any information deemed necessary to enable the effective supervision of the financial entity. Financial entities shall inform the competent authority in a timely manner about any planned contractual arrangement on the use of ICT services supporting critical or important functions as well as when a function has become critical or important.32022R2554-a28-p5Financial entities may only enter into contractual arrangements with ICT third-party service providers that comply with appropriate information security standards. When those contractual arrangements concern critical or important functions, financial entities shall, prior to concluding the arrangements, take due consideration of the use, by ICT third- party service providers, of the most up-to-date and highest quality information security standards.32022R2554-a28-p8For ICT services supporting critical or important functions, financial entities shall put in place exit strategies. The exit strategies shall take into account risks that may emerge at the level of ICT third-party service providers, in particular a possible failure on their part, a deterioration of the quality of the ICT services provided, any business disruption due to inappropriate or failed provision of ICT services or any material risk arising in relation to the appropriate and continuous deployment of the respective ICT service, or the termination of contractual arrangements with ICT third-party service providers under any of the circumstances listed in paragraph 7. Financial entities shall ensure that they are able to exit contractual arrangements without:32022L2555-a21-p2-4supply chain security, including security-related aspects concerning the relationships between each entity and its direct suppliers or service providers;32022L2555-a21-p3Member States shall ensure that, when considering which measures referred to in paragraph 2, point (d), of this Article are appropriate, entities take into account the vulnerabilities specific to each direct supplier and service provider and the overall quality of products and cybersecurity practices of their suppliers and service providers, including their secure development procedures. Member States shall also ensure that, when considering which measures referred to in that point are appropriate, entities are required to take into account the results of the coordinated security risk assessments of critical supply chains carried out in accordance with Article 22(1).recyf:obj-3Les entités [importantes ou essentielles] réalisent et maintiennent à jour une liste des prestataires et fournisseurs informatiques intervenant dans la réalisation de leurs activités ou dans la fourniture de leurs services et avec lesquels il existe une relation de droit ou de fait ainsi que le périmètre et la nature de la prestation ou du service fourni.
Les entités [importantes ou essentielles] mettent en place des processus visant à s’assurer, notamment par la voie contractuelle de la conformité des prestations informatiques dont elles bénéficient aux obligations auxquelles l’entité est assujettie notamment en matière de gestion des risques qui menacent la sécurité de leurs réseaux et systèmes d’information et de notification des incidents importants.32016R0679-a28-p1Where processing is to be carried out on behalf of a controller, the controller shall use only processors providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that processing will meet the requirements of this Regulation and ensure the protection of the rights of the data subject.F14-PE-01Faire appel uniquement à des sous-traitants présentant des garanties suffisantes (notamment en termes de connaissances spécialisées, de fiabilité et de ressources).F14-MC-04Toute la chaine de sous-traitance (sous-traitants des sous-traitants) devrait être considérée et non seulement les sous-traitants directs.