Risques tiers : ce qu'exigent NIS 2 et DORA

Face aux risques tiers, NIS 2 et DORA imposent la même discipline : connaître ses prestataires, les évaluer avant de signer, inscrire des exigences de sécurité dans le contrat, les contrôler dans la durée et préparer leur remplacement. NIS 2 en pose le principe (article 21), DORA le détaille pour le secteur financier (articles 28 à 30, avec un registre d'information obligatoire), et le RGPD encadre depuis 2018 les sous-traitants de données personnelles (article 28). Cet article, qui complète notre guide sur la gestion des risques tiers (TPRM), reprend ces exigences texte par texte, puis les compare.

Une organisation qui a durci son propre système d'information reste exposée par ceux qui y accèdent ou qui hébergent ses données : infogérant, éditeur de logiciel, hébergeur, prestataire de paie. Le rapport Data Breach Investigations Report 2025 de Verizon indique que l'implication d'un tiers dans les violations de données a doublé en un an, pour atteindre 30 % des cas étudiés. En France, l'ANSSI relève dans son panorama de la cybermenace 2025 que des exfiltrations de données sont parfois consécutives à la compromission d'un prestataire.

Les législateurs européens en ont tiré une conséquence simple : on peut externaliser un service, pas la responsabilité. DORA l'écrit noir sur blanc : l'entité financière reste « pleinement responsable » du respect de ses obligations lorsqu'elle recourt à un prestataire. Les grands incidents décrits dans notre article sur les attaques par la chaîne d'approvisionnement (SolarWinds, Kaseya, MOVEit) ont pesé dans cette évolution.

L'article 21 §2 d) : une mesure minimale

L'article 21 de la directive NIS 2 liste dix mesures que les entités essentielles et importantes doivent mettre en œuvre. Le point d) vise « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». Le point e) le prolonge avec la sécurité de l'acquisition, du développement et de la maintenance des systèmes. Pour un rappel du périmètre de la directive, voyez notre article De NIS à NIS 2.

L'article 21 §3 : évaluer chaque fournisseur

Le paragraphe 3 précise ce que l'entité doit regarder pour choisir ses mesures :

• les vulnérabilités propres à chaque fournisseur et prestataire direct ;
• la qualité globale de leurs produits et de leurs pratiques de cybersécurité, y compris leurs procédures de développement sécurisé ;
• les résultats des évaluations coordonnées des risques menées au niveau européen sur les chaînes d'approvisionnement critiques (article 22), comme celle qui a abouti à la boîte à outils 5G.

La directive ne dit pas comment faire : pas de liste de clauses, pas de format de registre. C'est le principe de proportionnalité qui s'applique, sous la responsabilité de la direction : l'article 20 demande aux organes de direction d'approuver les mesures et d'en superviser la mise en œuvre, et des manquements peuvent engager leur responsabilité (voir notre article sur les sanctions de NIS 2).

Le règlement d'exécution 2024/2690 pour les fournisseurs numériques

Pour certaines entités du numérique (fournisseurs d'informatique en nuage, centres de données, services gérés et services de sécurité gérés, places de marché, etc.), le règlement d'exécution (UE) 2024/2690 détaille les mesures. Sa partie consacrée à la chaîne d'approvisionnement demande une politique de sécurité dédiée, des critères de sélection des fournisseurs, des exigences de sécurité intégrées aux contrats et un répertoire à jour des fournisseurs et prestataires. C'est la meilleure grille de lecture disponible, même pour les entités qu'il ne vise pas directement.

Les États membres devaient transposer NIS 2 avant le 17 octobre 2024. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose aussi la directive sur la résilience des entités critiques et le volet « directive » de DORA, a été adopté par le Sénat le 12 mars 2025. La commission spéciale de l'Assemblée nationale a voté sa version le 10 septembre 2025, mais l'examen en séance a été repoussé à plusieurs reprises : le 6 octobre 2026, la conférence des présidents l'a encore retiré de l'ordre du jour du 7 octobre.

Entre-temps, la Commission européenne a saisi la Cour de justice de l'Union européenne le 8 juillet 2026 contre la France, l'Irlande, l'Espagne et les Pays-Bas pour défaut de transposition notifiée. Et l'ANSSI a publié le 17 mars 2026 le ReCyF (référentiel cyber France), la liste des mesures qu'elle recommande pour atteindre les objectifs de NIS 2, présentée comme un document de travail jusqu'à l'adoption de la loi.

Faut-il attendre la loi pour traiter ses tiers ? Non. Les exigences de la directive sont connues, le ReCyF en donne la déclinaison attendue, et vos grands clients, déjà soumis à DORA ou à NIS 2 ailleurs en Europe, vous envoient leurs questionnaires. L'inventaire et l'évaluation des fournisseurs prennent des mois : mieux vaut commencer avant que l'obligation ne devienne exigible.

Applicable depuis le 17 janvier 2025, le règlement DORA consacre son chapitre V à la gestion des risques liés aux prestataires tiers de services TIC. Pour une banque, une assurance, une société de gestion ou un établissement de paiement, il s'applique en priorité sur NIS 2 et va beaucoup plus loin. Nous le présentons en détail sur notre page logiciel de conformité DORA ; voici l'essentiel pour les tiers.

Article 28 : stratégie, diligence, audit, résiliation, sortie

• Stratégie : l'entité adopte une stratégie en matière de risque lié aux tiers, avec une politique d'utilisation des services qui soutiennent des fonctions critiques ou importantes, revue par l'organe de direction.
• Avant de signer : déterminer si la fonction est critique ou importante, identifier les risques, dont la contribution au risque de concentration, mener une diligence raisonnable et repérer les conflits d'intérêts.
• Normes de sécurité : ne contracter qu'avec des prestataires qui respectent des normes de sécurité de l'information appropriées.
• Audit : une fréquence et un périmètre d'audit fondés sur le risque.
• Résiliation : le contrat doit pouvoir être rompu en cas de manquement grave, de faiblesses avérées du prestataire ou d'obstacle à la supervision.
• Sortie : pour les fonctions critiques ou importantes, des stratégies de sortie documentées, testées et revues, avec des plans de transition.

Article 29 : le risque de concentration

Avant de confier une fonction critique, l'entité évalue si elle se rend dépendante d'un prestataire difficilement substituable, ou de plusieurs prestataires liés entre eux, et examine les chaînes de sous-traitance, notamment hors de l'Union.

Article 30 : les clauses contractuelles obligatoires

Tout contrat de services TIC doit contenir au minimum : une description complète des services et des conditions de sous-traitance, les pays où le service est fourni et où les données sont traitées, des dispositions sur la disponibilité, l'intégrité et la confidentialité des données, leur restitution en cas de défaillance du prestataire, les niveaux de service, l'assistance en cas d'incident, la coopération avec les autorités, les droits de résiliation et la participation aux formations de l'entité.

Pour les fonctions critiques ou importantes s'ajoutent des niveaux de service chiffrés, des obligations de notification, des plans de continuité testés, la participation aux tests de pénétration fondés sur la menace (TLPT), des droits d'accès, d'inspection et d'audit illimités et une stratégie de sortie avec période de transition obligatoire. Ces clauses trouvent naturellement leur place dans un plan d'assurance sécurité (PAS) annexé au contrat.

Les textes d'application à connaître

• Le règlement délégué (UE) 2024/1773 du 13 mars 2024 précise le contenu de la politique d'utilisation des services TIC qui soutiennent des fonctions critiques ou importantes.
• Le règlement d'exécution (UE) 2024/2956 du 29 novembre 2024 fixe les modèles du registre d'information.
• Le règlement délégué (UE) 2025/532 du 24 mars 2025, publié au Journal officiel de l'UE le 2 juillet 2025, encadre la sous-traitance des services TIC qui soutiennent des fonctions critiques ou importantes.

Le registre d'information DORA recense tous les accords contractuels avec des prestataires TIC, au niveau de l'entité et, le cas échéant, du groupe, en distinguant ceux qui soutiennent des fonctions critiques ou importantes. Il décrit les prestataires, les contrats, les services, les fonctions soutenues, les lieux de traitement et les chaînes de sous-traitance. Son format, une série de tableaux reliés, est imposé par le règlement 2024/2956.

Il sert deux usages : piloter vos dépendances, et alimenter la supervision. Les autorités nationales ont transmis les premiers registres aux autorités européennes de surveillance (AES) au 30 avril 2025, pour identifier les prestataires critiques. En France, la remise se fait sur la plateforme OneGate de la Banque de France : pour la campagne 2026, l'ACPR fixait une date limite au 31 mars 2026, sur des données arrêtées au 31 décembre 2025.

La première campagne a montré la difficulté de l'exercice : selon le bilan présenté par l'ACPR en janvier 2026, 84 % des entités avaient effectué une remise, mais seulement 39 % des remises avaient pu être traitées au niveau européen. Les rejets venaient surtout de problèmes de format (dates, arborescence, encodage). Leçon pratique : un registre se tient au fil de l'eau, à partir de données fournisseurs fiables, et non dans l'urgence d'une échéance.

DORA crée un cadre inédit : les AES (ABE, AEAPP, AEMF) supervisent directement les prestataires TIC jugés critiques pour le secteur financier. Le 18 novembre 2025, elles ont publié la première liste, qui compte 19 prestataires : grands fournisseurs de cloud, centres de données, infrastructures et réseaux, technologies propres au secteur financier. La liste est mise à jour chaque année.

Une autorité « de supervision principale » peut examiner leur gestion des risques, conduire des inspections et émettre des recommandations. En cas de refus de coopérer, elle peut infliger des astreintes allant jusqu'à 1 % du chiffre d'affaires quotidien moyen mondial du prestataire, pendant six mois au plus, et, en dernier recours, conduire les autorités nationales à exiger des entités financières qu'elles suspendent ou résilient le contrat. Pour vous, client, cela ne dispense de rien : vos obligations des articles 28 à 30 restent entières, y compris envers ces grands acteurs.

Bien avant NIS 2 et DORA, l'article 28 du RGPD a imposé une démarche de risque tiers pour les données personnelles. Le responsable de traitement ne peut recourir qu'à des sous-traitants offrant des « garanties suffisantes », et doit signer avec chacun un contrat qui prévoit au minimum :

• un traitement sur instruction documentée uniquement, et la confidentialité des personnes autorisées ;
• les mesures de sécurité de l'article 32 ;
• l'autorisation préalable de toute sous-traitance ultérieure, avec les mêmes obligations pour le sous-traitant de rang 2 ;
• l'aide au responsable pour les droits des personnes, les violations et les analyses d'impact ;
• la suppression ou la restitution des données en fin de contrat ;
• la mise à disposition des informations et la possibilité d'audits, y compris des inspections.

La CNIL détaille ces points dans son guide du sous-traitant. Elle sanctionne aussi les prestataires eux-mêmes : en avril 2022, l'éditeur Dedalus Biologie s'est vu infliger 1,5 million d'euros d'amende après une fuite touchant plus de 500 000 personnes, notamment pour manquement aux articles 28, 29 et 32. Pour tenir votre registre et vos contrats de sous-traitance, voyez notre module de conformité RGPD.

Les trois textes se recouvrent largement. Le comparateur ci-dessous les met côte à côte, exigence par exigence, avec la référence de l'article concerné.