French companies recognize supplier cyber risk as important, but 88% struggle to manage it effectively. Only 33.6% evaluate all suppliers, most use outdated questionnaires, and new EU regulations NIS 2 and DORA are forcing change. The solution: standardized scoring, shared evaluations, and moving from control to collaboration.
Bienvenue pour cette exploration. Aujourd'hui, on se penche sur un sujet critique en cybersécurité: le risque lié à nos fournisseurs. On dépend de plus en plus d'eux et ça ouvre des portes aux menaces.
Exactement. Et c'est un risque souvent sous-estimé ou en tout cas difficile à gérer. Pour y voir plus clair, on s'appuie sur l'Observatoire 2024 de Board of Cyber et du Cézine. Ils ont interrogé plus de 100 entreprises françaises.
D'accord. Et l'objectif, c'est quoi?
Comprendre comment elles perçoivent ce risque.
Ça. Comment elles le perçoivent, comment elles essayent de le gérer aujourd'hui, quels sont les blocages et aussi comment les nouvelles règles européennes comme NIS 2 et DORA vont impacter tout ça. On parle de plus en plus de sécurité collective, en fait.
La sécurité collective, l'idée qu'on est plus forts ensemble, en gros.
Voilà, on ne peut plus raisonner de façon isolée. La sécurité de l'un dépend de celle des autres dans la chaîne d'approvisionnement.
Bon, alors premier constat de l'étude?
Eh bien, apparemment, la prise de conscience est bien là. Presque 9 entreprises sur 10, 88%, considèrent ce risque comme important ou très important. On se dit que c'est bon signe, hein?
Oui, sur le papier, mais il y a un mais: un décalage assez net entre cette perception et la réalité sur le terrain.
Ah, c'est-à-dire?
Par exemple, même quand le risque est jugé très important, il n'est pas systématiquement suivi au plus haut niveau, au COMEX, seulement dans 76% des cas.
D'accord, donc ça reste un peu trop opérationnel, pas assez stratégique peut-être?
Ça peut être une interprétation, oui.
Et autre chiffre: seulement 55% des entreprises centralisent le pilotage de ce risque. Donc souvent, c'est encore un peu éclaté, géré par différentes équipes sans vraie vision globale.
Je vois. Et cette dispersion, elle se voit aussi dans la façon d'évaluer les fournisseurs?
Tout à fait. Tenez-vous bien: moins d'un tiers, à peine 33,6%, évaluent tous leurs fournisseurs.
Ah oui, quand même!
Ça veut dire que pour les deux tiers restants, il y a des angles morts potentiels.
Exactement. Et beaucoup n'en évaluent qu'un tout petit nombre chaque année. 42,5% en évaluent moins de 20 par an.
Moins de 20? Et à quelle fréquence? J'imagine que ce n'est pas tous les mois?
Non, loin de là. Le plus souvent, c'est une fois par an, pour 47,5%. Et pour presque un tiers, c'est même tous les 3 ans.
Tous les 3 ans? En cybersécurité, c'est une éternité. Les menaces évoluent tellement vite.
Absolument. C'est une approche assez statique, on peut dire. Mais attention, les choses pourraient bouger avec les nouvelles réglementations.
Ah oui, NIS 2 et DORA, vous en parliez au début. NIS 2, ça concerne beaucoup de monde, non?
Environ 15 000 entités en France, oui. Et DORA cible spécifiquement le secteur financier, applicable début 2025. Ces textes, ils imposent clairement une gestion du risque fournisseurs.
Donc ça va forcer les entreprises à revoir leur copie?
C'est l'effet attendu. D'ailleurs, plus de la moitié, 53,4%, prévoit déjà de modifier leur approche à cause de ça. Certains RSSI voient même ça comme un levier.
Un levier pour quoi faire?
Exiger plus des fournisseurs.
Exactement.
Pour pouvoir dire, regardez, ce n'est pas juste nous qui demandons, c'est la loi.
Mais ça implique de pouvoir évaluer plus, plus souvent, plus efficacement. Il faut industrialiser le processus. Et comment elles font aujourd'hui pour évaluer? C'est quoi les méthodes les plus courantes?
Alors, on est beaucoup sur du déclaratif, les fameux questionnaires de sécurité, utilisés par 2 tiers des entreprises. Les plans d'assurance sécurité aussi, où le fournisseur détaille ses mesures.
Donc on demande aux fournisseurs de s'auto-évaluer en quelque sorte?
En grande partie, oui. Il y a aussi les certifications type ISO 27001 qui sont regardées par un peu plus de la moitié des entreprises. Mais les méthodes plus continues comme la notation par des tiers ou l'analyse de la menace externe, le CTI, ça reste moins utilisé, moins de 30%.
On imagine le cauchemar pour un fournisseur qui doit répondre à des dizaines de questionnaires différents?
Bah oui, c'est une charge énorme pour eux. Et d'ailleurs, ça nous amène aux obstacles. Quels sont les freins principaux pour les entreprises qui veulent mieux gérer ce risque?
J'imagine que les ressources, c'est un gros sujet.
C'est le numéro 1, cité par près de 3 quarts des répondants, 73,2%. Manque de temps, manque de personnel qualifié.
Et après les ressources?
Juste derrière, c'est la difficulté à engager les fournisseurs eux-mêmes. Pour 64,3%. Les faire répondre, les faire agir sur les plans d'action, c'est pas simple.
Et en interne aussi, ça bloque parfois?
Oui, mobiliser les équipes métiers, les acheteurs, c'est un frein pour 51,4%. Il y a aussi le fait que certains fournisseurs n'ont tout simplement pas la capacité d'atteindre le niveau de sécurité requis, c'est cité par 48,5%. Et enfin, la difficulté à passer à l'échelle, à gérer un grand nombre de fournisseurs, 42,5%.
Bon, le tableau est complexe. Manque de ressources, difficultés d'engagement, passage à l'échelle. Comment sortir de ça? Est-ce qu'il y a des pistes, des envies de changement?
Oui, heureusement, il y a une forte aspiration à plus de standardisation. L'idée d'un cyberscore un peu universel pour les fournisseurs ou d'une plateforme commune d'évaluation, ça revient souvent.
Une sorte de bureau Veritas de la cyber pour les fournisseurs?
Un peu l'idée, oui. Et surtout, la piste de la mutualisation est très populaire. 71% des entreprises disent qu'elles accepteraient de réduire leur propre questionnaire si une évaluation fiable faite par un autre existait déjà.
Ah, ça c'est intéressant! Mutualiser l'effort, ça semble logique, mais j'imagine qu'il faut des conditions pour que ça marche. On ne fait pas confiance aveuglément.
Bien sûr que non! La confiance, c'est vraiment le mot-clé. Il faudrait, selon les entreprises, un tiers de confiance reconnu, des preuves tangibles, un périmètre d'évaluation très clair et surtout, que l'évaluation soit spécifique au service qui est fourni par le fournisseur.
D'accord, ce n'est pas juste une note générale, mais adaptée au contexte.
Voilà. En fait, tout ça nous pousse vers un changement assez profond. Il faut sortir de l'évaluation ponctuelle, un peu contrôle de police, pour aller vers quelque chose de plus collaboratif, de plus proactif, construire un véritable écosystème de confiance. Donc, pour résumer, on a une conscience très forte du risque fournisseur, une pression réglementaire qui monte, mais en face, de gros obstacles pratiques: les ressources, l'engagement des partenaires, la difficulté de gérer ça à grande échelle.
C'est exactement ça. La tension est là.
Et la sortie passerait par plus de standardisation, de mutualisation et finalement plus de collaboration en fait.
Un changement de posture en fait.
Une transformation, oui. Passer d'une logique de contrôle à une logique de partenariat sécurisé. Ce qui nous amène à une dernière question pour la route: Comment les organisations peuvent-elles vraiment bâtir cette confiance et cette collaboration nécessaires pour une sécurité collective efficace avec leurs fournisseurs Comment dépasser la simple conformité, surtout quand les ressources sont limitées et que mobiliser tout cet écosystème reste un vrai défi
