Modèle de politique sécurité fournisseurs 2026 : due diligence + questionnaire d'évaluation type

Vos fournisseurs sont votre première surface d’attaque : les compromissions par la chaîne d’approvisionnement (supply chain) sont devenues un vecteur majeur d’incidents, et la CNIL sanctionne les donneurs d’ordre qui choisissent des prestataires sans garanties. Le fondement est explicite : l’article 28(1) du RGPD n’autorise le recours qu’à des sous-traitants « qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées » — ce qui suppose de les évaluer avant de contracter et de les surveiller pendant. La directive NIS2 (UE 2022/2555, article 21(2)(d)) ajoute, pour les entités concernées, une obligation expresse de sécurité de la chaîne d’approvisionnement.

Voici un modèle complet de politique de sécurité fournisseurs, avec le questionnaire d’évaluation type. Il complète votre PSSI et vos DPA : la politique organise, le questionnaire évalue, le contrat engage.

Modèle de politique de sécurité fournisseurs

POLITIQUE DE SÉCURITÉ FOURNISSEURS ET TIERS — [Société] Version [1.0] — [date] — Propriétaire : [RSSI / DPO] — Validée par : [direction]

1. Objet et champ. La présente politique encadre la sécurité des relations avec tout tiers accédant aux données, aux systèmes ou aux locaux de [Société] : sous-traitants de données personnelles, prestataires IT, éditeurs SaaS, mainteneurs, consultants, prestataires de destruction d’archives.

2. Classification des fournisseurs. Chaque fournisseur est classé à l’entrée en relation :

• Critique : accès à des données personnelles sensibles ou à grande échelle, à des systèmes de production, ou service dont l’arrêt bloque l’activité. Exigences : questionnaire complet + preuves (certifications, rapports d’audit), DPA, clause d’audit, revue annuelle.
• Important : accès à des données personnelles ordinaires ou à des systèmes non critiques. Exigences : questionnaire simplifié, DPA, revue bisannuelle.
• Standard : aucun accès aux données ou systèmes. Exigences : engagement de confidentialité si accès aux locaux.

3. Due diligence avant contractualisation. Aucun fournisseur critique ou important n’est engagé sans : (a) questionnaire d’évaluation complété ; (b) analyse des écarts par [RSSI/DPO] ; © le cas échéant, plan de remédiation contractualisé ; (d) signature du DPA s’il traite des données personnelles ; (e) analyse des transferts hors UE et TIA si nécessaire.

4. Exigences contractuelles minimales. Tout contrat fournisseur critique/important contient : DPA article 28 le cas échéant ; notification d’incident sous [24/48] h ; droit d’audit ; réversibilité (restitution des données en format exploitable, suppression attestée) ; encadrement de la sous-traitance en cascade ; assurance cyber/RC pro ; localisation des données et conditions de transfert.

5. Suivi en cours de contrat. Revue périodique selon la classification : mise à jour du questionnaire, vérification des certifications, revue des incidents et des SLA, contrôle de la liste des sous-traitants ultérieurs. Tout incident chez un fournisseur déclenche la procédure de gestion des violations.

6. Fin de relation. Check-list de sortie : révocation des accès le jour de la fin de contrat, restitution/suppression des données attestée par écrit, restitution des équipements et badges, mise à jour du registre.

7. Registre des fournisseurs. [RSSI/DPO] tient l’inventaire : identité, classification, données et systèmes accédés, DPA signé (o/n), localisation des données, date de dernière évaluation, prochaine revue. Cet inventaire est réconcilié avec le registre des traitements (rubrique destinataires/sous-traitants) et, pour les entités financières, avec le registre d’information des prestataires TIC exigé par DORA.

Questionnaire d’évaluation type (fournisseur critique/important)

QUESTIONNAIRE SÉCURITÉ FOURNISSEUR — [Nom du fournisseur] — [date]

A. Organisation et gouvernance

1. Disposez-vous d’une politique de sécurité formalisée et revue annuellement ?
2. Certifications en cours de validité : ISO 27001 (périmètre exact ?), SOC 2 Type II, HDS, SecNumCloud ? Joindre les certificats.
3. Un RSSI/responsable sécurité est-il désigné ? Un DPO ?
4. Souscrivez-vous une assurance cyber ? Plafonds ?

B. Données personnelles 5. Où sont hébergées et sauvegardées les données (pays, datacenters) ? 6. Des accès depuis des pays tiers existent-ils (support, admin, développement) ? 7. Liste de vos sous-traitants ultérieurs traitant nos données ? 8. Acceptez-vous de signer notre DPA (ou fournissez le vôtre) avec notification d’incident sous 48 h ?

C. Sécurité technique 9. Chiffrement des données en transit (TLS ≥ 1.2) et au repos ? Gestion des clés ? 10. Authentification multifacteur pour les accès administrateurs et à distance ? 11. Gestion des habilitations : revue périodique, principe du moindre privilège ? 12. Journalisation et détection : SOC, EDR, durée de rétention des logs ? 13. Gestion des vulnérabilités : fréquence des scans, délais de patching, tests d’intrusion (date du dernier, synthèse communicable ?) ? 14. Sauvegardes : fréquence, isolation (hors ligne/immutables), tests de restauration ?

D. Résilience et incidents 15. PRA/PCA formalisés et testés ? RTO/RPO contractuels ? 16. Procédure de gestion des incidents et de notification client ? Incidents significatifs sur les 24 derniers mois ?

E. Personnel et sous-traitance 17. Engagements de confidentialité et sensibilisation sécurité des collaborateurs ? 18. Vos propres fournisseurs critiques sont-ils évalués ?

Cotation : chaque réponse notée 0-2, pondérée par criticité. Score < [seuil] → refus ou plan de remédiation contractualisé avec échéances.

Comment adapter ce modèle

Dimensionnez par la classification, pas par le zèle. Le questionnaire complet envoyé à tous vos fournisseurs produira des non-réponses et de la friction : réservez-le aux critiques, utilisez la version courte (questions 5-8, 9-10, 15-16) pour les importants. La proportionnalité est aussi ce que demande l’article 28 : « garanties suffisantes » s’apprécie au regard du risque du traitement confié.

Exigez des preuves, pas des déclarations. Une case cochée « ISO 27001 » sans certificat ni périmètre ne vaut rien — la certification peut couvrir un datacenter et pas le service que vous achetez. Pour les certifications françaises pertinentes (HDS pour la santé, SecNumCloud pour le cloud de confiance), vérifiez les référentiels sur le site de l’ANSSI et de la CNIL.

Reliez l’évaluation au contrat. Les engagements du questionnaire doivent devenir des clauses : localisation des données, MFA, délai de notification, sous-traitants listés. Sinon, la due diligence documente votre connaissance du risque… sans levier pour le traiter. Sur le volet cloud, voir sous-traitance cloud et RGPD.

Outillez le suivi. L’inventaire fournisseurs vit mal dans un tableur : dates de revue oubliées, DPA introuvables, sous-traitants en cascade non tracés. Legiscope relie sous-traitants, DPA et traitements du registre, ce qui transforme la revue annuelle en simple vérification d’écarts.

Erreurs courantes

• Évaluer une fois, puis plus jamais : les garanties s’apprécient en continu ; un fournisseur sain en 2024 peut avoir externalisé son support hors UE en 2026. La revue périodique est le cœur du dispositif — et une exigence NIS2 pour les entités concernées (directive NIS2).
• Confondre questionnaire et DPA : le questionnaire évalue, seul le contrat engage. Les deux sont nécessaires, aucun ne remplace l’autre.
• Ignorer la cascade : votre prestataire critique a ses propres sous-traitants ; exigez la liste et le droit d’objection (article 28(2)) — c’est là que se logent les transferts hors UE invisibles.
• Zéro procédure de sortie : les accès fournisseurs jamais révoqués après la fin du contrat sont un manquement classique à l’article 32 relevé en contrôle.
• Choisir malgré un score rédhibitoire « parce que le métier en a besoin » : documentez alors la décision, le risque accepté et par qui — l’accountability de l’article 5(2) vaut aussi pour les mauvaises décisions assumées.

FAQ

La due diligence fournisseurs est-elle une obligation légale ?

Oui, par l’article 28(1) RGPD : recourir à un sous-traitant sans vérifier ses « garanties suffisantes » est un manquement en soi, même sans incident. La CNIL l’a rappelé dans ses sanctions visant la relation donneur d’ordre/prestataire (Dedalus Biologie, SAN-2022-009, 1,5 M€ ; SLIMPAY, SAN-2021-020, 180 000 €). NIS2 ajoute une exigence de sécurité de la chaîne d’approvisionnement pour les entités essentielles et importantes.

Un fournisseur certifié ISO 27001 dispense-t-il d’évaluation ?

Non : la certification est un élément de preuve fort (l’article 28(5) mentionne d’ailleurs les mécanismes de certification), mais elle ne couvre ni votre périmètre contractuel spécifique, ni les données personnelles en tant que telles, ni la localisation. Vérifiez le périmètre du certificat et complétez par les questions données personnelles (bloc B).

Que faire quand un grand fournisseur refuse de répondre au questionnaire ?

Les hyperscalers ne remplissent pas les questionnaires clients : appuyez-vous sur leur documentation publique (rapports SOC 2, pages trust/compliance, DPA standard) et documentez votre analyse dans le dossier fournisseur. Le refus total de transparence d’un fournisseur plus petit, en revanche, est en soi un signal disqualifiant.

À quelle fréquence réévaluer les fournisseurs ?

Pratique de place : annuelle pour les critiques, tous les deux ans pour les importants, et immédiate en cas d’événement (incident, rachat du fournisseur, changement de sous-traitant ultérieur, migration de datacenter). Alignez la fréquence sur la classification de votre politique.

Conclusion

La sécurité fournisseurs tient en quatre pièces : une politique avec classification en trois niveaux, un questionnaire proportionné avec preuves, des clauses contractuelles qui reprennent les engagements, et une revue périodique outillée. Le modèle ci-dessus couvre l’ensemble ; commencez par classer vos vingt principaux fournisseurs et évaluer les critiques — c’est chez eux que se produira votre prochaine violation, et c’est votre nom qui figurera sur la notification à la CNIL.