Dernière mise à jour : 6 août 2026

ISO 27001 et relations avec les fournisseurs : exigences, preuves et surveillance

Les fournisseurs traitent des informations, exploitent des plateformes, développent des logiciels et accèdent à des systèmes. Un système de management de la sécurité de l'information doit intégrer les risques qui en résultent dans son champ d'application et son traitement des risques. ISO/IEC 27001:2022 définit les exigences pour un ISMS. ISO/IEC 27002:2022 fournit des indications sur la mise en œuvre des contrôles de sécurité de l'information.

Les normes n'imposent pas le même processus de fournisseur à chaque organisation. Le choix et la mise en œuvre des contrôles suivent le contexte propre et les risques évalués. Cet article paraphrase des thèmes de contrôle documentables publiquement. Il ne reproduit ni le texte de la norme ni ne remplace une édition normée sous licence, un conseil en certification ou un conseil juridique.

L'essentiel en bref

• ISO/IEC 27001 traite des risques fournisseurs dans le cadre de l'ISMS basé sur les risques ; ISO/IEC 27002 donne une orientation pratique concernant les contrôles associés.
• Les contrôles 5.19 à 5.23 concernent les relations avec les fournisseurs, les accords, les chaînes d'approvisionnement ICT, la surveillance et les modifications ainsi que l'utilisation du Cloud.
• Un processus fiable accompagne la sélection, le contrat, l'exploitation, les modifications significatives et la cessation de la relation.
• Les certificats et les questionnaires peuvent constituer des preuves, mais ne constituent pas une preuve automatique pour chaque contrôle nécessaire dans le champ concret.
• Le suivi technique complète les preuves organisationnelles. Une évaluation externe ne peut pas juger de manière définitive les processus internes et les obligations contractuelles.

Bien classer ISO/IEC 27001, 27002 et 27036

ISO/IEC 27001 est la norme d'exigences certifiables pour les systèmes de management de la sécurité de l'information. Selon l'ISO, un ISMS conforme doit traiter les risques de confidentialité, d'intégrité et de disponibilité avec un processus de gestion des risques adapté à la taille et aux besoins. La certification se rapporte au champ ISMS défini d'une organisation, et non automatiquement à chaque produit, emplacement ou fournisseur.

ISO/IEC 27002 n'est pas une norme certifiable de manière indépendante. L'ISO le décrit comme un guide avec des pratiques éprouvées et des objectifs de contrôle pour la sécurité de l'information. Les contrôles 5.19 à 5.23 forment dans l'édition 2022 un domaine cohérent pour les fournisseurs et l'utilisation du Cloud. Une entreprise doit évaluer leur pertinence dans son propre contexte de risques et documenter de manière traçable le traitement choisi.

La série ISO/IEC 27036 approfondit les relations avec les fournisseurs. La partie 1 explique la vue d'ensemble et les concepts du point de vue de l'acheteur et du fournisseur. La partie 2 contient des exigences fondamentales pour la définition, l'exploitation, la surveillance, la vérification, la maintenance et l'amélioration de ces relations. La partie 3 donne des directives pour les chaînes d'approvisionnement multi-niveaux de matériel, de logiciels et de services. La partie 4 traite des risques liés à l'approvisionnement et à la prestation de services Cloud.

ISO/IEC 27036 ne remplace pas ISO/IEC 27001. La série peut aider les responsables à structurer les processus fournisseurs et les chaînes d'approvisionnement ICT de manière plus détaillée. Les parties appliquées dépendent des produits, des services, des rôles contractuels et des risques.

Les contrôles 5.19 à 5.23 en tant que chaîne de processus

Les numéros de contrôle seuls ne constituent pas une liste de vérification pour une conformité générale. Ils signalent des thèmes qui devraient être interconnectés dans le traitement des risques. Le tableau suivant utilise des descriptions courtes de sens et ne contient pas de texte normatif.

Le contrôle 5.19 établit le cadre organisationnel. En découle des exigences adaptées aux risques pour 5.20. Pour les produits et services ICT, 5.21 élargit le regard au-delà du partenaire contractuel direct. 5.22 maintient l'évaluation à jour pendant l'exploitation. 5.23 complète les questions spécifiques aux cloud, telles que les responsabilités partagées, l'administration, les lieux de données, les modifications et la résiliation.

La colonne de preuves montre les preuves possibles, sans liste minimale contraignante. Les auditeurs évaluent si les contrôles choisis correspondent au risque, sont mis en œuvre et agissent dans le périmètre défini. Un contrat existant sans surveillance effective ne suffit pas, tout comme une valeur mesurée techniquement sans processus responsable.

De l'inventaire des fournisseurs aux exigences et au contrat

Le cycle de vie commence par un inventaire soigné. Il attribue les partenaires contractuels, la performance acquise, le propriétaire interne, la durée, les types de données, les accès aux systèmes, les sous-traitants et les processus commerciaux pris en charge. La criticité détermine la profondeur de l'audit et l'autorisation. Les critères peuvent être l'impact d'une défaillance, l'accès à des informations sensibles, la substituabilité, la concentration et la dépendance technique.

Avant la conclusion du contrat, l'entreprise vérifie si un fournisseur peut satisfaire aux exigences liées aux risques. Les déclarations autofournies, certificats, rapports d'audit, informations techniques, références et débats fournissent différentes preuves. Un certificat ISO/IEC-27001 n'est significatif que dans le périmètre et la période documentés. Par conséquent, vérifiez l'organisation certifiée, le champ d'application, les emplacements, les exclusions et la validité.

L'accord traduit les exigences pertinentes en responsabilités et règles vérifiables. Les sujets typiques incluent l'utilisation autorisée et la protection des informations, le contrôle d'accès, les incidents de sécurité, les vulnérabilités, les sous-traitants, les droits d'audit et d'information, la restitution ou la suppression des données ainsi que le soutien lors de la sortie. La conception concrète du contrat doit être entre les mains des fonctions juridiques et techniques responsables.

Un catalogue standard facilite l'approvisionnement, mais ne doit pas masquer la criticité et le type de performance. Pour un opérateur cloud avec accès administratif, d'autres preuves et escalades sont appropriées que pour un fournisseur sans accès au système ou aux données. Les écarts par rapport à la norme nécessitent une évaluation des risques documentée, une décision et, si nécessaire, des mesures compensatoires.

Un structuré processus de gestion des risques tiers peut relier l'inventaire, la criticité, la due diligence, les mesures et les approbations. Il doit être aligné avec le processus de gestion des risques ISMS, afin que les risques fournisseurs ne restent pas dans une base de données séparée sans propriétaire de risque.

Approfondir la chaîne d'approvisionnement ICT et les services cloud

Les chaînes d'approvisionnement ICT sont multi-niveaux. Le fournisseur direct peut utiliser des composants logiciels, des services de plateforme, des centres de données ou des services de support d'autres parties. ISO/IEC 27036-3:2023 aborde explicitement les risques des chaînes d'approvisionnement spatiales et multi-niveaux pour le matériel, les logiciels et les services. L'objectif est d'avoir une meilleure visibilité sur les dépendances et une gestion appropriée des risques, et non d'affirmer une chaîne d'approvisionnement connue en tout temps.

Pratiquement, l'acquéreur doit clarifier quels sous-traitants ou composants sont pertinents pour la performance acquise, comment les changements sont communiqués et qui traite les vulnérabilités. Pour les logiciels, les processus de développement et de mise à jour, l'origine des composants, les périodes de support et les alertes de sécurité peuvent être pertinents. La profondeur de détail atteignable et appropriée dépend de la position sur le marché, de la criticité et du modèle contractuel.

Les services cloud nécessitent une répartition claire des responsabilités. Le fournisseur assure les niveaux qu'il contrôle; le client reste responsable selon le modèle de service, notamment pour les identités, les autorisations, les configurations, les données et ses propres applications. ISO/IEC 27036-4 fournit des orientations sur les risques lors de l'acquisition et de la fourniture de services cloud. ISO/IEC 27017 complète les directives de contrôle pour les clients et les fournisseurs de cloud.

Pour la sélection, il est nécessaire de vérifier le traitement des données, les accès administratifs, la journalisation, le chiffrement, la sauvegarde, la restauration, la portabilité et la sortie. Des changements rapides de fonction et de contrat nécessitent également un processus. Une approbation au début en dit peu sur un service considérablement élargi par la suite.

Une évaluation technique externe peut compléter les ressources accessibles au public et les caractéristiques de sécurité observables d'un fournisseur. Un Note de sécurité rend les signaux et tendances sélectionnés comparables. Il ne reconnaît pas nécessairement chaque sous-traitant ni les versions logicielles concrètement vulnérables et ne confirme aucun contrôle interne du cloud.

Preuves, surveillance et modifications en exploitation

Après l'intégration, le risque fournisseur change. Les prestations s'élargissent, les sous-traitants changent, les certificats expirent et de nouvelles expositions techniques apparaissent. Le monitoring relie donc les événements organisationnels, les données de performances, les alertes de sécurité et les signaux techniques. Le rythme et la profondeur dépendent de la criticité et de la vitesse de changement.

Les preuves appropriées peuvent être des certificats actuels, des rapports d'audit ou d'inspection, des revues de service, des indicateurs, des rapports d'incidents, des plans d'action et des évaluations techniques. Chaque preuve a des limites. Un rapport d'audit concerne une période et un champ définis. Un questionnaire montre une auto-évaluation. Une vue externe capture des caractéristiques observables publiquement. Une évaluation solide documente la source, la date, la portée et les questions ouvertes.

La gestion des changements nécessite des déclencheurs. Cela inclut de nouveaux types de données, des accès supplémentaires aux systèmes, des changements de site ou de contrôle, de nouveaux sous-traitants, des interruptions importantes, des incidents de sécurité et des modifications de prestations. Le propriétaire interne évalue avec la sécurité de l'information, les achats, la protection des données et le droit, si une nouvelle évaluation des risques, un changement de contrat ou une approbation sont nécessaires.

Le monitoring technique ne devrait pas générer de preuve de culpabilité automatique. Une nouvelle découverte est d'abord attribuée et validée. Ensuite suivent la demande de clarification, l'action, le délai et le contrôle. L'approche de Gestion des risques liés aux tiers avec LocateRisk peut faire évoluer l'observation externe. Les preuves organisationnelles, les décisions contractuelles et les approbations internes restent des tâches distinctes.

Les indicateurs de gestion distinguent le processus et le risque. Les indicateurs de processus montrent des revues en retard, des propriétaires absents ou des preuves périmées. Les indicateurs de risque examinent les découvertes élevées ouvertes, les écarts récurrents ou les concentrations. Une valeur moyenne ne doit pas masquer des relations critiques individuelles.

Sortie ainsi que délimitation par rapport à NIS2 et DORA

Une relation fournisseur ne se termine pas avec la résiliation. Les accès, les clés, les certificats, les interfaces, les copies de données et les redirections doivent être traités de manière contrôlée. Le contrat et le plan de sortie clarifient le retour des données, la suppression, la transition, les obligations résiduelles et le soutien lors d'un changement de fournisseur. Pour les services critiques, la faisabilité de la sortie doit être vérifiée avant une interruption.

ISO/IEC 27001 est une norme de système de management volontaire et ne remplace pas le droit applicable. La directive NIS2 exige pour les entités essentielles et importantes concernées, entre autres, la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs et prestataires directs. Quelles obligations allemandes s'appliquent à une organisation concrète doivent être vérifiées selon le droit en vigueur et la pertinence. La contribution à Sécurité de la chaîne d'approvisionnement NIS2 explique le contexte réglementaire.

DORA s'applique aux entreprises financières couvertes par son article 2 et traite le risque de tiers en ICT avec des exigences détaillées en matière de gouvernance, de cycle de vie des contrats, de registre, de surveillance et de sortie. Le Règlement délégué (UE) 2024/1773 précise la politique pour les services ICT qui soutiennent des fonctions critiques ou importantes. Un programme de fournisseur basé sur ISO peut contribuer à des preuves et des processus, mais ne prouve pas automatiquement la conformité à DORA. Des détails supplémentaires sont fournis dans l'article sur Risque lié aux tiers dans le domaine des TIC dans le cadre de la directive DORA.

Pour la pratique, une base de processus commune avec des extensions réglementaires est recommandée. Inventaire, criticité, évaluation des risques, contrat, monitoring et sortie sont gérés de manière centralisée. Des exigences légales ou sectorielles supplémentaires complètent les champs, approbations, délais et preuves. Ainsi, les responsabilités demeurent cohérentes, sans que la certification ISO et la conformité légale ne soient assimilées.

Un processus fournisseur efficace ne montre pas seulement des documents lors de l'audit. Il peut expliquer pourquoi un tiers est critique, quelles exigences ont été convenues, comment les changements sont détectés et comment les risques ouverts sont traités. C'est précisément cette connexion entre décision, preuve et opération qui rend les contrôles fiables.

Questions fréquentes

---

Quels contrôles ISO 27001 concernent les relations avec les fournisseurs ?

Dans l'édition 2022, les contrôles 5.19 à 5.23 traitent des relations avec les fournisseurs, des exigences de sécurité dans les contrats, de la chaîne d'approvisionnement ICT, de la surveillance et des modifications des prestations fournies, ainsi que de l'utilisation sécurisée des services cloud.

---

Un certificat ISO 27001 du fournisseur suffit-il comme preuve ?

Pas seulement. Vérifiez l'organisation, le champ, les sites, la validité et le rapport à la prestation concernée. Selon le risque, d'autres preuves telles que des rapports d'audit, des informations techniques, des contrats, des revues de service ou des plans d'action peuvent être nécessaires.

---

Quel rôle joue ISO/IEC 27036 ?

La série de normes approfondit la sécurité de l'information dans les relations avec les fournisseurs. Elle traite des principes, des exigences concernant les relations entre acheteurs et fournisseurs, des chaînes d'approvisionnement multi-niveaux pour le matériel, les logiciels et les services, ainsi que des services cloud.

---

À quelle fréquence les fournisseurs devraient-ils être vérifiés ?

La fréquence devrait dépendre de la criticité, du risque et du changement. En plus des revues planifiées, des déclencheurs tels que de nouvelles prestations ou accès, des incidents de sécurité, des changements de sous-traitants, des preuves expirantes et des changements techniques remarquables sont appropriés.

---

Un certificat ISO 27001 prouve-t-il automatiquement la conformité à NIS2 ou DORA ?

Non. Un ISMS peut soutenir des processus et des preuves pertinents. Cependant, NIS2 et DORA ont leurs propres domaines d'application et exigences légales. La pertinence et la mise en œuvre doivent être vérifiées séparément.

Vous souhaitez observer régulièrement la situation de sécurité externe de vos fournisseurs et l'intégrer comme preuve dans votre ISMS ? Découvrez-en plus sur Gestion des risques liés aux tiers avec LocateRisk.