{"id":99027,"date":"2026-10-08T09:00:00","date_gmt":"2026-10-08T07:00:00","guid":{"rendered":"http:\/\/locaterisk.com\/de\/?post_type=wissen&#038;p=99027"},"modified":"2026-08-06T16:22:12","modified_gmt":"2026-08-06T14:22:12","slug":"iso-27001-relations-fournisseurs","status":"publish","type":"wissen","link":"https:\/\/locaterisk.com\/fr\/savoir\/iso-27001-relations-fournisseurs\/","title":{"rendered":"ISO 27001 et relations avec les fournisseurs : exigences, preuves et surveillance"},"content":{"rendered":"<h1 class=\"wp-block-heading\">ISO 27001 et relations avec les fournisseurs : exigences, preuves et surveillance<\/h1>\n\n<span class=\"lr-ai-disclosure\" style=\"display:block;max-width:843px;margin:8px auto 28px;font-size:14px;line-height:1.4;color:#8b93a7;font-family:inherit;font-style:italic;\">Ce texte a \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9 par l'intelligence artificielle (IA).<\/span>\n\n<p class=\"wp-block-paragraph\">Les fournisseurs traitent des informations, exploitent des plateformes, d\u00e9veloppent des logiciels et acc\u00e8dent \u00e0 des syst\u00e8mes. Un syst\u00e8me de management de la s\u00e9curit\u00e9 de l'information doit int\u00e9grer les risques qui en r\u00e9sultent dans son champ d'application et son traitement des risques. ISO\/IEC 27001:2022 d\u00e9finit les exigences pour un ISMS. ISO\/IEC 27002:2022 fournit des indications sur la mise en \u0153uvre des contr\u00f4les de s\u00e9curit\u00e9 de l'information.<\/p>\n<p class=\"wp-block-paragraph\">Les normes n'imposent pas le m\u00eame processus de fournisseur \u00e0 chaque organisation. Le choix et la mise en \u0153uvre des contr\u00f4les suivent le contexte propre et les risques \u00e9valu\u00e9s. Cet article paraphrase des th\u00e8mes de contr\u00f4le documentables publiquement. Il ne reproduit ni le texte de la norme ni ne remplace une \u00e9dition norm\u00e9e sous licence, un conseil en certification ou un conseil juridique.<\/p>\n<h2 class=\"wp-block-heading\">L'essentiel en bref<\/h2>\n<ul class=\"wp-block-list\"><li>ISO\/IEC 27001 traite des risques fournisseurs dans le cadre de l'ISMS bas\u00e9 sur les risques ; ISO\/IEC 27002 donne une orientation pratique concernant les contr\u00f4les associ\u00e9s.<\/li><li>Les contr\u00f4les 5.19 \u00e0 5.23 concernent les relations avec les fournisseurs, les accords, les cha\u00eenes d'approvisionnement ICT, la surveillance et les modifications ainsi que l'utilisation du Cloud.<\/li><li>Un processus fiable accompagne la s\u00e9lection, le contrat, l'exploitation, les modifications significatives et la cessation de la relation.<\/li><li>Les certificats et les questionnaires peuvent constituer des preuves, mais ne constituent pas une preuve automatique pour chaque contr\u00f4le n\u00e9cessaire dans le champ concret.<\/li><li>Le suivi technique compl\u00e8te les preuves organisationnelles. Une \u00e9valuation externe ne peut pas juger de mani\u00e8re d\u00e9finitive les processus internes et les obligations contractuelles.<\/li><\/ul>\n<h2 class=\"wp-block-heading\">Bien classer ISO\/IEC 27001, 27002 et 27036<\/h2>\n<p class=\"wp-block-paragraph\">ISO\/IEC 27001 est la norme d'exigences certifiables pour les syst\u00e8mes de management de la s\u00e9curit\u00e9 de l'information. Selon l'ISO, un ISMS conforme doit traiter les risques de confidentialit\u00e9, d'int\u00e9grit\u00e9 et de disponibilit\u00e9 avec un processus de gestion des risques adapt\u00e9 \u00e0 la taille et aux besoins. La certification se rapporte au champ ISMS d\u00e9fini d'une organisation, et non automatiquement \u00e0 chaque produit, emplacement ou fournisseur.<\/p>\n<p class=\"wp-block-paragraph\">ISO\/IEC 27002 n'est pas une norme certifiable de mani\u00e8re ind\u00e9pendante. L'ISO le d\u00e9crit comme un guide avec des pratiques \u00e9prouv\u00e9es et des objectifs de contr\u00f4le pour la s\u00e9curit\u00e9 de l'information. Les contr\u00f4les 5.19 \u00e0 5.23 forment dans l'\u00e9dition 2022 un domaine coh\u00e9rent pour les fournisseurs et l'utilisation du Cloud. Une entreprise doit \u00e9valuer leur pertinence dans son propre contexte de risques et documenter de mani\u00e8re tra\u00e7able le traitement choisi.<\/p>\n<p class=\"wp-block-paragraph\">La s\u00e9rie ISO\/IEC 27036 approfondit les relations avec les fournisseurs. La partie 1 explique la vue d'ensemble et les concepts du point de vue de l'acheteur et du fournisseur. La partie 2 contient des exigences fondamentales pour la d\u00e9finition, l'exploitation, la surveillance, la v\u00e9rification, la maintenance et l'am\u00e9lioration de ces relations. La partie 3 donne des directives pour les cha\u00eenes d'approvisionnement multi-niveaux de mat\u00e9riel, de logiciels et de services. La partie 4 traite des risques li\u00e9s \u00e0 l'approvisionnement et \u00e0 la prestation de services Cloud.<\/p>\n<p class=\"wp-block-paragraph\">ISO\/IEC 27036 ne remplace pas ISO\/IEC 27001. La s\u00e9rie peut aider les responsables \u00e0 structurer les processus fournisseurs et les cha\u00eenes d'approvisionnement ICT de mani\u00e8re plus d\u00e9taill\u00e9e. Les parties appliqu\u00e9es d\u00e9pendent des produits, des services, des r\u00f4les contractuels et des risques.<\/p>\n<h2 class=\"wp-block-heading\">Les contr\u00f4les 5.19 \u00e0 5.23 en tant que cha\u00eene de processus<\/h2>\n<p class=\"wp-block-paragraph\">Les num\u00e9ros de contr\u00f4le seuls ne constituent pas une liste de v\u00e9rification pour une conformit\u00e9 g\u00e9n\u00e9rale. Ils signalent des th\u00e8mes qui devraient \u00eatre interconnect\u00e9s dans le traitement des risques. Le tableau suivant utilise des descriptions courtes de sens et ne contient pas de texte normatif.<\/p>\n<figure class=\"wp-block-table\"><table><thead><tr><th>Contr\u00f4le<\/th><th>Th\u00e8me en forme courte de sens<\/th><th>Question pratique<\/th><th>\u00c9vidences possibles<\/th><\/tr><\/thead><tbody><tr><td>5.19<\/td><td>Cadre de s\u00e9curit\u00e9 pour la collaboration avec les fournisseurs<\/td><td>Comment les risques, les r\u00f4les et les r\u00e8gles sont-ils fix\u00e9s pour diff\u00e9rents types de fournisseurs ?<\/td><td>Politique, inventaire, criticit\u00e9 et \u00e9valuation des risques<\/td><\/tr><tr><td>5.20<\/td><td>R\u00e8gles de s\u00e9curit\u00e9 contraignantes pour l'approvisionnement en services<\/td><td>Quelles exigences et responsabilit\u00e9s sont convenues de mani\u00e8re contraignante ?<\/td><td>Contrat, s\u00e9curit\u00e9, obligations de prestation et de rapport<\/td><\/tr><tr><td>5.21<\/td><td>Gestion des risques \u00e0 travers plusieurs niveaux d'approvisionnement ICT<\/td><td>Comment les risques li\u00e9s aux composants, sous-traitants et plusieurs niveaux d'approvisionnement sont-ils trait\u00e9s ?<\/td><td>Informations sur les cha\u00eenes d'approvisionnement, preuves de d\u00e9veloppement et de modification<\/td><\/tr><tr><td>5.22<\/td><td>Contr\u00f4le continu et gestion des changements de performance<\/td><td>Comment la performance, la s\u00e9curit\u00e9, les \u00e9carts et les changements significatifs sont-ils suivis?<\/td><td>Examens, indicateurs, incidents, mesures et approbations de modifications<\/td><\/tr><tr><td>5.23<\/td><td>S\u00e9lection et utilisation s\u00e9curis\u00e9es des services cloud<\/td><td>Comment la s\u00e9lection, l'utilisation, l'exploitation et la r\u00e9siliation d'un service cloud sont-elles g\u00e9r\u00e9es de mani\u00e8re s\u00e9curis\u00e9e?<\/td><td>\u00c9valuation des risques cloud, mod\u00e8le de r\u00f4les, configuration et plan de sortie<\/td><\/tr><\/tbody><\/table><\/figure>\n<p class=\"wp-block-paragraph\">Le contr\u00f4le 5.19 \u00e9tablit le cadre organisationnel. En d\u00e9coule des exigences adapt\u00e9es aux risques pour 5.20. Pour les produits et services ICT, 5.21 \u00e9largit le regard au-del\u00e0 du partenaire contractuel direct. 5.22 maintient l'\u00e9valuation \u00e0 jour pendant l'exploitation. 5.23 compl\u00e8te les questions sp\u00e9cifiques aux cloud, telles que les responsabilit\u00e9s partag\u00e9es, l'administration, les lieux de donn\u00e9es, les modifications et la r\u00e9siliation.<\/p>\n<p class=\"wp-block-paragraph\">La colonne de preuves montre les preuves possibles, sans liste minimale contraignante. Les auditeurs \u00e9valuent si les contr\u00f4les choisis correspondent au risque, sont mis en \u0153uvre et agissent dans le p\u00e9rim\u00e8tre d\u00e9fini. Un contrat existant sans surveillance effective ne suffit pas, tout comme une valeur mesur\u00e9e techniquement sans processus responsable.<\/p>\n<h2 class=\"wp-block-heading\">De l'inventaire des fournisseurs aux exigences et au contrat<\/h2>\n<p class=\"wp-block-paragraph\">Le cycle de vie commence par un inventaire soign\u00e9. Il attribue les partenaires contractuels, la performance acquise, le propri\u00e9taire interne, la dur\u00e9e, les types de donn\u00e9es, les acc\u00e8s aux syst\u00e8mes, les sous-traitants et les processus commerciaux pris en charge. La criticit\u00e9 d\u00e9termine la profondeur de l'audit et l'autorisation. Les crit\u00e8res peuvent \u00eatre l'impact d'une d\u00e9faillance, l'acc\u00e8s \u00e0 des informations sensibles, la substituabilit\u00e9, la concentration et la d\u00e9pendance technique.<\/p>\n<p class=\"wp-block-paragraph\">Avant la conclusion du contrat, l'entreprise v\u00e9rifie si un fournisseur peut satisfaire aux exigences li\u00e9es aux risques. Les d\u00e9clarations autofournies, certificats, rapports d'audit, informations techniques, r\u00e9f\u00e9rences et d\u00e9bats fournissent diff\u00e9rentes preuves. Un certificat ISO\/IEC-27001 n'est significatif que dans le p\u00e9rim\u00e8tre et la p\u00e9riode document\u00e9s. Par cons\u00e9quent, v\u00e9rifiez l'organisation certifi\u00e9e, le champ d'application, les emplacements, les exclusions et la validit\u00e9.<\/p>\n<p class=\"wp-block-paragraph\">L'accord traduit les exigences pertinentes en responsabilit\u00e9s et r\u00e8gles v\u00e9rifiables. Les sujets typiques incluent l'utilisation autoris\u00e9e et la protection des informations, le contr\u00f4le d'acc\u00e8s, les incidents de s\u00e9curit\u00e9, les vuln\u00e9rabilit\u00e9s, les sous-traitants, les droits d'audit et d'information, la restitution ou la suppression des donn\u00e9es ainsi que le soutien lors de la sortie. La conception concr\u00e8te du contrat doit \u00eatre entre les mains des fonctions juridiques et techniques responsables.<\/p>\n<p class=\"wp-block-paragraph\">Un catalogue standard facilite l'approvisionnement, mais ne doit pas masquer la criticit\u00e9 et le type de performance. Pour un op\u00e9rateur cloud avec acc\u00e8s administratif, d'autres preuves et escalades sont appropri\u00e9es que pour un fournisseur sans acc\u00e8s au syst\u00e8me ou aux donn\u00e9es. Les \u00e9carts par rapport \u00e0 la norme n\u00e9cessitent une \u00e9valuation des risques document\u00e9e, une d\u00e9cision et, si n\u00e9cessaire, des mesures compensatoires.<\/p>\n<p class=\"wp-block-paragraph\">Un structur\u00e9 <a href=\"https:\/\/locaterisk.com\/fr\/atterrissage\/gestion-des-risques-lies-aux-tiers\/\">processus de gestion des risques tiers<\/a> peut relier l'inventaire, la criticit\u00e9, la due diligence, les mesures et les approbations. Il doit \u00eatre align\u00e9 avec le processus de gestion des risques ISMS, afin que les risques fournisseurs ne restent pas dans une base de donn\u00e9es s\u00e9par\u00e9e sans propri\u00e9taire de risque.<\/p>\n<h2 class=\"wp-block-heading\">Approfondir la cha\u00eene d'approvisionnement ICT et les services cloud<\/h2>\n<p class=\"wp-block-paragraph\">Les cha\u00eenes d'approvisionnement ICT sont multi-niveaux. Le fournisseur direct peut utiliser des composants logiciels, des services de plateforme, des centres de donn\u00e9es ou des services de support d'autres parties. ISO\/IEC 27036-3:2023 aborde explicitement les risques des cha\u00eenes d'approvisionnement spatiales et multi-niveaux pour le mat\u00e9riel, les logiciels et les services. L'objectif est d'avoir une meilleure visibilit\u00e9 sur les d\u00e9pendances et une gestion appropri\u00e9e des risques, et non d'affirmer une cha\u00eene d'approvisionnement connue en tout temps.<\/p>\n<p class=\"wp-block-paragraph\">Pratiquement, l'acqu\u00e9reur doit clarifier quels sous-traitants ou composants sont pertinents pour la performance acquise, comment les changements sont communiqu\u00e9s et qui traite les vuln\u00e9rabilit\u00e9s. Pour les logiciels, les processus de d\u00e9veloppement et de mise \u00e0 jour, l'origine des composants, les p\u00e9riodes de support et les alertes de s\u00e9curit\u00e9 peuvent \u00eatre pertinents. La profondeur de d\u00e9tail atteignable et appropri\u00e9e d\u00e9pend de la position sur le march\u00e9, de la criticit\u00e9 et du mod\u00e8le contractuel.<\/p>\n<p class=\"wp-block-paragraph\">Les services cloud n\u00e9cessitent une r\u00e9partition claire des responsabilit\u00e9s. Le fournisseur assure les niveaux qu'il contr\u00f4le; le client reste responsable selon le mod\u00e8le de service, notamment pour les identit\u00e9s, les autorisations, les configurations, les donn\u00e9es et ses propres applications. ISO\/IEC 27036-4 fournit des orientations sur les risques lors de l'acquisition et de la fourniture de services cloud. ISO\/IEC 27017 compl\u00e8te les directives de contr\u00f4le pour les clients et les fournisseurs de cloud.<\/p>\n<p class=\"wp-block-paragraph\">Pour la s\u00e9lection, il est n\u00e9cessaire de v\u00e9rifier le traitement des donn\u00e9es, les acc\u00e8s administratifs, la journalisation, le chiffrement, la sauvegarde, la restauration, la portabilit\u00e9 et la sortie. Des changements rapides de fonction et de contrat n\u00e9cessitent \u00e9galement un processus. Une approbation au d\u00e9but en dit peu sur un service consid\u00e9rablement \u00e9largi par la suite.<\/p>\n<p class=\"wp-block-paragraph\">Une \u00e9valuation technique externe peut compl\u00e9ter les ressources accessibles au public et les caract\u00e9ristiques de s\u00e9curit\u00e9 observables d'un fournisseur. Un <a href=\"https:\/\/locaterisk.com\/fr\/savoir\/quest-ce-quune-notation-de-securite\/\">Note de s\u00e9curit\u00e9<\/a> rend les signaux et tendances s\u00e9lectionn\u00e9s comparables. Il ne reconna\u00eet pas n\u00e9cessairement chaque sous-traitant ni les versions logicielles concr\u00e8tement vuln\u00e9rables et ne confirme aucun contr\u00f4le interne du cloud.<\/p>\n<h2 class=\"wp-block-heading\">Preuves, surveillance et modifications en exploitation<\/h2>\n<p class=\"wp-block-paragraph\">Apr\u00e8s l'int\u00e9gration, le risque fournisseur change. Les prestations s'\u00e9largissent, les sous-traitants changent, les certificats expirent et de nouvelles expositions techniques apparaissent. Le monitoring relie donc les \u00e9v\u00e9nements organisationnels, les donn\u00e9es de performances, les alertes de s\u00e9curit\u00e9 et les signaux techniques. Le rythme et la profondeur d\u00e9pendent de la criticit\u00e9 et de la vitesse de changement.<\/p>\n<p class=\"wp-block-paragraph\">Les preuves appropri\u00e9es peuvent \u00eatre des certificats actuels, des rapports d'audit ou d'inspection, des revues de service, des indicateurs, des rapports d'incidents, des plans d'action et des \u00e9valuations techniques. Chaque preuve a des limites. Un rapport d'audit concerne une p\u00e9riode et un champ d\u00e9finis. Un questionnaire montre une auto-\u00e9valuation. Une vue externe capture des caract\u00e9ristiques observables publiquement. Une \u00e9valuation solide documente la source, la date, la port\u00e9e et les questions ouvertes.<\/p>\n<p class=\"wp-block-paragraph\">La gestion des changements n\u00e9cessite des d\u00e9clencheurs. Cela inclut de nouveaux types de donn\u00e9es, des acc\u00e8s suppl\u00e9mentaires aux syst\u00e8mes, des changements de site ou de contr\u00f4le, de nouveaux sous-traitants, des interruptions importantes, des incidents de s\u00e9curit\u00e9 et des modifications de prestations. Le propri\u00e9taire interne \u00e9value avec la s\u00e9curit\u00e9 de l'information, les achats, la protection des donn\u00e9es et le droit, si une nouvelle \u00e9valuation des risques, un changement de contrat ou une approbation sont n\u00e9cessaires.<\/p>\n<p class=\"wp-block-paragraph\">Le monitoring technique ne devrait pas g\u00e9n\u00e9rer de preuve de culpabilit\u00e9 automatique. Une nouvelle d\u00e9couverte est d'abord attribu\u00e9e et valid\u00e9e. Ensuite suivent la demande de clarification, l'action, le d\u00e9lai et le contr\u00f4le. L'approche de <a href=\"https:\/\/locaterisk.com\/fr\/atterrissage\/la-gestion-des-risques-fournisseurs-en-toute-simplicite-2\/\">Gestion des risques li\u00e9s aux tiers avec LocateRisk<\/a> peut faire \u00e9voluer l'observation externe. Les preuves organisationnelles, les d\u00e9cisions contractuelles et les approbations internes restent des t\u00e2ches distinctes.<\/p>\n<p class=\"wp-block-paragraph\">Les indicateurs de gestion distinguent le processus et le risque. Les indicateurs de processus montrent des revues en retard, des propri\u00e9taires absents ou des preuves p\u00e9rim\u00e9es. Les indicateurs de risque examinent les d\u00e9couvertes \u00e9lev\u00e9es ouvertes, les \u00e9carts r\u00e9currents ou les concentrations. Une valeur moyenne ne doit pas masquer des relations critiques individuelles.<\/p>\n<h2 class=\"wp-block-heading\">Sortie ainsi que d\u00e9limitation par rapport \u00e0 NIS2 et DORA<\/h2>\n<p class=\"wp-block-paragraph\">Une relation fournisseur ne se termine pas avec la r\u00e9siliation. Les acc\u00e8s, les cl\u00e9s, les certificats, les interfaces, les copies de donn\u00e9es et les redirections doivent \u00eatre trait\u00e9s de mani\u00e8re contr\u00f4l\u00e9e. Le contrat et le plan de sortie clarifient le retour des donn\u00e9es, la suppression, la transition, les obligations r\u00e9siduelles et le soutien lors d'un changement de fournisseur. Pour les services critiques, la faisabilit\u00e9 de la sortie doit \u00eatre v\u00e9rifi\u00e9e avant une interruption.<\/p>\n<p class=\"wp-block-paragraph\">ISO\/IEC 27001 est une norme de syst\u00e8me de management volontaire et ne remplace pas le droit applicable. La directive NIS2 exige pour les entit\u00e9s essentielles et importantes concern\u00e9es, entre autres, la s\u00e9curit\u00e9 de la cha\u00eene d'approvisionnement, y compris les relations avec les fournisseurs et prestataires directs. Quelles obligations allemandes s'appliquent \u00e0 une organisation concr\u00e8te doivent \u00eatre v\u00e9rifi\u00e9es selon le droit en vigueur et la pertinence. La contribution \u00e0 <a href=\"https:\/\/locaterisk.com\/fr\/savoir\/nis2-securite-de-la-chaine-dapprovisionnement\/\">S\u00e9curit\u00e9 de la cha\u00eene d'approvisionnement NIS2<\/a> explique le contexte r\u00e9glementaire.<\/p>\n<p class=\"wp-block-paragraph\">DORA s'applique aux entreprises financi\u00e8res couvertes par son article 2 et traite le risque de tiers en ICT avec des exigences d\u00e9taill\u00e9es en mati\u00e8re de gouvernance, de cycle de vie des contrats, de registre, de surveillance et de sortie. Le R\u00e8glement d\u00e9l\u00e9gu\u00e9 (UE) 2024\/1773 pr\u00e9cise la politique pour les services ICT qui soutiennent des fonctions critiques ou importantes. Un programme de fournisseur bas\u00e9 sur ISO peut contribuer \u00e0 des preuves et des processus, mais ne prouve pas automatiquement la conformit\u00e9 \u00e0 DORA. Des d\u00e9tails suppl\u00e9mentaires sont fournis dans l'article sur <a href=\"https:\/\/locaterisk.com\/fr\/savoir\/dora-ikt-risque-lie-a-un-tiers\/\">Risque li\u00e9 aux tiers dans le domaine des TIC dans le cadre de la directive DORA<\/a>.<\/p>\n<p class=\"wp-block-paragraph\">Pour la pratique, une base de processus commune avec des extensions r\u00e9glementaires est recommand\u00e9e. Inventaire, criticit\u00e9, \u00e9valuation des risques, contrat, monitoring et sortie sont g\u00e9r\u00e9s de mani\u00e8re centralis\u00e9e. Des exigences l\u00e9gales ou sectorielles suppl\u00e9mentaires compl\u00e8tent les champs, approbations, d\u00e9lais et preuves. Ainsi, les responsabilit\u00e9s demeurent coh\u00e9rentes, sans que la certification ISO et la conformit\u00e9 l\u00e9gale ne soient assimil\u00e9es.<\/p>\n<p class=\"wp-block-paragraph\">Un processus fournisseur efficace ne montre pas seulement des documents lors de l'audit. Il peut expliquer pourquoi un tiers est critique, quelles exigences ont \u00e9t\u00e9 convenues, comment les changements sont d\u00e9tect\u00e9s et comment les risques ouverts sont trait\u00e9s. C'est pr\u00e9cis\u00e9ment cette connexion entre d\u00e9cision, preuve et op\u00e9ration qui rend les contr\u00f4les fiables.<\/p>\n\n<div class=\"wp-block-lr-faq-module\"><div class=\"content\"><h3>Questions fr\u00e9quentes<\/h3><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Quels contr\u00f4les ISO 27001 concernent les relations avec les fournisseurs ?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Dans l'\u00e9dition 2022, les contr\u00f4les 5.19 \u00e0 5.23 traitent des relations avec les fournisseurs, des exigences de s\u00e9curit\u00e9 dans les contrats, de la cha\u00eene d'approvisionnement ICT, de la surveillance et des modifications des prestations fournies, ainsi que de l'utilisation s\u00e9curis\u00e9e des services cloud.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Un certificat ISO 27001 du fournisseur suffit-il comme preuve ?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Pas seulement. V\u00e9rifiez l'organisation, le champ, les sites, la validit\u00e9 et le rapport \u00e0 la prestation concern\u00e9e. Selon le risque, d'autres preuves telles que des rapports d'audit, des informations techniques, des contrats, des revues de service ou des plans d'action peuvent \u00eatre n\u00e9cessaires.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Quel r\u00f4le joue ISO\/IEC 27036 ?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">La s\u00e9rie de normes approfondit la s\u00e9curit\u00e9 de l'information dans les relations avec les fournisseurs. Elle traite des principes, des exigences concernant les relations entre acheteurs et fournisseurs, des cha\u00eenes d'approvisionnement multi-niveaux pour le mat\u00e9riel, les logiciels et les services, ainsi que des services cloud.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">\u00c0 quelle fr\u00e9quence les fournisseurs devraient-ils \u00eatre v\u00e9rifi\u00e9s ?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">La fr\u00e9quence devrait d\u00e9pendre de la criticit\u00e9, du risque et du changement. En plus des revues planifi\u00e9es, des d\u00e9clencheurs tels que de nouvelles prestations ou acc\u00e8s, des incidents de s\u00e9curit\u00e9, des changements de sous-traitants, des preuves expirantes et des changements techniques remarquables sont appropri\u00e9s.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Un certificat ISO 27001 prouve-t-il automatiquement la conformit\u00e9 \u00e0 NIS2 ou DORA ?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Non. Un ISMS peut soutenir des processus et des preuves pertinents. Cependant, NIS2 et DORA ont leurs propres domaines d'application et exigences l\u00e9gales. La pertinence et la mise en \u0153uvre doivent \u00eatre v\u00e9rifi\u00e9es s\u00e9par\u00e9ment.<\/p><\/div><\/div><\/div><\/div>\n\n<p class=\"wp-block-paragraph\">Vous souhaitez observer r\u00e9guli\u00e8rement la situation de s\u00e9curit\u00e9 externe de vos fournisseurs et l'int\u00e9grer comme preuve dans votre ISMS ? D\u00e9couvrez-en plus sur <a href=\"https:\/\/locaterisk.com\/fr\/atterrissage\/la-gestion-des-risques-fournisseurs-en-toute-simplicite-2\/\">Gestion des risques li\u00e9s aux tiers avec LocateRisk<\/a>.<\/p>","protected":false},"excerpt":{"rendered":"<p>Comment ISO 27001 structure les relations avec les fournisseurs : \u00e9valuation des risques, accords, cha\u00eene d'approvisionnement ICT, cloud, preuves, surveillance et sortie.<\/p>","protected":false},"author":6,"featured_media":0,"template":"","wissen_thema":[819],"class_list":["post-99027","wissen","type-wissen","status-publish","hentry","wissen_thema-regulatorik-compliance"],"yoast_head":"<title>ISO 27001 und Lieferantenbeziehungen \u2013 LocateRisk<\/title>\n<meta name=\"description\" content=\"ISO 27001 bei Lieferanten: Controls 5.19 bis 5.23, Vertr\u00e4ge, ICT-Lieferkette, Cloud, Nachweise, Monitoring, \u00c4nderungen und Exit erkl\u00e4rt.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/locaterisk.com\/fr\/savoir\/iso-27001-relations-fournisseurs\/\" \/>\n<meta property=\"og:locale\" content=\"fr_FR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"ISO 27001 und Lieferantenbeziehungen \u2013 LocateRisk\" \/>\n<meta property=\"og:description\" content=\"ISO 27001 bei Lieferanten: Controls 5.19 bis 5.23, Vertr\u00e4ge, ICT-Lieferkette, Cloud, Nachweise, Monitoring, \u00c4nderungen und Exit erkl\u00e4rt.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/locaterisk.com\/fr\/savoir\/iso-27001-relations-fournisseurs\/\" \/>\n<meta property=\"og:site_name\" content=\"LocateRisk\" \/>\n<meta property=\"og:image\" content=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_Generisch_03-1.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"1080\" \/>\n\t<meta property=\"og:image:height\" content=\"1080\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Dur\u00e9e de lecture estim\u00e9e\" \/>\n\t<meta name=\"twitter:data1\" content=\"9 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/iso-27001-lieferantenbeziehungen\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/iso-27001-lieferantenbeziehungen\\\/\",\"name\":\"ISO 27001 und Lieferantenbeziehungen \u2013 LocateRisk\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\"},\"datePublished\":\"2026-10-08T07:00:00+00:00\",\"description\":\"ISO 27001 bei Lieferanten: Controls 5.19 bis 5.23, Vertr\u00e4ge, ICT-Lieferkette, Cloud, Nachweise, Monitoring, \u00c4nderungen und Exit erkl\u00e4rt.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/iso-27001-lieferantenbeziehungen\\\/#breadcrumb\"},\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/iso-27001-lieferantenbeziehungen\\\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/wissen\\\/iso-27001-lieferantenbeziehungen\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/locaterisk.com\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Wissen\",\"item\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/wissen\\\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"ISO 27001 und Lieferantenbeziehungen: Anforderungen, Nachweise und Monitoring\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"name\":\"LocateRisk\",\"description\":\"IT-Sicherheit messen und vergleichen\",\"publisher\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"fr-FR\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\",\"name\":\"LocateRisk\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"contentUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"width\":1920,\"height\":1080,\"caption\":\"LocateRisk\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.linkedin.com\\\/company\\\/locaterisk\\\/\"]}]}<\/script>","yoast_head_json":{"title":"ISO 27001 et relations fournisseurs \u2013 LocateRisk","description":"ISO 27001 chez les fournisseurs : contr\u00f4les 5.19 \u00e0 5.23, contrats, cha\u00eene d'approvisionnement ICT, Cloud, preuves, surveillance, modifications et sortie expliqu\u00e9es.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/locaterisk.com\/fr\/savoir\/iso-27001-relations-fournisseurs\/","og_locale":"fr_FR","og_type":"article","og_title":"ISO 27001 und Lieferantenbeziehungen \u2013 LocateRisk","og_description":"ISO 27001 bei Lieferanten: Controls 5.19 bis 5.23, Vertr\u00e4ge, ICT-Lieferkette, Cloud, Nachweise, Monitoring, \u00c4nderungen und Exit erkl\u00e4rt.","og_url":"https:\/\/locaterisk.com\/fr\/savoir\/iso-27001-relations-fournisseurs\/","og_site_name":"LocateRisk","og_image":[{"width":1080,"height":1080,"url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_Generisch_03-1.jpg","type":"image\/jpeg"}],"twitter_card":"summary_large_image","twitter_misc":{"Dur\u00e9e de lecture estim\u00e9e":"9 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/locaterisk.com\/wissen\/iso-27001-lieferantenbeziehungen\/","url":"https:\/\/locaterisk.com\/wissen\/iso-27001-lieferantenbeziehungen\/","name":"ISO 27001 et relations fournisseurs \u2013 LocateRisk","isPartOf":{"@id":"https:\/\/locaterisk.com\/de\/#website"},"datePublished":"2026-10-08T07:00:00+00:00","description":"ISO 27001 chez les fournisseurs : contr\u00f4les 5.19 \u00e0 5.23, contrats, cha\u00eene d'approvisionnement ICT, Cloud, preuves, surveillance, modifications et sortie expliqu\u00e9es.","breadcrumb":{"@id":"https:\/\/locaterisk.com\/wissen\/iso-27001-lieferantenbeziehungen\/#breadcrumb"},"inLanguage":"fr-FR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/locaterisk.com\/wissen\/iso-27001-lieferantenbeziehungen\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/locaterisk.com\/wissen\/iso-27001-lieferantenbeziehungen\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/locaterisk.com\/"},{"@type":"ListItem","position":2,"name":"Wissen","item":"https:\/\/locaterisk.com\/de\/wissen\/"},{"@type":"ListItem","position":3,"name":"ISO 27001 und Lieferantenbeziehungen: Anforderungen, Nachweise und Monitoring"}]},{"@type":"WebSite","@id":"https:\/\/locaterisk.com\/de\/#website","url":"https:\/\/locaterisk.com\/de\/","name":"LocateRisk","description":"Mesurer et comparer la s\u00e9curit\u00e9 informatique","publisher":{"@id":"https:\/\/locaterisk.com\/de\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/locaterisk.com\/de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-FR"},{"@type":"Organization","@id":"https:\/\/locaterisk.com\/de\/#organization","name":"LocateRisk","url":"https:\/\/locaterisk.com\/de\/","logo":{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/","url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","contentUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","width":1920,"height":1080,"caption":"LocateRisk"},"image":{"@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.linkedin.com\/company\/locaterisk\/"]}]}},"_links":{"self":[{"href":"https:\/\/locaterisk.com\/fr\/wp-json\/wp\/v2\/wissen\/99027","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/locaterisk.com\/fr\/wp-json\/wp\/v2\/wissen"}],"about":[{"href":"https:\/\/locaterisk.com\/fr\/wp-json\/wp\/v2\/types\/wissen"}],"author":[{"embeddable":true,"href":"https:\/\/locaterisk.com\/fr\/wp-json\/wp\/v2\/users\/6"}],"version-history":[{"count":1,"href":"https:\/\/locaterisk.com\/fr\/wp-json\/wp\/v2\/wissen\/99027\/revisions"}],"predecessor-version":[{"id":99035,"href":"https:\/\/locaterisk.com\/fr\/wp-json\/wp\/v2\/wissen\/99027\/revisions\/99035"}],"wp:attachment":[{"href":"https:\/\/locaterisk.com\/fr\/wp-json\/wp\/v2\/media?parent=99027"}],"wp:term":[{"taxonomy":"wissen_thema","embeddable":true,"href":"https:\/\/locaterisk.com\/fr\/wp-json\/wp\/v2\/wissen_thema?post=99027"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}