La chaîne est la cible
Un accès de prestataire compromis, une mise à jour piégée, un hébergeur indisponible : l'attaque ou la panne arrive par un tiers de confiance. La surface de risque est désormais celle de vos fournisseurs autant que la vôtre.
Sujet · Piloter le risque tiers
Votre sécurité s'arrête où commence celle de vos prestataires.
La plupart des incidents graves n'entrent plus par la grande porte : ils passent par un prestataire, un logiciel ou un sous-traitant. Zerval Pro rend votre chaîne lisible (qui accède à quoi, avec quelle criticité, sous quelles clauses et avec quelles preuves) pour décider, exiger et démontrer. NIS 2 et DORA en font désormais une obligation de gouvernance, pas une case à cocher.
Comprendre le risque. Reprendre le contrôle. Tenir dans la durée.
Hébergé en France · IA souveraine (UE) · exigences NIS 2 & DORA sur la chaîne d'approvisionnement.
On ne protège bien que ce qu'on a cartographié.
Externaliser une opération ne transfère jamais la responsabilité de la continuité, de la confiance et de la conformité. Tant que vous ne savez pas quel prestataire accède à quelles données, avec quelle criticité et sous quelles garanties, le risque tiers reste invisible, jusqu'au jour où il devient votre incident. Zerval Pro relie chaque tiers à un niveau de criticité, à des exigences contractuelles et à des preuves, pour que la chaîne devienne pilotable.
01 · POURQUOI C'EST DEVENU CENTRAL
Le maillon faible n'est plus forcément chez vous
La dépendance aux prestataires et aux logiciels a explosé, et les régulateurs l'ont acté. Trois raisons de piloter le risque tiers dès maintenant.
NIS 2 & DORA l'exigent
NIS 2 impose la sécurité de la chaîne d'approvisionnement ; DORA impose un registre des prestataires TIC, des clauses contractuelles et une gestion du risque de concentration. Ce n'est plus une bonne pratique : c'est une obligation.
On vous le demande
Clients grands comptes, assureurs, donneurs d'ordre publics : tous réclament la preuve que vous maîtrisez vos sous-traitants. Un registre à jour et des clauses défendables débloquent un contrat ou une couverture.
02 · CE QUE ZERVAL PRO APPORTE
Un registre des tiers relié à des décisions et à des preuves
Pas un tableur oublié : un pilotage vivant, connecté à votre risque, à votre conformité et à votre continuité.
Cartographie
Voir et hiérarchiser
Qui accède à quoi, et qu'est-ce qui est critique.
- Registre des prestataires, éditeurs et sous-traitants
- Criticité par accès aux données, dépendance et substituabilité
- Cartographie des accès, flux et localisations d'hébergement
- Détection des concentrations et des points uniques de défaillance
Exiger & prouver
Encadrer et démontrer
Des clauses tenues, des preuves présentables.
- Exigences de sécurité, RGPD (art. 28) et réversibilité par tier
- Suivi des clauses, audits, certifications et attestations reçues
- Plan de sortie : réversibilité, continuité et bascule
- Éléments prêts pour un audit, un assureur ou une autorité
03 · LA MÉTHODE
Du recensement au plan de sortie
Un pilotage proportionné : on commence par les tiers critiques, on documente ce qui compte, on garde la trace.
1RecenserPrestataires, éditeurs, sous-traitants ultérieurs, hébergeurs et accès associés.
2ClasserCriticité par données traitées, dépendance opérationnelle, substituabilité et localisation.
3ExigerClauses de sécurité, RGPD, notification, audit et réversibilité proportionnées au risque.
4VérifierAttestations, certifications, résultats d'audit et preuves reçues, avec leurs échéances.
5SurveillerAlertes, incidents et changements substantiels d'un tiers, remontés au bon endroit.
6Prévoir la sortiePlan de réversibilité et de continuité en cas de défaillance ou de fin de contrat.
04 · CE QUE NOUS NE PROMETTONS PAS
Évaluer un tiers réduit le risque, il ne l'annule pas
Piloter le risque tiers réduit l'angle mort et rend vos exigences défendables. Cela ne supprime pas le risque d'un prestataire ni ne garantit sa sécurité à sa place.
Pas un audit de vos prestataires
Zerval Pro structure vos exigences et vos preuves ; il ne réalise pas à votre place l'audit technique d'un fournisseur. Lorsqu'il le faut, le cabinet prend le relais.
Pas la sécurité du tiers
Nous rendons la dépendance lisible et exigeons des garanties ; la sécurité interne d'un prestataire relève de lui. La maîtrise du risque, elle, reste pilotable de votre côté.
Une conformité reliée aux pratiques réelles
Un registre jamais mis à jour ne protège personne. On documente les tiers réellement critiques et les décisions associées, pas une liste décorative.
Pas une décision à votre place
Accepter un risque tiers, changer de prestataire ou exiger une clause relève de la direction. Zerval Pro éclaire l'arbitrage ; la responsabilité et la trace vous appartiennent.
05 · POUR ALLER PLUS LOIN
Le risque tiers s'inscrit dans un pilotage d'ensemble
Il se connecte naturellement au risque, à la conformité et à la continuité.
Piloter le risque
Cartographie, EBIOS RM et arbitrages : rendez tout le risque cyber lisible et priorisable, tiers compris.
Voir le module →Documenter la conformité
NIS 2, DORA, ISO 27001, RGPD : la chaîne d'approvisionnement est une exigence explicite de ces référentiels.
Voir le module →Assurer la continuité
La défaillance d'un tiers critique est un scénario de continuité : BIA, PCA, PRA et plans de bascule.
Voir le module →Voyez votre chaîne d'approvisionnement sur votre contexte.
Une démo live de 30 minutes sur vos prestataires critiques et vos obligations NIS 2 / DORA. Ou commencez seul par le diagnostic de direction gratuit. Sans engagement.