Un guide complet pour les RSSI et les responsables de la conformité en 2026
Le risque lié aux tiers est passé d'une préoccupation de fond à un sujet de premier plan pour les organisations européennes. DORA est applicable aux entités financières depuis janvier 2025, et NIS2 est en cours de transposition en droit national dans toute l'Union européenne, y compris en France par la loi Résilience. Pour les RSSI, les directeurs de la conformité et les responsables des achats, cela signifie avant tout une chose : la façon dont une entreprise gère le risque introduit par ses fournisseurs et prestataires n'est plus une question de préférence interne. C'est une obligation documentée et auditable.
Ce guide rassemble l'essentiel de la gestion des risques liés aux tiers, connue sous le nom de TPRM, et explique comment NIS2 et DORA façonnent ce que l'on attend désormais des organisations.
Ce que signifie réellement le TPRM
Le TPRM désigne le processus structuré d'identification, d'évaluation et de surveillance des risques que les fournisseurs, prestataires et sous-traitants introduisent dans une organisation. Il couvre la posture de cybersécurité, mais aussi la résilience opérationnelle, la protection des données et la responsabilité contractuelle. Un programme TPRM mature fait bien trois choses. Il tient un inventaire clair de chaque tiers et des systèmes qu'il touche. Il évalue chacun d'eux selon un ensemble de critères cohérent. Et il suit les problèmes jusqu'à leur résolution, avec un responsable nommé et une échéance.
Où se situe NIS2
NIS2 élargit le champ de la réglementation européenne de cybersécurité à dix-huit secteurs, bien au-delà des opérateurs initialement couverts par la première directive NIS. L'article 21 impose aux entités essentielles et importantes de gérer explicitement la sécurité de la chaîne d'approvisionnement : les organisations ne peuvent donc plus traiter la supervision des fournisseurs de manière informelle ou occasionnelle. En France, la loi Résilience transpose NIS2 en même temps que DORA et la directive sur la résilience des entités critiques dans un seul véhicule législatif, une approche nationale distinctive à comprendre pour toute entreprise active sur le marché français.
Où se situe DORA
DORA s'applique à vingt catégories d'entités financières réglementées et adopte une approche nettement plus prescriptive que NIS2 en matière de risque lié aux tiers. Elle exige un registre d'informations complet couvrant chaque prestataire TIC qui soutient des fonctions critiques ou importantes, avec les sous-traitants, la localisation des données et les stratégies de sortie. Elle exige aussi des tests continus de la résilience opérationnelle et des critères clairs pour identifier quels prestataires sont considérés comme critiques.
Pourquoi la supervision continue compte maintenant
Les deux référentiels éloignent les organisations du questionnaire annuel pour les orienter vers la surveillance continue. Les autorités signalent déjà les registres incomplets et les évaluations périmées comme domaines prioritaires de contrôle en 2026. Une évaluation réalisée il y a douze mois ne dit pas grand-chose à un conseil sur l'exposition actuelle d'un prestataire.
C'est exactement là que beaucoup d'organisations se bloquent. Établir et tenir à jour un registre vivant des prestataires, mener les évaluations de façon cohérente et produire des preuves à la demande est difficile à faire manuellement dès que le portefeuille de fournisseurs dépasse une poignée de noms.
Si votre équipe cherche à structurer ce processus sans augmenter ses effectifs, il peut être utile de voir comment une plateforme dédiée s'en charge. Réserver une courte démo avec Cynapze est un moyen simple de voir à quoi ressemble un programme TPRM mis à jour en continu.
Pour démarrer
Les organisations qui entament ce travail devraient commencer par un inventaire honnête de chaque tiers utilisé, aussi mineur soit-il. Ensuite, classer les prestataires par criticité permet à une équipe de concentrer son attention là où elle compte le plus, plutôt que de traiter tous les fournisseurs de la même façon. Enfin, prendre l'habitude de documenter, qui a été évalué, quand et ce qui a été constaté, fait de la conformité un sous-produit des bonnes pratiques plutôt qu'une course séparée avant un audit.
Conclusion
TPRM, NIS2 et DORA convergent autour de la même attente : les organisations doivent connaître leurs tiers, les évaluer de façon cohérente et pouvoir le prouver. C'est un changement notable par rapport à la façon dont beaucoup d'entreprises ont toujours fonctionné, mais c'est aussi l'occasion de bâtir un programme qui protège l'entreprise bien au-delà de ce qu'exige une réglementation isolée. Les équipes qui commencent maintenant, avec une responsabilité claire et les bons outils, seront dans une bien meilleure position lorsque le prochain audit ou incident surviendra.
Pour voir comment Cynapze peut soutenir votre programme de gestion des risques liés aux tiers dès le premier jour, réservez une démo avec notre équipe.
