[{"data":1,"prerenderedAt":1324},["ShallowReactive",2],{"globals":3,"conformite-cyber-tiers-obligations-nis2-latest-articles-en":465,"article-conformite-cyber-tiers-obligations-nis2":490},{"de":4,"en":194,"fr":348},{"id":5,"documentId":6,"titleSeparator":7,"title":8,"createdAt":9,"updatedAt":10,"publishedAt":11,"locale":12,"logo":13,"favicon":27,"seo":40,"navigation":48,"header":128,"footer":138,"videoPoster":161,"localizations":182},64,"nxlpiutyi22j347lzjvtcmt9","|","Cybervadis","2025-03-26T10:37:37.549Z","2026-01-21T15:16:59.044Z","2025-10-22T12:44:06.951Z","de",{"id":14,"documentId":15,"name":16,"alternativeText":17,"caption":17,"width":18,"height":19,"formats":17,"hash":20,"ext":21,"mime":22,"size":23,"url":24,"previewUrl":17,"provider":25,"provider_metadata":17,"createdAt":26,"updatedAt":26,"publishedAt":26},276,"ns1dycmcy8eby82nudaixp17","logo.svg",null,303,57,"logo_9f7aa692ba",".svg","image/svg+xml",4.05,"https://assets.cybervadis.com/strapi/assets/logo_9f7aa692ba.svg","strapi-provider-upload-azure-storage","2025-04-10T15:46:43.920Z",{"id":28,"documentId":29,"name":30,"alternativeText":17,"caption":17,"width":31,"height":31,"formats":32,"hash":33,"ext":34,"mime":35,"size":36,"url":37,"previewUrl":17,"provider":25,"provider_metadata":17,"createdAt":38,"updatedAt":39,"publishedAt":38},122,"ngfzwjibdex3knh7ftwqfvjx","favicon.png",32,{},"favicon_032a9b11b1",".png","image/png",0.5,"https://assets.cybervadis.com/strapi/assets/favicon_032a9b11b1.png","2025-02-25T09:03:35.564Z","2025-02-25T11:54:37.400Z",{"id":41,"metaDescription":17,"metaImage":17,"metaTags":42,"scripts":43},1191,[],[44,46],{"id":45,"src":17,"tagPosition":17,"innerHTML":17,"defer":17},103,{"id":47,"src":17,"tagPosition":17,"innerHTML":17,"defer":17},104,{"id":5,"links":49},[50,75,98,103],{"id":51,"label":52,"to":53,"external":17,"target":17,"icon":17,"children":54},287,"Third-Party Risiken reduzieren","/third-party-risiken-reduzieren",[55,59,63,67,71],{"id":56,"label":57,"to":58,"external":17,"target":17,"icon":17},6139,"Automatisierte Risikoanalysen","/third-party-risiken-reduzieren/automatisierte-risikoanalysen",{"id":60,"label":61,"to":62,"external":17,"target":17,"icon":17},6140,"Evidenzbasierte Risikobewertung","/third-party-risiken-reduzieren/evidenzbasierte-risikobewertung",{"id":64,"label":65,"to":66,"external":17,"target":17,"icon":17},6141,"Gemeinsame Risikoreduzierung","/third-party-risiken-reduzieren/gemeinsame-risikoreduzierung",{"id":68,"label":69,"to":70,"external":17,"target":17,"icon":17},6142,"Framework-basierte Methodik","/third-party-risiken-reduzieren/framework-basierte-methodik",{"id":72,"label":73,"to":74,"external":17,"target":17,"icon":17},6143,"Preise","/third-party-risiken-reduzieren/preise",{"id":76,"label":77,"to":78,"external":17,"target":17,"icon":17,"children":79},288,"Jetzt bewertet werden","/jetzt-bewertet-werden",[80,84,88,92],{"id":81,"label":82,"to":83,"external":17,"target":17,"icon":17},6144,"So funktioniert es","/jetzt-bewertet-werden/so-funktioniert-es",{"id":85,"label":86,"to":87,"external":17,"target":17,"icon":17},6145,"Individuelle Bewertungen","/jetzt-bewertet-werden/individuelle-bewertungen",{"id":89,"label":90,"to":91,"external":17,"target":17,"icon":17},6146,"CyberVadis Badges","/jetzt-bewertet-werden/cybervadis-badges",{"id":93,"label":94,"to":95,"external":96,"target":97,"icon":17},6147,"Help center (EN)","https://help.cybervadis.com/en/",true,"_blank",{"id":99,"label":100,"to":101,"external":17,"target":17,"icon":17,"children":102},286,"Ressourcen","/ressourcen",[],{"id":104,"label":105,"to":106,"external":17,"target":17,"icon":17,"children":107},289,"Über uns","/uber-uns",[108,112,116,120,124],{"id":109,"label":110,"to":111,"external":17,"target":17,"icon":17},6148,"Warum CyberVadis","/warum-cybervadis",{"id":113,"label":114,"to":115,"external":17,"target":17,"icon":17},6149,"Trust Center (EN)","/uber-uns/trust-center",{"id":117,"label":118,"to":119,"external":96,"target":97,"icon":17},6150,"Careers (EN)","https://careers.cybervadis.com/",{"id":121,"label":122,"to":123,"external":17,"target":17,"icon":17},6151,"Aktuelles","/de/aktuelles",{"id":125,"label":126,"to":127,"external":17,"target":17,"icon":17},6152,"Kontakt","/uber-uns/kontakt",{"id":5,"info":17,"login":129,"button":134},{"id":130,"label":131,"to":132,"external":133,"target":17,"icon":17},6153,"Lieferanten bewerten","/de/third-party-risiken-reduzieren",false,{"id":135,"icon":17,"label":136,"form":137},1080,"Demo buchen","demo",{"id":5,"newsletterTitle":139,"copyright":140,"legalLinks":141,"socialLinks":150},"Newsletter abonnieren","Urheberrecht © 2025. Alle Rechte vorbehalten.",[142,146],{"id":143,"label":144,"to":145,"external":17,"target":17,"icon":17},6154,"Rechtliche Hinweise (EN)","/de/legal",{"id":147,"label":148,"to":149,"external":17,"target":17,"icon":17},6155,"Datenschutzerklärung (EN)","/de/legal-notice",[151,156],{"id":152,"label":153,"to":154,"external":96,"target":97,"icon":155},6156,"X","https://x.com/cybervadis","fa6-brands:x-twitter",{"id":157,"label":158,"to":159,"external":96,"target":97,"icon":160},6157,"LinkedIn","https://www.linkedin.com/company/cybervadis/","fa6-brands:linkedin",{"id":162,"documentId":163,"name":164,"alternativeText":17,"caption":17,"width":165,"height":166,"formats":167,"hash":176,"ext":34,"mime":35,"size":177,"url":178,"previewUrl":17,"provider":25,"provider_metadata":17,"createdAt":179,"updatedAt":180,"publishedAt":181},242,"vrv61ssc0oc744hr7dgkqznu","Video Preview",1028,690,{"thumbnail":168},{"ext":34,"url":169,"hash":170,"mime":35,"name":171,"path":17,"size":172,"width":173,"height":174,"sizeInBytes":175},"https://assets.cybervadis.com/strapi/assets/thumbnail_Design_sans_titre_6_f21ca94567.png","thumbnail_Design_sans_titre_6_f21ca94567","thumbnail_Design sans titre (6).png",14.9,232,156,14897,"Design_sans_titre_6_f21ca94567",18.5,"https://assets.cybervadis.com/strapi/assets/Design_sans_titre_6_f21ca94567.png","2025-03-12T09:54:21.008Z","2025-03-12T09:54:35.444Z","2025-03-12T09:54:21.009Z",[183,189],{"id":184,"documentId":6,"titleSeparator":7,"title":8,"createdAt":185,"updatedAt":186,"publishedAt":187,"locale":188},66,"2025-02-19T11:28:33.351Z","2026-01-21T15:16:58.561Z","2026-01-21T15:16:58.826Z","en",{"id":190,"documentId":6,"titleSeparator":7,"title":8,"createdAt":191,"updatedAt":10,"publishedAt":192,"locale":193},63,"2025-06-17T20:29:42.853Z","2025-10-22T12:40:51.539Z","fr",{"id":184,"documentId":6,"titleSeparator":7,"title":8,"createdAt":185,"updatedAt":186,"publishedAt":187,"locale":188,"logo":195,"favicon":196,"seo":198,"navigation":227,"header":303,"footer":325,"videoPoster":342,"localizations":345},{"id":14,"documentId":15,"name":16,"alternativeText":17,"caption":17,"width":18,"height":19,"formats":17,"hash":20,"ext":21,"mime":22,"size":23,"url":24,"previewUrl":17,"provider":25,"provider_metadata":17,"createdAt":26,"updatedAt":26,"publishedAt":26},{"id":28,"documentId":29,"name":30,"alternativeText":17,"caption":17,"width":31,"height":31,"formats":197,"hash":33,"ext":34,"mime":35,"size":36,"url":37,"previewUrl":17,"provider":25,"provider_metadata":17,"createdAt":38,"updatedAt":39,"publishedAt":38},{},{"id":199,"metaDescription":17,"metaImage":200,"metaTags":219,"scripts":220},1281,{"id":201,"documentId":202,"name":203,"alternativeText":17,"caption":17,"width":204,"height":205,"formats":206,"hash":215,"ext":34,"mime":35,"size":216,"url":217,"previewUrl":17,"provider":25,"provider_metadata":17,"createdAt":218,"updatedAt":218,"publishedAt":218},284,"ntditjqus6ubg59uwiew5zqu","meta image by default.png",1200,630,{"thumbnail":207},{"ext":34,"url":208,"hash":209,"mime":35,"name":210,"path":17,"size":211,"width":212,"height":213,"sizeInBytes":214},"https://assets.cybervadis.com/strapi/assets/thumbnail_meta_image_by_default_5c51d0a0d5.png","thumbnail_meta_image_by_default_5c51d0a0d5","thumbnail_meta image by default.png",64.36,245,129,64355,"meta_image_by_default_5c51d0a0d5",210.02,"https://assets.cybervadis.com/strapi/assets/meta_image_by_default_5c51d0a0d5.png","2025-04-17T14:53:22.089Z",[],[221,223,225],{"id":222,"src":17,"tagPosition":17,"innerHTML":17,"defer":17},108,{"id":224,"src":17,"tagPosition":17,"innerHTML":17,"defer":17},109,{"id":226,"src":17,"tagPosition":17,"innerHTML":17,"defer":17},110,{"id":184,"links":228},[229,254,274,279],{"id":230,"label":231,"to":232,"external":17,"target":17,"icon":17,"children":233},295,"Mitigate third-party risks","/mitigate-third-party-risks",[234,238,242,246,250],{"id":235,"label":236,"to":237,"external":17,"target":17,"icon":17},6289,"Automated Risk Insights","/mitigate-third-party-risks/automated-risk-insights",{"id":239,"label":240,"to":241,"external":17,"target":17,"icon":17},6290,"Evidence-based risk assessment","/mitigate-third-party-risks/evidence-based-risk-assessment",{"id":243,"label":244,"to":245,"external":17,"target":17,"icon":17},6291,"Collaborative Risk Reduction","/mitigate-third-party-risks/risk-reduction",{"id":247,"label":248,"to":249,"external":17,"target":17,"icon":17},6292,"Framework-based methodology","/mitigate-third-party-risks/framework-based-methodology",{"id":251,"label":252,"to":253,"external":17,"target":17,"icon":17},6293,"Pricing","/mitigate-third-party-risks/pricing",{"id":255,"label":256,"to":257,"external":17,"target":17,"icon":17,"children":258},296,"Get assessed ","/get-assessed",[259,263,267,271],{"id":260,"label":261,"to":262,"external":17,"target":17,"icon":17},6294,"How it works","/get-assessed/how-it-works",{"id":264,"label":265,"to":266,"external":17,"target":17,"icon":17},6295,"Standardized Assessments","/get-assessed/tailored-and-standardized-assessment",{"id":268,"label":269,"to":270,"external":17,"target":17,"icon":17},6296,"CyberVadis Medals","/get-assessed/medals",{"id":272,"label":273,"to":95,"external":96,"target":97,"icon":17},6297,"Help center",{"id":275,"label":276,"to":277,"external":17,"target":17,"icon":17,"children":278},294,"Resources","/resources",[],{"id":280,"label":281,"to":282,"external":17,"target":17,"icon":17,"children":283},297,"About us ","/about-us",[284,288,292,295,299],{"id":285,"label":286,"to":287,"external":17,"target":17,"icon":17},6298,"Why CyberVadis","/why-cybervadis",{"id":289,"label":290,"to":291,"external":17,"target":17,"icon":17},6299,"Trust center","/about-us/trust-center",{"id":293,"label":294,"to":119,"external":96,"target":97,"icon":17},6300,"Careers",{"id":296,"label":297,"to":298,"external":17,"target":17,"icon":17},6301,"In the news","/in-the-news",{"id":300,"label":301,"to":302,"external":17,"target":17,"icon":17},6302,"Contact","/about-us/contact",{"id":184,"info":304,"login":319,"button":322},[305],{"type":306,"children":307},"paragraph",[308,311,317],{"text":309,"type":310},"Already a CyberVadis client ? ","text",{"url":312,"type":313,"children":314},"https://app.cybervadis.com/","link",[315],{"text":316,"type":310},"You can access your account here",{"text":318,"type":310},"",{"id":320,"label":321,"to":232,"external":133,"target":17,"icon":17},6303,"Assess Vendors",{"id":323,"icon":17,"label":324,"form":137},1109,"Book a demo",{"id":184,"newsletterTitle":326,"copyright":327,"legalLinks":328,"socialLinks":337},"Subscribe to newsletter","Copyright © 2025. All rights reserved.",[329,333],{"id":330,"label":331,"to":332,"external":17,"target":17,"icon":17},6304,"Legal mentions","/legal",{"id":334,"label":335,"to":336,"external":17,"target":17,"icon":17},6305,"Data privacy","/legal-notice",[338,340],{"id":339,"label":153,"to":154,"external":96,"target":97,"icon":155},6306,{"id":341,"label":158,"to":159,"external":96,"target":97,"icon":160},6307,{"id":162,"documentId":163,"name":164,"alternativeText":17,"caption":17,"width":165,"height":166,"formats":343,"hash":176,"ext":34,"mime":35,"size":177,"url":178,"previewUrl":17,"provider":25,"provider_metadata":17,"createdAt":179,"updatedAt":180,"publishedAt":181},{"thumbnail":344},{"ext":34,"url":169,"hash":170,"mime":35,"name":171,"path":17,"size":172,"width":173,"height":174,"sizeInBytes":175},[346,347],{"id":5,"documentId":6,"titleSeparator":7,"title":8,"createdAt":9,"updatedAt":10,"publishedAt":11,"locale":12},{"id":190,"documentId":6,"titleSeparator":7,"title":8,"createdAt":191,"updatedAt":10,"publishedAt":192,"locale":193},{"id":190,"documentId":6,"titleSeparator":7,"title":8,"createdAt":191,"updatedAt":10,"publishedAt":192,"locale":193,"logo":349,"favicon":350,"seo":352,"navigation":363,"header":435,"footer":442,"videoPoster":459,"localizations":462},{"id":14,"documentId":15,"name":16,"alternativeText":17,"caption":17,"width":18,"height":19,"formats":17,"hash":20,"ext":21,"mime":22,"size":23,"url":24,"previewUrl":17,"provider":25,"provider_metadata":17,"createdAt":26,"updatedAt":26,"publishedAt":26},{"id":28,"documentId":29,"name":30,"alternativeText":17,"caption":17,"width":31,"height":31,"formats":351,"hash":33,"ext":34,"mime":35,"size":36,"url":37,"previewUrl":17,"provider":25,"provider_metadata":17,"createdAt":38,"updatedAt":39,"publishedAt":38},{},{"id":353,"metaDescription":17,"metaImage":354,"metaTags":357,"scripts":358},1190,{"id":201,"documentId":202,"name":203,"alternativeText":17,"caption":17,"width":204,"height":205,"formats":355,"hash":215,"ext":34,"mime":35,"size":216,"url":217,"previewUrl":17,"provider":25,"provider_metadata":17,"createdAt":218,"updatedAt":218,"publishedAt":218},{"thumbnail":356},{"ext":34,"url":208,"hash":209,"mime":35,"name":210,"path":17,"size":211,"width":212,"height":213,"sizeInBytes":214},[],[359,361],{"id":360,"src":17,"tagPosition":17,"innerHTML":17,"defer":17},101,{"id":362,"src":17,"tagPosition":17,"innerHTML":17,"defer":17},102,{"id":190,"links":364},[365,390,409,414],{"id":366,"label":367,"to":368,"external":17,"target":17,"icon":17,"children":369},283,"Atténuer les risques liés aux tiers","/attenuer-les-risques-lies-aux-tiers",[370,374,378,382,386],{"id":371,"label":372,"to":373,"external":17,"target":17,"icon":17},6120,"Analyse automatisée des risques","/attenuer-les-risques-lies-aux-tiers/analyse-automatisee-des-risques",{"id":375,"label":376,"to":377,"external":17,"target":17,"icon":17},6121,"Évaluation basée sur la revue de preuves","/attenuer-les-risques-lies-aux-tiers/evaluation-basee-sur-la-revue-de-preuves",{"id":379,"label":380,"to":381,"external":17,"target":17,"icon":17},6122,"Réduction des riques","/attenuer-les-risques-lies-aux-tiers/reduction-des-risques",{"id":383,"label":384,"to":385,"external":17,"target":17,"icon":17},6123,"Méthodologie basée sur un cadre de références","/attenuer-les-risques-lies-aux-tiers/methodologie-basee-sur-un-cadre-de-references",{"id":387,"label":388,"to":389,"external":17,"target":17,"icon":17},6124,"Tarification","/attenuer-les-risques-lies-aux-tiers/tarification",{"id":201,"label":391,"to":392,"external":17,"target":17,"icon":17,"children":393},"Se faire évaluer","/se-faire-evaluer",[394,398,402,406],{"id":395,"label":396,"to":397,"external":17,"target":17,"icon":17},6125,"Comment ça marche","/se-faire-evaluer/comment-ca-marche",{"id":399,"label":400,"to":401,"external":17,"target":17,"icon":17},6126,"Évaluation standardisée","/se-faire-evaluer/evaluation-adaptee-et-standardisee",{"id":403,"label":404,"to":405,"external":17,"target":17,"icon":17},6127,"Les médailles CyberVadis","/se-faire-evaluer/medailles",{"id":407,"label":408,"to":95,"external":96,"target":97,"icon":17},6128,"Help Center (EN)",{"id":410,"label":411,"to":412,"external":17,"target":17,"icon":17,"children":413},282,"Ressources","/ressources",[],{"id":415,"label":416,"to":417,"external":17,"target":17,"icon":17,"children":418},285,"À propos","/a-propos",[419,423,426,428,432],{"id":420,"label":421,"to":422,"external":17,"target":17,"icon":17},6129,"Pourquoi choisir CyberVadis","/pourquoi-choisir-cybervadis",{"id":424,"label":114,"to":425,"external":17,"target":17,"icon":17},6130,"/a-propos/trust-center",{"id":427,"label":118,"to":119,"external":96,"target":97,"icon":17},6131,{"id":429,"label":430,"to":431,"external":17,"target":17,"icon":17},6132,"Actualités","/actualites",{"id":433,"label":301,"to":434,"external":17,"target":17,"icon":17},6133,"/a-propos/contact",{"id":190,"info":17,"login":436,"button":439},{"id":437,"label":438,"to":368,"external":133,"target":17,"icon":17},6134,"Évaluer ses tiers",{"id":440,"icon":17,"label":441,"form":137},1079,"Réserver une démonstration",{"id":190,"newsletterTitle":443,"copyright":444,"legalLinks":445,"socialLinks":454},"S'inscrire à la newsletter","Copyright © 2025. Tous droits réservés. ",[446,450],{"id":447,"label":448,"to":449,"external":17,"target":17,"icon":17},6135,"Mentions légales (EN)","/fr/legal",{"id":451,"label":452,"to":453,"external":17,"target":17,"icon":17},6136,"Confidentialité des données","/fr/legal-notice",[455,457],{"id":456,"label":153,"to":154,"external":96,"target":97,"icon":155},6137,{"id":458,"label":158,"to":159,"external":96,"target":97,"icon":160},6138,{"id":162,"documentId":163,"name":164,"alternativeText":17,"caption":17,"width":165,"height":166,"formats":460,"hash":176,"ext":34,"mime":35,"size":177,"url":178,"previewUrl":17,"provider":25,"provider_metadata":17,"createdAt":179,"updatedAt":180,"publishedAt":181},{"thumbnail":461},{"ext":34,"url":169,"hash":170,"mime":35,"name":171,"path":17,"size":172,"width":173,"height":174,"sizeInBytes":175},[463,464],{"id":5,"documentId":6,"titleSeparator":7,"title":8,"createdAt":9,"updatedAt":10,"publishedAt":11,"locale":12},{"id":184,"documentId":6,"titleSeparator":7,"title":8,"createdAt":185,"updatedAt":186,"publishedAt":187,"locale":188},[466,471,476,481,485],{"id":467,"documentId":468,"title":469,"slug":470},92,"i7g1fcl68rkfq3tmeg2lqb0w","CyberVadis achieves ISO 27001 certification","cybervadis-achieves-iso27001certification",{"id":472,"documentId":473,"title":474,"slug":475},70,"ec2tyjm5615mnv64a17mrh67","DORA and Third-Parties Cyber Risks Management : A Structured Approach for Businesses ","dora-and-third-parties-cyber-risks-management",{"id":477,"documentId":478,"title":479,"slug":480},53,"m2rrd4lon01c6p2po0le8qmd","Secure 2024","article-secure-2024",{"id":362,"documentId":482,"title":483,"slug":484},"nbbyc7pkeeqhiz917sv5aik8","5 Key Steps to Mitigate Cyber Risks in Your Supply Chain","5-key-steps-to-mitigate-cyber-risks-in-your-supply-chain",{"id":486,"documentId":487,"title":488,"slug":489},100,"bb9sjmiykz7ulcu3vjzt3zck","Ensure NIS2 compliance for third-party management","ensure-nis-2-compliance-for-third-party-management",{"id":226,"documentId":491,"language":193,"title":492,"slug":493,"newsletter":133,"createdAt":494,"updatedAt":495,"publishedAt":496,"date":497,"description":498,"seo":499,"blockTableOfContents":17,"blocks":503,"relatedArticles":1323},"sb33dpi66585psc7fxwun99m","Conformité cyber tiers : quelles obligations avec la directive NIS2 ?","conformite-cyber-tiers-obligations-nis2","2026-04-16T12:14:20.595Z","2026-04-16T12:14:48.357Z","2026-04-16T12:14:48.634Z","2026-04-16","Maîtrisez la conformité cyber de vos tiers pour sécuriser votre écosystème. Découvrez comment répondre aux exigences NIS2 et DORA avec CyberVadis.",{"id":500,"metaDescription":498,"metaImage":17,"metaTags":501,"scripts":502},1464,[],[],[504,526,579,605,705,763,846,973,1050,1123],{"__component":505,"id":506,"anchor":318,"fit":507,"image":508},"block.image",198,"object-cover",{"id":51,"documentId":509,"name":510,"alternativeText":17,"caption":17,"width":511,"height":512,"formats":513,"hash":521,"ext":34,"mime":35,"size":522,"url":523,"previewUrl":17,"provider":25,"provider_metadata":17,"createdAt":524,"updatedAt":524,"publishedAt":525},"p9grs729d4wn4bes54w10gx4","MSPP Use Case 400 x 175.png",1250,547,{"thumbnail":514},{"ext":34,"url":515,"hash":516,"mime":35,"name":517,"path":17,"size":518,"width":212,"height":519,"sizeInBytes":520},"https://assets.cybervadis.com/strapi/assets/thumbnail_MSPP_Use_Case_400_x_175_a3b204e5ad.png","thumbnail_MSPP_Use_Case_400_x_175_a3b204e5ad","thumbnail_MSPP Use Case 400 x 175.png",17.74,107,17737,"MSPP_Use_Case_400_x_175_a3b204e5ad",22.05,"https://assets.cybervadis.com/strapi/assets/MSPP_Use_Case_400_x_175_a3b204e5ad.png","2025-07-01T15:17:04.874Z","2025-07-01T15:17:04.877Z",{"__component":527,"id":528,"anchor":318,"badge":318,"title":318,"description":529,"features":578,"link":17},"block.text",1475,[530,534,542,550,562,570,574],{"type":306,"children":531},[532],{"text":533,"type":310},"La cybersécurité ne se limite plus au périmètre interne de l'entreprise : aujourd'hui, une part significative des risques provient de l'écosystème numérique qui entoure l'organisation : fournisseurs, prestataires IT, partenaires technologiques ou encore éditeurs SaaS.",{"type":306,"children":535},[536,538,540],{"text":537,"type":310},"Chacun de ces acteurs peut devenir un ",{"bold":96,"text":539,"type":310},"point d'entrée potentiel pour une attaque",{"text":541,"type":310},".",{"type":306,"children":543},[544,546,548],{"text":545,"type":310},"Dans ce contexte, la ",{"bold":96,"text":547,"type":310},"conformité cyber des tiers",{"text":549,"type":310}," est devenue un enjeu stratégique pour les entreprises.",{"type":306,"children":551},[552,554,556,558,560],{"text":553,"type":310},"Les réglementations récentes, comme la ",{"bold":96,"text":555,"type":310},"directive NIS2",{"text":557,"type":310}," ou le ",{"bold":96,"text":559,"type":310},"règlement DORA",{"text":561,"type":310},", renforcent d'ailleurs les exigences en matière de gestion des risques liés aux fournisseurs et à la chaîne d'approvisionnement numérique.",{"type":306,"children":563},[564,566,568],{"text":565,"type":310},"\"Les organisations ne doivent plus seulement protéger leurs propres systèmes, mais aussi démontrer qu'elles ",{"bold":96,"text":567,"type":310},"maîtrisent les risques cyber associés à leurs partenaires",{"text":569,"type":310},"\".",{"type":306,"children":571},[572],{"text":573,"type":310},"Cette évolution pose un défi majeur. Les entreprises collaborent parfois avec des centaines, voire des milliers de fournisseurs. Évaluer leur posture de cybersécurité, suivre leur niveau de maturité et documenter les mesures mises en place devient rapidement complexe sans méthodologie structurée.",{"type":306,"children":575},[576],{"text":577,"type":310},"La mise en place d'un dispositif de gestion des risques cyber liés aux tiers permet de répondre à ces nouvelles exigences. Elle repose notamment sur des évaluations standardisées, la collecte de preuves documentées et un suivi continu des mesures de sécurité mises en œuvre par les partenaires.",[],{"__component":527,"id":580,"anchor":318,"badge":581,"title":582,"description":583,"features":604,"link":17},1476,"À retenir","À retenir sur la conformité cyber liée aux tiers",[584,588,592,596,600],{"type":306,"children":585},[586],{"bold":96,"text":587,"type":310},"La conformité cyber des tiers consiste à s'assurer que les fournisseurs et partenaires respectent un niveau de sécurité compatible avec les exigences de l'organisation et les cadres réglementaires applicables. Elle vise à éviter que les partenaires technologiques deviennent un vecteur d'exposition pour l'entreprise.",{"type":306,"children":589},[590],{"bold":96,"text":591,"type":310},"La transformation numérique a étendu le périmètre du risque cyber à l'ensemble de l'écosystème numérique. Fournisseurs cloud, éditeurs SaaS, prestataires IT ou partenaires manipulant des données peuvent impacter directement la continuité des opérations d'une organisation.",{"type":306,"children":593},[594],{"bold":96,"text":595,"type":310},"Les réglementations européennes renforcent les obligations liées à la gestion des risques fournisseurs. La directive NIS2 et le règlement DORA imposent désormais aux organisations de superviser les dépendances technologiques et d'intégrer la cybersécurité des tiers dans leur gouvernance des risques.",{"type":306,"children":597},[598],{"bold":96,"text":599,"type":310},"Les approches traditionnelles d'évaluation, comme les questionnaires auto-déclaratifs, montrent aujourd'hui leurs limites. Elles offrent une visibilité partielle et parfois incorrecte sur les pratiques réelles des fournisseurs et rendent difficile la comparaison entre partenaires.",{"type":306,"children":601},[602],{"bold":96,"text":603,"type":310},"Les évaluations basées sur la revue de preuves permettent d'obtenir une vision plus fiable de la maturité cyber des partenaires. L'analyse de documents, de procédures et de certifications aide les organisations à vérifier l'existence des contrôles de sécurité et à structurer durablement leur gestion des risques cyber liés aux tiers.",[],{"__component":527,"id":606,"anchor":318,"badge":318,"title":607,"description":608,"features":704,"link":17},1477,"Qu'est-ce que la conformité cyber des tiers ?",[609,616,644,652,677,684,692],{"type":306,"children":610},[611,613,614],{"text":612,"type":310},"La ",{"bold":96,"text":547,"type":310},{"text":615,"type":310}," désigne l'ensemble des pratiques permettant à une organisation de s'assurer que ses partenaires respectent un niveau de sécurité de l'information compatible avec les exigences de l'entreprise et les cadres réglementaires applicables.",{"type":306,"children":617},[618,620,622,624,626,628,630,632,634,636,638,640,642],{"text":619,"type":310},"Cette conformité repose notamment sur les ",{"bold":96,"text":621,"type":310},"piliers fondamentaux de la cybersécurité",{"text":623,"type":310},", souvent résumés par la triade ",{"bold":96,"text":625,"type":310},"CIA",{"text":627,"type":310}," : ",{"bold":96,"text":629,"type":310},"Confidentialité",{"text":631,"type":310},", ",{"bold":96,"text":633,"type":310},"Intégrité",{"text":635,"type":310}," et ",{"bold":96,"text":637,"type":310},"Disponibilité",{"text":639,"type":310}," des informations et des systèmes. À ces dimensions s'ajoute également la ",{"bold":96,"text":641,"type":310},"traçabilité",{"text":643,"type":310},", c'est-à-dire la capacité à enregistrer, suivre et attribuer les actions réalisées sur les systèmes ou les données.",{"type":306,"children":645},[646,648,650],{"text":647,"type":310},"Contrairement à la ",{"bold":96,"text":649,"type":310},"cybersécurité interne",{"text":651,"type":310},", qui concerne les systèmes, les infrastructures et les équipes de l'entreprise elle-même, la conformité cyber des tiers s'applique aux acteurs externes. Il peut s'agir notamment :",{"type":653,"format":654,"children":655},"list","unordered",[656,661,665,669,673],{"type":657,"children":658},"list-item",[659],{"text":660,"type":310},"De fournisseurs technologiques",{"type":657,"children":662},[663],{"text":664,"type":310},"De prestataires informatiques",{"type":657,"children":666},[667],{"text":668,"type":310},"D'éditeurs de logiciels",{"type":657,"children":670},[671],{"text":672,"type":310},"De partenaires commerciaux",{"type":657,"children":674},[675],{"text":676,"type":310},"Ou encore de filiales partageant des systèmes ou des données.",{"type":306,"children":678},[679,681,683],{"text":680,"type":310},"L'objectif n'est pas de contrôler intégralement l'environnement de ces organisations, mais de vérifier que les mesures de sécurité qu'elles déclarent mettre en place existent réellement et sont ",{"bold":96,"text":682,"type":310},"adaptées aux risques liés aux services qu'elles fournissent",{"text":541,"type":310},{"type":306,"children":685},[686,688,690],{"text":687,"type":310},"La conformité cyber des tiers s'inscrit ainsi dans une démarche plus large de ",{"bold":96,"text":689,"type":310},"gestion des risques fournisseurs",{"text":691,"type":310}," : elle vise à garantir que les partenaires externes ne deviennent pas un vecteur d'exposition pour l'entreprise, notamment lorsqu'ils ont accès à des données sensibles, à des infrastructures critiques ou à des systèmes d'information interconnectés.",{"type":306,"children":693},[694,696,698,700,702],{"text":695,"type":310},"Dans les organisations complexes, cette démarche concerne souvent un nombre important d'acteurs. Les grandes entreprises peuvent collaborer avec ",{"bold":96,"text":697,"type":310},"plusieurs centaines de fournisseurs technologiques ou prestataires",{"text":699,"type":310}," manipulant directement ou indirectement des informations stratégiques. Sans mécanisme structuré, il devient ",{"bold":96,"text":701,"type":310},"difficile d'identifier les tiers les plus critiques",{"text":703,"type":310}," et de documenter leur niveau réel de cybersécurité.",[],{"__component":527,"id":706,"anchor":318,"badge":318,"title":707,"description":708,"features":762,"link":17},1478,"Pourquoi la cybersécurité des tiers est devenue un enjeu critique ?",[709,716,727,735,742,750],{"type":306,"children":710},[711,713,715],{"text":712,"type":310},"La transformation numérique des organisations a profondément modifié la manière dont les ",{"bold":96,"text":714,"type":310},"systèmes d'information sont conçus et exploités",{"text":541,"type":310},{"type":306,"children":717},[718,720,722,724,726],{"text":719,"type":310},"Les entreprises s'appuient désormais sur un ",{"bold":96,"text":721,"type":310},"écosystème étendu de services numériques",{"text":723,"type":310}," : solutions SaaS, prestataires d'infogérance, fournisseurs de logiciels, plateformes cloud ou encore partenaires technologiques spécialisés. Cette interconnexion permanente crée de ",{"bold":96,"text":725,"type":310},"nouvelles dépendances opérationnelles",{"text":541,"type":310},{"type":306,"children":728},[729,731,733],{"text":730,"type":310},"Dans ce contexte, la continuité d'activité d'une organisation ne dépend plus uniquement de ses propres infrastructures. Elle repose également sur la ",{"bold":96,"text":732,"type":310},"fiabilité des acteurs externes",{"text":734,"type":310}," qui participent à la production, au traitement ou à l'hébergement de données et de services numériques.",{"type":306,"children":736},[737,739,741],{"text":738,"type":310},"\"Car, lorsqu'un fournisseur critique est affecté par un incident de cybersécurité, les conséquences peuvent se ",{"bold":96,"text":740,"type":310},"répercuter directement sur ses clients",{"text":569,"type":310},{"type":306,"children":743},[744,746,748],{"text":745,"type":310},"Les incidents impliquant des prestataires technologiques illustrent malheureusement cette réalité : une vulnérabilité dans un logiciel largement utilisé, une compromission d'un outil de gestion IT ou encore l'exploitation d'un accès privilégié chez un prestataire peuvent entraîner des ",{"bold":96,"text":747,"type":310},"perturbations à grande échelle",{"text":749,"type":310},". Dans ces situations, les entreprises impactées ne sont pas nécessairement celles qui ont été directement ciblées.",{"type":306,"children":751},[752,754,756,758,760],{"text":753,"type":310},"Par ailleurs, les relations entre organisations sont souvent ",{"bold":96,"text":755,"type":310},"asymétriques",{"text":757,"type":310},". Une entreprise peut disposer d'un niveau de cybersécurité élevé en interne tout en dépendant de partenaires dont les ressources ou les pratiques de sécurité sont très différentes. Cette ",{"bold":96,"text":759,"type":310},"hétérogénéité",{"text":761,"type":310}," complique l'appréciation globale du risque, notamment lorsque les services fournis sont intégrés à des processus critiques.",[],{"__component":527,"id":764,"anchor":318,"badge":318,"title":765,"description":766,"features":845,"link":17},1479,"NIS2 et DORA : la conformité cyber s'étend désormais à toute la supply chain",[767,775,781,789,797,801,809,817,825,829,837],{"type":306,"children":768},[769,771,773],{"text":770,"type":310},"Les exigences réglementaires en matière de cybersécurité ont évolué ces dernières années pour tenir compte de la ",{"bold":96,"text":772,"type":310},"dépendance croissante des organisations à leurs partenaires technologiques",{"text":774,"type":310},". Les autorités européennes considèrent désormais que la sécurité des systèmes d'information ne peut être assurée uniquement au niveau d'une entreprise isolée : elle doit également intégrer les risques liés aux fournisseurs et prestataires.",{"type":306,"children":776},[777,778,779],{"text":612,"type":310},{"bold":96,"text":555,"type":310},{"text":780,"type":310}," illustre parfaitement cette évolution. Adoptée pour renforcer la résilience cyber des organisations opérant dans des secteurs critiques, elle impose aux entités concernées de mettre en place des mesures de gestion des risques couvrant l'ensemble de leur chaîne d'approvisionnement numérique.",{"type":306,"children":782},[783,785,787],{"text":784,"type":310},"Le règlement DORA (Digital Operational Resilience Act), applicable au secteur financier, poursuit une logique similaire. Il introduit un cadre spécifique pour la ",{"bold":96,"text":786,"type":310},"gestion des prestataires de services TIC",{"text":788,"type":310},", avec des exigences renforcées en matière d'évaluation, de suivi et de gouvernance des fournisseurs technologiques.",{"type":306,"children":790},[791,793,795],{"text":792,"type":310},"Ces réglementations traduisent un changement de perspective : la cybersécurité n'est plus seulement envisagée comme une question de protection interne, mais comme une ",{"bold":96,"text":794,"type":310},"responsabilité élargie",{"text":796,"type":310}," couvrant l'ensemble des dépendances numériques de l'organisation.",{"type":306,"children":798},[799],{"bold":96,"text":800,"type":310},"La cascade de responsabilité dans les écosystèmes numériques",{"type":306,"children":802},[803,805,807],{"text":804,"type":310},"Les relations entre entreprises ne sont ",{"bold":96,"text":806,"type":310},"plus linéaires",{"text":808,"type":310}," : dans de nombreux secteurs, les organisations s'appuient sur des chaînes de services complexes où plusieurs acteurs interviennent successivement pour délivrer une solution ou un service numérique. Un fournisseur peut lui-même dépendre d'autres prestataires, qui reposent à leur tour sur des infrastructures ou des logiciels tiers.",{"type":306,"children":810},[811,813,815],{"text":812,"type":310},"Une entreprise peut devenir un maillon essentiel si ses services sont ",{"bold":96,"text":814,"type":310},"intégrés à des processus sensibles",{"text":816,"type":310},", comme par exemple la gestion de données, l'exploitation d'une application métier, ou encore l'accès à des infrastructures internes.",{"type":306,"children":818},[819,821,823],{"text":820,"type":310},"\"L'objectif n'est pas seulement d'identifier les partenaires directs, mais aussi de ",{"bold":96,"text":822,"type":310},"comprendre les relations de dépendance",{"text":824,"type":310}," qui structurent l'écosystème numérique dans lequel l'entreprise évolue\".",{"type":306,"children":826},[827],{"bold":96,"text":828,"type":310},"La responsabilité des dirigeants face aux risques cyber liés aux tiers",{"type":306,"children":830},[831,833,835],{"text":832,"type":310},"Dans le cadre de la directive NIS2, les organes de direction sont explicitement impliqués dans la ",{"bold":96,"text":834,"type":310},"supervision des dispositifs de gestion des risques cyber",{"text":836,"type":310},". Ils doivent valider les mesures mises en œuvre, suivre les risques majeurs identifiés et s'assurer que l'organisation dispose de procédures adaptées pour prévenir, détecter et gérer les incidents.",{"type":306,"children":838},[839,841,843],{"text":840,"type":310},"Pour les entreprises concernées, cela signifie que la gestion des risques cyber liés aux tiers ne peut plus être considérée comme un sujet purement technique : elle doit être ",{"bold":96,"text":842,"type":310},"intégrée aux mécanismes de gouvernance",{"text":844,"type":310}," et de gestion des risques de l'organisation.",[],{"__component":527,"id":847,"anchor":318,"badge":318,"title":848,"description":849,"features":972,"link":17},1480,"Les approches traditionnelles pour évaluer la cybersécurité des fournisseurs",[850,857,861,869,877,885,889,897,913,917,921,929,937,945,949,957,964],{"type":306,"children":851},[852,854,856],{"text":853,"type":310},"Pour répondre aux exigences de gestion des risques liés aux tiers, les organisations ont historiquement recours à plusieurs méthodes d'évaluation. La méthode la plus répandue reste l'envoi de ",{"bold":96,"text":855,"type":310},"questionnaires d'auto-évaluation",{"text":541,"type":310},{"type":306,"children":858},[859],{"text":860,"type":310},"Les entreprises demandent à leurs fournisseurs de répondre à des questionnaires portant sur leurs politiques de sécurité, leurs procédures internes et leurs contrôles techniques. Cette approche est relativement simple à déployer et permet de couvrir rapidement un grand nombre de partenaires.",{"type":306,"children":862},[863,865,867],{"text":864,"type":310},"Certaines organisations complètent ces questionnaires par des analyses techniques externes, telles que des ",{"bold":96,"text":866,"type":310},"scans de vulnérabilités",{"text":868,"type":310}," ou des évaluations de la surface d'exposition sur Internet.",{"type":306,"children":870},[871,873,875],{"text":872,"type":310},"Dans les contextes les plus sensibles, des ",{"bold":96,"text":874,"type":310},"audits de sécurité",{"text":876,"type":310}," peuvent également être menés. Ils consistent en une analyse approfondie des processus et des contrôles mis en place par le fournisseur. Cette approche permet un niveau d'évaluation plus détaillé, mais reste généralement limitée à un nombre restreint de partenaires en raison des ressources qu'elle mobilise.",{"type":306,"children":878},[879,881,883],{"text":880,"type":310},"Ces différentes méthodes ont permis aux organisations de structurer progressivement leur gestion des risques fournisseurs. Néanmoins, l'enjeu principal ne réside pas tant dans le passage à l'échelle que dans la ",{"bold":96,"text":882,"type":310},"fiabilité et la pertinence des informations collectées",{"text":884,"type":310},", en particulier dans le cadre des auto-évaluations.",{"type":306,"children":886},[887],{"bold":96,"text":888,"type":310},"Pourquoi les auto-déclarations ne suffisent plus",{"type":306,"children":890},[891,893,895],{"text":892,"type":310},"Les questionnaires d'auto-évaluation constituent souvent la première étape pour recueillir des informations sur les pratiques de cybersécurité d'un fournisseur. Toutefois, ce type d'approche présente ",{"bold":96,"text":894,"type":310},"certaines limites",{"text":896,"type":310}," lorsqu'il s'agit d'apprécier la réalité des pratiques mises en œuvre.",{"type":306,"children":898},[899,901,903,905,907,909,911],{"text":900,"type":310},"Les réponses fournies reposent en grande partie sur les ",{"bold":96,"text":902,"type":310},"déclarations des fournisseurs eux-mêmes",{"text":904,"type":310},". Même lorsque les questions sont structurées et basées sur des référentiels reconnus, il reste ",{"bold":96,"text":906,"type":310},"difficile de vérifier",{"text":908,"type":310}," si les contrôles décrits sont effectivement appliqués. Les réponses peuvent également être ",{"bold":96,"text":910,"type":310},"interprétées différemment",{"text":912,"type":310}," selon les interlocuteurs, ce qui complique la comparaison entre plusieurs fournisseurs.",{"type":306,"children":914},[915],{"text":916,"type":310},"Pour obtenir une vision plus fiable de la posture cyber d'un fournisseur, les organisations cherchent donc de plus en plus à compléter les déclarations par des éléments vérifiables : l'analyse de documents, de certifications ou d'autres preuves permettant d'attester de la mise en œuvre effective des contrôles de sécurité.",{"type":306,"children":918},[919],{"bold":96,"text":920,"type":310},"Comment évaluer la maturité cyber de vos partenaires ?",{"type":306,"children":922},[923,925,927],{"text":924,"type":310},"Pour évaluer la posture de cybersécurité d'un fournisseur, les organisations s'appuient généralement sur des ",{"bold":96,"text":926,"type":310},"référentiels de sécurité reconnus",{"text":928,"type":310}," : le NIST Cybersecurity Framework, la norme ISO 27001 ou encore certaines exigences issues de cadres réglementaires comme le RGPD, NIS2 ou DORA.",{"type":306,"children":930},[931,933,935],{"text":932,"type":310},"Bien que leurs approches diffèrent, ces référentiels partagent un objectif commun : ",{"bold":96,"text":934,"type":310},"structurer l'évaluation des pratiques de sécurité",{"text":936,"type":310}," autour de domaines clés tels que la gouvernance, la gestion des accès, la protection des données, la gestion des incidents ou la continuité d'activité.",{"type":306,"children":938},[939,941,943],{"text":940,"type":310},"Cependant, l'existence d'un référentiel ne garantit pas à elle seule la fiabilité d'une évaluation. Les programmes d'évaluation les plus robustes reposent généralement sur ",{"bold":96,"text":942,"type":310},"l'analyse d'éléments tangibles",{"text":944,"type":310}," permettant d'attester de la mise en œuvre des contrôles de sécurité.",{"type":306,"children":946},[947],{"bold":96,"text":948,"type":310},"L'importance d'une évaluation basée sur des preuves",{"type":306,"children":950},[951,953,955],{"text":952,"type":310},"Une ",{"bold":96,"text":954,"type":310},"évaluation basée sur des preuves",{"text":956,"type":310}," consiste à examiner des éléments documentaires permettant d'attester de la mise en œuvre effective des contrôles de sécurité. Il peut s'agir de politiques de sécurité formalisées, de procédures opérationnelles, de rapports d'audit, de certifications ou d'autres documents.",{"type":306,"children":958},[959,961,963],{"text":960,"type":310},"\"Cette approche permet de ",{"bold":96,"text":962,"type":310},"réduire l'écart entre les déclarations et la réalité opérationnelle",{"text":569,"type":310},{"type":306,"children":965},[966,968,970],{"text":967,"type":310},"L'examen des preuves apporte également une ",{"bold":96,"text":969,"type":310},"meilleure comparabilité entre fournisseurs",{"text":971,"type":310},". En s'appuyant sur des éléments documentés et sur des critères d'analyse standardisés, les organisations peuvent apprécier plus précisément le niveau de maturité cyber de leurs partenaires et identifier les écarts les plus significatifs.",[],{"__component":527,"id":974,"anchor":318,"badge":318,"title":975,"description":976,"features":1049,"link":17},1481,"Comment CyberVadis facilite la conformité cyber des tiers",[977,989,997,1009,1021,1029,1037],{"type":306,"children":978},[979,981,983,985,987],{"text":980,"type":310},"La mise en place d'un programme structuré de gestion des risques cyber liés aux tiers peut ",{"bold":96,"text":982,"type":310},"rapidement devenir complexe",{"text":984,"type":310}," lorsque les organisations doivent ",{"bold":96,"text":986,"type":310},"évaluer un grand nombre de fournisseurs",{"text":988,"type":310},". Les équipes sécurité, achats ou gestion des risques doivent collecter des informations, analyser les réponses, vérifier les éléments fournis et suivre les actions d'amélioration dans la durée.",{"type":306,"children":990},[991,993,995],{"text":992,"type":310},"CyberVadis propose une approche permettant de ",{"bold":96,"text":994,"type":310},"structurer et de simplifier ces évaluations",{"text":996,"type":310},", notamment pour évaluer la maturité cyber des tiers.",{"type":306,"children":998},[999,1001,1003,1005,1007],{"text":1000,"type":310},"La plateforme permet aux organisations d'évaluer la cybersécurité de leurs fournisseurs à travers un questionnaire standardisé basé sur des référentiels de sécurité reconnus, notamment le ",{"bold":96,"text":1002,"type":310},"NIST Cybersecurity Framework",{"text":1004,"type":310}," et la norme ",{"bold":96,"text":1006,"type":310},"ISO 27001",{"text":1008,"type":310},". Les fournisseurs sont invités à fournir des documents permettant d'attester de la mise en œuvre de leurs mesures de sécurité.",{"type":306,"children":1010},[1011,1013,1015,1017,1019],{"text":1012,"type":310},"Ces éléments sont ensuite analysés dans le cadre d'une ",{"bold":96,"text":1014,"type":310},"évaluation basée sur la revue de preuves",{"text":1016,"type":310},". Le processus d'analyse implique à minima trois analystes dont un senior, ce qui assure l'objectivité dans la prise de décision. Cette validation humaine renforce la fiabilité de l'évaluation et permet de constituer une ",{"bold":96,"text":1018,"type":310},"diligence raisonnable robuste",{"text":1020,"type":310}," lors d'audits ou de contrôles réglementaires.",{"type":306,"children":1022},[1023,1025,1027],{"text":1024,"type":310},"À l'issue de l'évaluation, CyberVadis livre une ",{"bold":96,"text":1026,"type":310},"scorecard",{"text":1028,"type":310}," comprenant un score de maturité global ainsi que des informations détaillées sur les pratiques de sécurité analysées. Les résultats permettent aux organisations d'apprécier plus facilement la posture cyber de leurs partenaires et de prioriser leurs actions de gestion des risques.",{"type":306,"children":1030},[1031,1033,1035],{"text":1032,"type":310},"Cette structuration permet de ",{"bold":96,"text":1034,"type":310},"traduire la cybersécurité en indicateurs exploitables dans un cadre d'audit",{"text":1036,"type":310},", avec des résultats plus lisibles pour les équipes conformité, achats, risques ou audit interne.",{"type":306,"children":1038},[1039,1041,1043,1045,1047],{"text":1040,"type":310},"La plateforme ",{"bold":96,"text":1042,"type":310},"facilite également la collaboration",{"text":1044,"type":310}," entre les entreprises et leurs fournisseurs et contribue à ",{"bold":96,"text":1046,"type":310},"réduire la fatigue de conformité",{"text":1048,"type":310}," : un fournisseur évalué peut partager son évaluation CyberVadis avec plusieurs clients, ce qui limite la répétition de questionnaires similaires et réduit la charge administrative pour l'ensemble des parties prenantes.",[],{"__component":527,"id":1051,"anchor":318,"badge":318,"title":1052,"description":1053,"features":1122,"link":17},1482,"Checklist : 5 étapes pour structurer votre conformité cyber tiers",[1054,1062,1066,1074,1078,1086,1090,1098,1102,1110,1114],{"type":306,"children":1055},[1056,1058,1060],{"text":1057,"type":310},"Mettre en place une gestion efficace des risques cyber liés aux tiers nécessite une ",{"bold":96,"text":1059,"type":310},"approche structurée",{"text":1061,"type":310},". Les organisations doivent être capables d'identifier les partenaires les plus exposés, d'évaluer leur posture de sécurité et de suivre l'évolution de leurs pratiques dans le temps.",{"type":306,"children":1063},[1064],{"bold":96,"text":1065,"type":310},"1. Cartographier les tiers et identifier les fournisseurs critiques",{"type":306,"children":1067},[1068,1070,1072],{"text":1069,"type":310},"La première étape consiste à ",{"bold":96,"text":1071,"type":310},"établir une cartographie claire des partenaires de l'organisation",{"text":1073,"type":310},". Tous les fournisseurs ne présentent pas le même niveau de risque. Certains peuvent avoir accès aux systèmes d'information, manipuler des données sensibles ou intervenir dans des processus opérationnels essentiels. Identifier ces tiers critiques permet de prioriser les efforts d'évaluation et de concentrer les ressources sur les partenaires qui présentent le niveau d'exposition le plus élevé.",{"type":306,"children":1075},[1076],{"bold":96,"text":1077,"type":310},"2. Évaluer la maturité cyber des fournisseurs",{"type":306,"children":1079},[1080,1082,1084],{"text":1081,"type":310},"Une fois les partenaires prioritaires identifiés, il est nécessaire d'",{"bold":96,"text":1083,"type":310},"évaluer leur posture de cybersécurité",{"text":1085,"type":310},". Cette évaluation peut s'appuyer sur des référentiels de sécurité reconnus afin de structurer l'analyse des pratiques mises en place par le fournisseur. L'objectif est de disposer d'une vision claire de la manière dont le partenaire protège ses systèmes, gère ses accès, sécurise ses données et répond aux incidents de sécurité.",{"type":306,"children":1087},[1088],{"bold":96,"text":1089,"type":310},"3. Vérifier les contrôles à l'aide de preuves documentées",{"type":306,"children":1091},[1092,1094,1096],{"text":1093,"type":310},"Pour ",{"bold":96,"text":1095,"type":310},"renforcer la fiabilité des évaluations",{"text":1097,"type":310},", les organisations peuvent demander des éléments permettant d'attester de la mise en œuvre effective des contrôles de sécurité. L'examen de documents comme des politiques de sécurité, des procédures opérationnelles ou des rapports d'audit permet de compléter les déclarations fournies par les fournisseurs et de réduire l'écart entre les pratiques déclarées et les mesures réellement appliquées.",{"type":306,"children":1099},[1100],{"bold":96,"text":1101,"type":310},"4. Mettre en place un plan de remédiation",{"type":306,"children":1103},[1104,1106,1108],{"text":1105,"type":310},"Lorsque des écarts sont identifiés, l'organisation peut travailler avec le fournisseur pour ",{"bold":96,"text":1107,"type":310},"définir des actions d'amélioration",{"text":1109,"type":310},". Ces actions peuvent concerner la formalisation de certaines procédures, le renforcement des contrôles techniques ou la mise en place de pratiques de gouvernance plus structurées. L'objectif n'est pas uniquement d'identifier les faiblesses, mais d'accompagner les partenaires dans l'amélioration progressive de leur posture de cybersécurité.",{"type":306,"children":1111},[1112],{"bold":96,"text":1113,"type":310},"5. Assurer un suivi régulier des fournisseurs",{"type":306,"children":1115},[1116,1118,1120],{"text":1117,"type":310},"La gestion des risques cyber liés aux tiers ne doit pas être considérée comme un exercice ponctuel. Les environnements technologiques évoluent, les relations avec les fournisseurs changent et de nouveaux risques peuvent apparaître. Mettre en place des ",{"bold":96,"text":1119,"type":310},"évaluations régulières",{"text":1121,"type":310}," et maintenir une visibilité continue sur la maturité cyber des partenaires permet aux organisations d'anticiper les évolutions de leur écosystème numérique et d'adapter leurs mesures de sécurité en conséquence.",[],{"__component":1124,"id":1125,"headline":1126,"title":1127,"description":318,"backgroundColor":1128,"items":1129},"block.faq",432,"Questions fréquentes","FAQ - Conformité cyber des tiers","white",[1130,1169,1207,1251,1269,1281,1305],{"id":1131,"label":1132,"content":1133},1461,"Quels sont les 4 piliers de la cybersécurité ?",[1134,1150,1165],{"type":306,"children":1135},[1136,1138,1139,1141,1142,1144,1145,1147,1149],{"text":1137,"type":310},"Les 4 piliers fondamentaux de la cybersécurité sont la ",{"bold":96,"text":629,"type":310},{"text":1140,"type":310},", l'",{"bold":96,"text":633,"type":310},{"text":1143,"type":310},", la ",{"bold":96,"text":637,"type":310},{"text":1146,"type":310}," et la ",{"bold":96,"text":1148,"type":310},"Traçabilité",{"text":541,"type":310},{"type":306,"children":1151},[1152,1153,1154,1156,1157,1159,1160,1162,1163],{"text":612,"type":310},{"bold":96,"text":629,"type":310},{"text":1155,"type":310}," consiste à empêcher l'accès non autorisé aux données sensibles. L'",{"bold":96,"text":633,"type":310},{"text":1158,"type":310}," vise à garantir que les données ne sont pas altérées ou modifiées de manière illégitime. La ",{"bold":96,"text":637,"type":310},{"text":1161,"type":310}," consiste à s'assurer que les systèmes, applications et données restent accessibles lorsque les utilisateurs autorisés en ont besoin. La ",{"bold":96,"text":1148,"type":310},{"text":1164,"type":310}," permet de savoir qui a fait quoi, quand et sur quel système, grâce à des journaux et des mécanismes d'audit.",{"type":306,"children":1166},[1167],{"text":1168,"type":310},"Dans le cadre de la conformité cyber des tiers, ces quatre dimensions permettent de vérifier si un partenaire protège correctement les données et les services auxquels il a accès.",{"id":1170,"label":1171,"content":1172},1462,"Qu'est-ce qu'une assurance cyber par un tiers ?",[1173,1181,1203],{"type":306,"children":1174},[1175,1177,1179],{"text":1176,"type":310},"Dans un contexte de gestion des risques cyber liés aux tiers, elle désigne le fait pour une entreprise de chercher à obtenir un ",{"bold":96,"text":1178,"type":310},"niveau de confiance raisonnable",{"text":1180,"type":310}," sur la cybersécurité de ses fournisseurs, prestataires ou partenaires externes. Concrètement, cette assurance repose sur plusieurs leviers :",{"type":653,"format":654,"children":1182},[1183,1187,1191,1195,1199],{"type":657,"children":1184},[1185],{"text":1186,"type":310},"L'identification des tiers les plus critiques",{"type":657,"children":1188},[1189],{"text":1190,"type":310},"L'évaluation de leur niveau de maturité cyber",{"type":657,"children":1192},[1193],{"text":1194,"type":310},"La vérification de preuves documentées",{"type":657,"children":1196},[1197],{"text":1198,"type":310},"Le suivi des écarts ou des plans de remédiation",{"type":657,"children":1200},[1201],{"text":1202,"type":310},"Et, dans certains cas, la surveillance continue de leur posture de sécurité",{"type":306,"children":1204},[1205],{"text":1206,"type":310},"L'objectif n'est pas de garantir qu'un tiers ne subira jamais d'incident, mais de démontrer que l'organisation a mis en place une démarche structurée, proportionnée et documentée pour réduire son exposition aux risques liés à son écosystème.",{"id":1208,"label":1209,"content":1210},1463,"Quelles sont les 4 étapes de la cybersécurité ?",[1211,1227,1233,1239,1245],{"type":306,"children":1212},[1213,1215,1217,1218,1220,1221,1223,1224,1226],{"text":1214,"type":310},"Les 4 étapes de la cybersécurité peuvent être résumées ainsi : ",{"bold":96,"text":1216,"type":310},"identifier",{"text":631,"type":310},{"bold":96,"text":1219,"type":310},"évaluer",{"text":631,"type":310},{"bold":96,"text":1222,"type":310},"protéger",{"text":635,"type":310},{"bold":96,"text":1225,"type":310},"surveiller",{"text":541,"type":310},{"type":306,"children":1228},[1229,1231],{"bold":96,"text":1230,"type":310},"Identifier",{"text":1232,"type":310}," consiste à repérer les actifs, systèmes, données, processus ou partenaires qui présentent un enjeu pour l'organisation.",{"type":306,"children":1234},[1235,1237],{"bold":96,"text":1236,"type":310},"Évaluer",{"text":1238,"type":310}," signifie analyser les risques associés, mesurer le niveau de maturité cyber et vérifier l'existence de mesures de sécurité adaptées.",{"type":306,"children":1240},[1241,1243],{"bold":96,"text":1242,"type":310},"Protéger",{"text":1244,"type":310}," consiste à mettre en place les mesures nécessaires pour limiter les risques identifiés : contrôles techniques, politiques de sécurité, exigences contractuelles, plans de remédiation.",{"type":306,"children":1246},[1247,1249],{"bold":96,"text":1248,"type":310},"Surveiller",{"text":1250,"type":310}," revient à suivre l'évolution du niveau de risque dans le temps. En cybersécurité, une évaluation ponctuelle ne suffit pas : les environnements, les usages et les menaces évoluent.",{"id":500,"label":607,"content":1252},[1253,1257,1261],{"type":306,"children":1254},[1255],{"text":1256,"type":310},"La conformité cyber des tiers désigne l'ensemble des pratiques permettant à une organisation de s'assurer que ses fournisseurs, prestataires ou partenaires respectent un niveau de sécurité de l'information compatible avec ses exigences et avec les réglementations applicables.",{"type":306,"children":1258},[1259],{"text":1260,"type":310},"Contrairement à la cybersécurité interne, qui concerne les infrastructures et les processus de l'entreprise elle-même, la conformité cyber des tiers vise à évaluer les mesures de sécurité mises en place par les organisations externes avec lesquelles elle collabore.",{"type":306,"children":1262},[1263,1265,1267],{"text":1264,"type":310},"La conformité cyber des tiers s'inscrit généralement dans un programme plus large de ",{"bold":96,"text":1266,"type":310},"gestion des risques liés aux fournisseurs",{"text":1268,"type":310},", qui inclut l'identification des partenaires critiques, l'évaluation de leur posture de sécurité et le suivi des actions d'amélioration dans le temps.",{"id":1270,"label":1271,"content":1272},1465,"Pourquoi les fournisseurs représentent-ils un risque cyber ?",[1273,1277],{"type":306,"children":1274},[1275],{"text":1276,"type":310},"Les fournisseurs peuvent représenter un risque cyber dès lors qu'ils interagissent avec les systèmes, les données ou les infrastructures d'une organisation. Un prestataire informatique, un éditeur de logiciel ou un fournisseur de service cloud peut disposer d'un accès direct ou indirect à certaines ressources numériques.",{"type":306,"children":1278},[1279],{"text":1280,"type":310},"Si les pratiques de sécurité de ce partenaire sont insuffisantes, il peut devenir un vecteur d'exposition pour l'entreprise. Ce type de situation est particulièrement critique lorsque les services fournis sont intégrés à des processus essentiels de l'organisation.",{"id":1282,"label":1283,"content":1284},1466,"Quelles réglementations imposent la gestion des risques cyber liés aux tiers ?",[1285,1289,1297],{"type":306,"children":1286},[1287],{"text":1288,"type":310},"Plusieurs réglementations européennes ont renforcé les exigences concernant la gestion des risques cyber liés aux fournisseurs :",{"type":306,"children":1290},[1291,1293,1295],{"text":1292,"type":310},"La directive ",{"bold":96,"text":1294,"type":310},"NIS2",{"text":1296,"type":310}," impose aux organisations opérant dans des secteurs critiques de mettre en place des mesures de gestion des risques couvrant notamment la sécurité de la chaîne d'approvisionnement numérique.",{"type":306,"children":1298},[1299,1301,1303],{"text":1300,"type":310},"Le règlement ",{"bold":96,"text":1302,"type":310},"DORA (Digital Operational Resilience Act)",{"text":1304,"type":310}," introduit également des obligations spécifiques pour les institutions financières. Il encadre la gestion des prestataires de services TIC et exige des organisations qu'elles évaluent, surveillent et documentent les risques associés à ces fournisseurs.",{"id":1306,"label":1307,"content":1308},1467,"Quelle est la différence entre un scan automatisé et une évaluation basée sur des preuves ?",[1309,1313,1319],{"type":306,"children":1310},[1311],{"text":1312,"type":310},"Les scans automatisés analysent principalement des éléments techniques visibles depuis l'extérieur d'une organisation, comme certaines configurations réseau, des vulnérabilités connues ou des indicateurs d'exposition sur Internet. Ces outils offrent une visibilité limitée sur les processus internes et les contrôles de sécurité réellement mis en place.",{"type":306,"children":1314},[1315,1316,1317],{"text":952,"type":310},{"bold":96,"text":954,"type":310},{"text":1318,"type":310}," repose quant à elle sur l'analyse d'éléments documentaires fournis par l'organisation évaluée : politiques de sécurité, procédures de gestion des accès, rapports d'audit ou autres documents permettant d'attester de l'existence et de la mise en œuvre de certains contrôles.",{"type":306,"children":1320},[1321],{"text":1322,"type":310},"Cette approche permet d'obtenir une vision plus complète de la posture de sécurité d'un fournisseur, en complétant les observations techniques par une analyse des processus organisationnels et des pratiques de gouvernance.",[],1777355797651]