HodeiShield®

Comment évaluer les plateformes TPRM pour mon secteur ?

Par HodeitekPublié

Pour les responsables sécurité et conformité qui vont acheter, comparer ou remplacer un outil de risque tiers et veulent savoir ce que leur réglementation exige avant de voir une démo.

Partez du régime qui s'impose à vous, pas de la liste de fonctions. Pour chaque texte (DORA, NIS2, ENS, HIPAA, CMMC 2.0, SAMA ou ECC), vérifiez ce qu'il demande sur les tiers, quelles preuves il attend et si la plateforme les conserve avec un responsable et une date. Testez ensuite avec vos propres fournisseurs avant d'acheter.

Télécharger la checklist en PDFChecklist d'évaluation des plateformes TPRM par secteur. PDF, téléchargement direct, sans formulaire

Critères valables pour tout secteur

Avant d'aborder chaque texte, six questions valent toujours. Aucune ne dépend de la marque de l'outil et toutes peuvent être testées dans une démo avec vos données.

Ce qu'il faut vérifier dans la plateforme

  • Un inventaire des tiers avec responsable interne, criticité, données du contrat et sous-traitants.
  • Des preuves avec responsable, date de validité et statut, et une preuve périmée qui cesse de compter.
  • Comment l'information du fournisseur est obtenue : questionnaire, documents, scan externe, SBOM. Chaque voie mesure autre chose.
  • Comment le score ou le risque est calculé : entrées visibles, méthode documentée et estimations signalées comme telles.
  • Un journal des modifications, l'export de vos données et une API, pour pouvoir quitter l'outil.
  • Où les données sont hébergées, quels sous-traitants ultérieurs interviennent et ce que la plateforme ne fait pas. Aucune ne vous rend conforme à elle seule.

DORA : entités financières de l'UE

DORA est le règlement (UE) 2022/2554 et s'applique depuis le 17 janvier 2025. L'article 28 précise que l'entité reste responsable même si elle externalise, exige une stratégie de risque lié aux prestataires tiers de services TIC et, au paragraphe 3, un registre d'informations sur tous les accords contractuels. L'article 29 demande d'évaluer le risque de concentration, l'article 30 fixe des clauses contractuelles minimales (avec plans de sortie et droits d'accès et d'audit pour les fonctions critiques ou importantes) et l'article 31 prévoit la désignation des prestataires critiques, qui sont alors soumis à une supervision européenne.

Le format du registre est fixé par le règlement d'exécution (UE) 2024/2956.

Ce qu'il faut vérifier dans la plateforme

  • Un registre avec LEI, juridiction, fonction soutenue et criticité par prestataire et par contrat.
  • Un export au format des modèles officiels (les guides des superviseurs citent des paquets xBRL-CSV), le dépôt par le canal officiel restant entre vos mains.
  • Le suivi par contrat du plan de sortie, du droit d'audit et de la chaîne de sous-traitance.
  • Une vue de concentration : combien de fonctions dépendent du même prestataire.

Source: Règlement (UE) 2022/2554 (DORA), articles 28 à 31, sur EUR-Lex (s’ouvre dans un nouvel onglet); Règlement d'exécution (UE) 2024/2956, modèles du registre d'informations, sur EUR-Lex (s’ouvre dans un nouvel onglet)

NIS2 : entités essentielles et importantes de l'UE

La directive (UE) 2022/2555 exige, à l'article 21, paragraphe 2, point d), des mesures de sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité de la relation avec chaque fournisseur direct. L'article 21, paragraphe 3, ajoute qu'il faut tenir compte des vulnérabilités propres à chaque fournisseur et de la qualité globale de ses produits et pratiques de cybersécurité. L'article 20 rend l'organe de direction responsable de l'approbation et du contrôle de ces mesures.

Pour les fournisseurs de DNS, de cloud, de centres de données, de services gérés et d'autres types précis, le règlement d'exécution (UE) 2024/2690 ajoute des exigences techniques.

Ce qu'il faut vérifier dans la plateforme

  • Une évaluation par fournisseur couvrant vulnérabilités et pratiques de sécurité, pas seulement un questionnaire générique.
  • Des clauses de notification d'incident du fournisseur vers vous, avec suivi du délai.
  • Des rapports que l'organe de direction peut approuver et réexaminer.
  • Une gestion des incidents avec les délais de l'article 23 : 24 heures, 72 heures et un mois.

Source: Directive (UE) 2022/2555 (NIS2), articles 20, 21 et 23, sur EUR-Lex (s’ouvre dans un nouvel onglet); Règlement d'exécution (UE) 2024/2690, exigences techniques et méthodologiques, sur EUR-Lex (s’ouvre dans un nouvel onglet)

ENS : secteur public espagnol et ses fournisseurs

Le Real Decreto 311/2022 s'applique au secteur public et, selon son article 2, paragraphe 3, aussi aux systèmes des entités privées qui fournissent des services ou des solutions à un organisme public. À l'annexe II, la mesure op.ext.1 demande un accord de niveau de service avant d'utiliser des ressources externes, op.ext.2 un système courant de mesure de son respect et op.ext.3 la protection de la chaîne d'approvisionnement.

Les deux premières s'appliquent aux catégories moyenne et haute ; op.ext.3 s'applique à la catégorie haute.

Ce qu'il faut vérifier dans la plateforme

  • Qu'elle distingue la catégorie du système (basique, moyenne, haute) et montre quelles mesures op.ext s'appliquent.
  • Des accords de niveau de service par fournisseur et une mesure périodique de leur respect.
  • Une analyse d'impact et de risque pour un incident né dans la chaîne d'approvisionnement, avec des mesures de confinement.
  • L'état de conformité ENS du fournisseur lui-même lorsqu'il sert un organisme public.

Source: Real Decreto 311/2022 (ENS), article 2 et annexe II, mesures op.ext, au BOE (en espagnol) (s’ouvre dans un nouvel onglet)

HIPAA : santé aux États-Unis et business associates

Sous HIPAA, quiconque crée, reçoit, conserve ou transmet des informations de santé protégées pour le compte d'une covered entity est un business associate. La Security Rule (45 CFR 164.308(b) et 164.314(a)) n'autorise un business associate à traiter des ePHI qu'avec des garanties satisfaisantes par contrat. Les sections 164.502(e) et 164.504(e) règlent la même question pour la Privacy Rule, y compris les garanties que le business associate doit obtenir de ses propres sous-traitants.

Un business associate doit notifier une violation à la covered entity sans retard déraisonnable et au plus tard 60 jours calendaires après sa découverte (164.410).

Ce qu'il faut vérifier dans la plateforme

  • Un marquage des tiers qui touchent des informations de santé et l'état du contrat de business associate de chacun, avec dates.
  • Un registre des sous-traitants du business associate et de leurs garanties.
  • Le suivi des clauses de notification de violation et du délai de 60 jours.
  • Si la plateforme stockera elle-même des informations de santé, elle est business associate : demandez le contrat avant de charger des données.

Source: 45 CFR 164.308(b), contrats avec les business associates, sur eCFR (s’ouvre dans un nouvel onglet); 45 CFR 164.314(a), contrats avec les business associates (Security Rule), sur eCFR (s’ouvre dans un nouvel onglet); 45 CFR 164.502(e), divulgations aux business associates, sur eCFR (s’ouvre dans un nouvel onglet); 45 CFR 164.504(e), contenu des contrats avec les business associates, sur eCFR (s’ouvre dans un nouvel onglet); 45 CFR 164.410, notification par un business associate, sur eCFR (s’ouvre dans un nouvel onglet)

CMMC 2.0 : chaîne d'approvisionnement de défense américaine

Le programme CMMC figure dans 32 CFR Part 170. La section 170.23 oblige le contractant principal à se conformer et à exiger la conformité de ses sous-traitants, avec un niveau minimal qui dépend des informations traitées : niveau 1 pour les informations de contrats fédéraux sans CUI et au moins niveau 2 dès qu'il y a des CUI. Les sections 170.16(c) et 170.17(c) ajoutent qu'un fournisseur cloud traitant des CUI doit être autorisé FedRAMP Moderate ou satisfaire des exigences équivalentes.

Ce qu'il faut vérifier dans la plateforme

  • Un champ par fournisseur pour le type d'information traitée (FCI ou CUI) et le niveau CMMC exigé.
  • La preuve que vous avez répercuté les exigences dans le contrat (flow-down).
  • L'état de chaque sous-traitant face au niveau exigé, avec la date de la dernière preuve.
  • Si vous chargez des CUI dans l'outil, que son hébergement respecte l'exigence cloud de 170.16(c).

Source: 32 CFR 170.23, application aux sous-traitants, sur eCFR (s’ouvre dans un nouvel onglet); 32 CFR Part 170 (programme CMMC), sur eCFR (s’ouvre dans un nouvel onglet)

SAMA et ECC de la NCA : secteurs financier et national saoudiens

Le SAMA Cyber Security Framework consacre le domaine 3.4 aux tiers, avec trois sous-domaines : 3.4.1 contrats et gestion des fournisseurs, 3.4.2 externalisation et 3.4.3 informatique en nuage. Les Essential Cybersecurity Controls de la NCA (ECC-2:2024) comprennent le domaine 4, cybersécurité des tiers et de l'informatique en nuage.

Ce qu'il faut vérifier dans la plateforme

  • Que la bibliothèque de référentiels inclue SAMA et ECC et indique l'édition (celle que nous avons consultée est ECC-2:2024).
  • Un inventaire des tiers ayant accès aux systèmes ou aux données et des clauses contractuelles par fournisseur.
  • Un marquage des prestataires d'externalisation et de cloud, qui ont leur propre sous-domaine dans SAMA.
  • Des preuves par contrôle, avec responsable et date, pour répondre à l'organisme de supervision.

Source: SAMA Cyber Security Framework, domaine 3.4 «Third Party Cyber Security», dans le SAMA Rulebook (s’ouvre dans un nouvel onglet); NCA Essential Cybersecurity Controls (ECC-2:2024), domaine 4 (s’ouvre dans un nouvel onglet)

Types d'outils et place de HodeiShield

Il existe quatre familles et aucune n'est meilleure dans l'abstrait : plateformes de questionnaires et de collecte de preuves, services externes de notation de sécurité, suites GRC avec module fournisseurs, et plateformes intégrées qui relient preuves des fournisseurs, quantification du risque et conformité multi-référentiel. HodeiShield appartient à la quatrième et n'est qu'une option parmi d'autres.

Selon sa documentation, il calcule un score fournisseur de 0 à 100 avec des dépendances dans un graphe, un rayon d'impact et un indice de concentration (HHI) ; réalise un scan externe (ports exposés, CVE, violations connues), croise les SBOM des fournisseurs (CycloneDX ou SPDX) avec OSV.dev et propose un portail où le fournisseur répond aux questionnaires par un lien à usage unique, sans compte. Il quantifie l'exposition FAIR en euros avec une bande d'incertitude simulée (non calibrée). Il mesure 17 référentiels, dont NIS2, ENS, DORA, HIPAA, CMMC 2.0, SAMA CSF et Saudi ECC-1:2018, comme couverture mesurée sur ses contrôles, non comme certification.

Limites : les preuves documentaires sont téléversées ou liées, non collectées automatiquement dans le cloud. Il génère le registre d'informations DORA sous forme de paquet xBRL-CSV, mais le dépôt est à votre charge.

Comment mener la comparaison

Avec deux ou trois candidats, chargez les mêmes dix fournisseurs réels dans chacun, dont le plus critique et celui qui a le plus de sous-traitants. Demandez à chaque outil de produire ce que demanderait votre superviseur ou votre auditeur : le registre, la preuve d'un contrôle et le délai d'un incident. Notez avec la liste du PDF et consignez ce que chacun ne fait pas.

Questions fréquentes

Qu'est-ce qu'une plateforme TPRM ?
Un logiciel pour inventorier les tiers, collecter et suivre leurs preuves de sécurité, mesurer leur risque et conserver les registres que demandent les superviseurs. TPRM signifie gestion du risque tiers.
Une plateforme TPRM me rend-elle conforme à DORA ou NIS2 ?
Non. La responsabilité reste à l'entité (article 28 de DORA) et, sous NIS2, à l'organe de direction (article 20). L'outil organise les données et les délais ; les décisions sont les vôtres.
Quelle différence entre un scan externe et un questionnaire ?
Le scan mesure ce qui se voit de l'extérieur, comme les ports exposés ou les violations connues. Le questionnaire recueille ce que le fournisseur déclare sur ses contrôles internes. Ils se complètent et aucun ne prouve à lui seul qu'un contrôle fonctionne.
Par quels fournisseurs commencer ?
Ceux qui soutiennent des fonctions critiques ou importantes (DORA), ceux qui touchent des informations de santé (HIPAA) ou des CUI (CMMC) et ceux sans alternative. Élargissez ensuite par criticité.
Et si je suis soumis à plusieurs textes à la fois ?
Cherchez une correspondance entre référentiels pour réutiliser la même preuve, et vérifiez que chaque correspondance est révisable. Une réponse valable pour deux référentiels ne vaut que si la correspondance est juste.
Que demander sur le lieu de stockage de mes données ?
La région d'hébergement, les sous-traitants ultérieurs, le chiffrement, les sauvegardes et la façon de récupérer vos données en partant. Selon le régime, des exigences supplémentaires existent, comme l'exigence cloud de 170.16(c) dans CMMC.

Checklist d'évaluation des plateformes TPRM par secteur

Les critères communs et ceux de DORA, NIS2, ENS, HIPAA, CMMC 2.0 et SAMA ou ECC dans une liste imprimable, avec la source de chaque texte et de la place pour des notes.

Télécharger la checklist en PDF

PDF, téléchargement direct, sans formulaire

Guide associé

Comment atteindre la conformité NIS2 avec un logiciel ?Si NIS2 est votre régime principal, lisez ce que le logiciel peut et ne peut pas faire pour la conformité.

Sources

  1. Règlement (UE) 2022/2554 (DORA), articles 28 à 31, sur EUR-Lex (s’ouvre dans un nouvel onglet)
  2. Règlement d'exécution (UE) 2024/2956, modèles du registre d'informations, sur EUR-Lex (s’ouvre dans un nouvel onglet)
  3. Directive (UE) 2022/2555 (NIS2), articles 20, 21 et 23, sur EUR-Lex (s’ouvre dans un nouvel onglet)
  4. Règlement d'exécution (UE) 2024/2690, exigences techniques et méthodologiques, sur EUR-Lex (s’ouvre dans un nouvel onglet)
  5. Real Decreto 311/2022 (ENS), article 2 et annexe II, mesures op.ext, au BOE (en espagnol) (s’ouvre dans un nouvel onglet)
  6. 45 CFR 164.308(b), contrats avec les business associates, sur eCFR (s’ouvre dans un nouvel onglet)
  7. 45 CFR 164.314(a), contrats avec les business associates (Security Rule), sur eCFR (s’ouvre dans un nouvel onglet)
  8. 45 CFR 164.502(e), divulgations aux business associates, sur eCFR (s’ouvre dans un nouvel onglet)
  9. 45 CFR 164.504(e), contenu des contrats avec les business associates, sur eCFR (s’ouvre dans un nouvel onglet)
  10. 45 CFR 164.410, notification par un business associate, sur eCFR (s’ouvre dans un nouvel onglet)
  11. 32 CFR 170.23, application aux sous-traitants, sur eCFR (s’ouvre dans un nouvel onglet)
  12. 32 CFR Part 170 (programme CMMC), sur eCFR (s’ouvre dans un nouvel onglet)
  13. SAMA Cyber Security Framework, domaine 3.4 «Third Party Cyber Security», dans le SAMA Rulebook (s’ouvre dans un nouvel onglet)
  14. NCA Essential Cybersecurity Controls (ECC-2:2024), domaine 4 (s’ouvre dans un nouvel onglet)

Essayez la liste avec vos fournisseurs

Lors d'une démo, nous chargeons des fournisseurs d'exemple dans HodeiShield et passons cette liste point par point, y compris ce qu'elle ne couvre pas. Une personne de Hodeitek vous répond.

Demander une démo