Hiérarchiser d’abord, évaluer en proportion
Un programme qui envoie le même formulaire de 300 questions à chaque fournisseur collecte une boîte aux lettres de PDF et n’apprend pas grand-chose. La TPRM commence par un inventaire et une hiérarchisation : quelles données, quels accès et quelle activité métier le fournisseur touche-t-il, et que ferait sa défaillance ? Un niveau critique reçoit une évaluation contextuelle, des preuves et un plan de remédiation ; un niveau faible reçoit une attestation courte et une surveillance externe. La proportion est ce qui rend le programme tenable à des centaines de fournisseurs.
Entre deux évaluations
Une évaluation décrit un fournisseur le jour où il a répondu. La surveillance couvre le reste : notations de sécurité externes et signaux de surface d’attaque, actualité des fuites, un certificat qui expire, une période SOC 2 qui se termine. Un signal dégradé devrait rouvrir le risque du fournisseur, sans attendre le questionnaire de l’an prochain. C’est là qu’une note composite, qui mélange l’évaluation, l’impact métier du service et les signaux externes, gagne sa place, à condition que son calcul soit visible.
Ce que NIS2 et DORA exigent
NIS2 range la sécurité de la chaîne d’approvisionnement parmi les mesures de gestion des risques obligatoires, y compris les pratiques de sécurité des fournisseurs et prestataires directs. DORA consacre un chapitre entier au risque lié aux tiers TIC : une stratégie, un registre d’information sur chaque accord contractuel, une diligence précontractuelle, des clauses contractuelles obligatoires, des stratégies de sortie pour les services critiques et un régime de supervision européen des prestataires TIC critiques. La TPRM est le programme que ces obligations décrivent.