Blog of cyber
Avec la multiplication des cyberattaques et l’entrée en vigueur de nouvelles réglementations européennes (NIS2, DORA, CRA), les entreprises de services numériques (ESN) sont confrontées à un défi stratégique : protéger leur chaîne de valeur tout en répondant aux exigences croissantes de leurs clients et de leur écosystème.
Ce n’est plus une option : les ESN doivent démontrer une posture cyber solide à leurs clients et partenaires. La gestion du risque cyber des fournisseurs, aussi appelée Third-Party Risk Management (TPRM), est désormais au cœur des enjeux opérationnels, contractuels et réglementaires des ESN. Pourtant, peu d’acteurs savent comment passer à l’action de façon structurée, efficace et compétitive.
Dans cet article, nous revenons sur les temps forts du webinaire organisé par Numeum le 17 juin 2025, avec les interventions croisées de :
Le cabinet Derriennic gère aujourd’hui plus de deux cyberattaques par mois, contre une seule il y a cinq ans. Cette tendance s’inscrit dans un contexte plus large :
Le lien est clair : une faille cyber non maîtrisée sur la chaîne de sous-traitance peut provoquer une perte directe de revenus et de contrats.
« L’entreprise qui subit une cyberattaque perd mécaniquement des clients. À partir du moment où les données ont fuité, la confiance est rompue. »
– Maître François-Pierre LANI, cabinet Derriennic
En tant que maillons essentiels de la chaîne numérique, les ESN sont sous pression :
« Aujourd’hui, vous êtes évalués, parfois sans le savoir. Il faut reprendre le contrôle sur ces évaluations et en faire un levier de business. »
– François SAMARCQ, Board of Cyber
La directive NIS2 vise les entités essentielles et importantes dans des secteurs critiques, dont de nombreuses ESN au travers de leurs activités et typologies de clients. La loi de transposition française est attendue pour octobre 2025, avec un risque de sanctions rapides dès 2026.
« Contrairement au RGPD, l’ANSSI et la CPR ne feront preuve d’aucune tolérance sur NIS2. Des audits sont déjà en cours. »
– Maître François-Pierre LANI
Le règlement DORA ne cible que les entités financières, mais ces dernières répercutent les exigences sur leurs prestataires. Concrètement : une ESN qui travaille avec une banque est déjà indirectement soumise à DORA.
Ainsi, même si une ESN n’est pas directement soumise à DORA, elle peut être désignée comme :
Sortir de cette qualification est difficile, sauf à démontrer sa substituabilité immédiate.
Le CRA impose aux fabricants, importateurs et distributeurs de garantir la cybersécurité de leurs produits numériques tout au long du cycle de vie. Les ESN intégrant ou distribuant des briques logicielles ou matérielles sont concernées. L’anticipation est donc clé.
Des solutions comme Security Rating permettent aux ESN :
C’est aussi un atout différenciateur puissant en appel d’offres.
« Avec Numeum, nous offrons un rapport de synthèse Security Rating aux ESN. C’est la première étape pour reprendre le contrôle. »
– Célien LEROY, Board of Cyber
Le meilleur moyen de gagner du temps (et de la crédibilité) : standardiser ses preuves.
Exemples :
Board of Cyber préconise une approche mutualisée des évaluations fournisseurs :
L’entreprise investit aussi massivement dans l’IA pour :
« Le succès d’un programme TPRM repose sur la préparation, la collaboration avec les fournisseurs et une approche progressive, pragmatique. »
– François SAMARCQ, Board of Cyber
Face à des clients plus exigeants, des régulateurs plus stricts et un marché plus concurrentiel, la gestion du risque cyber fournisseur devient un critère de performance. La cybersécurité n’est plus un coût : c’est un facteur de compétitivité.
C’est aussi une opportunité stratégique : professionnaliser sa posture cyber, gagner la confiance de ses clients et faire de la conformité un levier commercial.
Pour vous aider à structurer votre démarche TPRM, Board of Cyber met à disposition des solutions comme Security Rating et Trust HQ.
Contactez Célien LEROY, responsable ESN chez Board of Cyber, via ce formulaire pour bénéficier :
