France : les entreprises manquent de moyens pour gérer la cybersécurité de leurs fournisseurs

Le Club de la sécurité de l’information et du numérique (Cesin) et la start-up Board of Cyber ont publié, le 5 décembre 2024, un rapport sur les risques de cybersécurité liés aux fournisseurs. Il s’appuie sur une enquête menée auprès de plus de 100 RSSI d’organisations françaises de toutes les tailles. De nombreuses entités subissent en effet des intrusions émanant de leur chaîne d’approvisionnement, en raison d’une cybersécurité moins optimale de leurs fournisseurs et sous-traitants.

Les RSSI sont conscients de ce risque : 88 % des répondants l’estiment « important » voire
« très important ». 6 organisations sur 10 ont d’ailleurs adopté un système de classification du niveau de cyber-protection de leurs fournisseurs. Mais elles ne sont que 47 % à évaluer au moins une fois par an les risques de cybersécurité induits, et 33 % seulement y intègrent l’ensemble de leurs fournisseurs.

73 % des répondants estiment d’ailleurs que leur organisation manque de ressources pour gérer efficacement ce risque et 64 % déplorent la complexité d’associer leurs fournisseurs au processus. 48 % estiment même que certains fournisseurs n’ont pas les moyens d’atteindre le niveau de cyber-protection attendu.

Concernant les solutions possibles, outre une augmentation des budgets, les RSSI évoquent la mise en place d’une méthodologie d’évaluation standardisée, approuvée par les régulateurs. 53,4 % des organisations estiment par ailleurs que les nouvelles réglementations NIS2 et DORA devraient les conduire à modifier, dans les 12 prochains mois, leur approche de la gestion du risque fournisseurs