Notation cyber fournisseur : obtenir un score fiable et le maintenir à jour

Mis à jour : juillet 2026

Les directions achats posent de plus en plus souvent la même question aux équipes sécurité : ce prestataire présente-t-il un risque ? La réponse tient rarement en une phrase.

La notation cyber en fournit une. Le principe est emprunté aux agences de notation financière : chaque tiers reçoit un score, généralement une lettre de A à F, censé résumer son exposition aux cyberattaques. L’idée séduit, et on comprend pourquoi. Elle rend comparables deux prestataires que rien ne permettait jusqu’ici de départager sur des bases objectives, et elle donne à un acheteur non spécialiste un repère utilisable sans expertise technique.

Encore faut-il savoir ce que cette note mesure, et surtout ce qu’elle laisse dans l’ombre. Les mauvaises surprises viennent presque toujours de là. Voyons comment une notation se construit, pourquoi elle vieillit si vite quand on la laisse seule, et ce qu’il faut lui adjoindre pour qu’elle décrive autre chose qu’un instantané déjà périmé.

Qu’est-ce qu’une notation cyber fournisseur ?

Une notation cyber fournisseur est un score attribué à un tiers pour mesurer son exposition aux cyberattaques. Elle se construit par observation externe, ce que le métier appelle une approche outside-in : on regarde ce qu’une organisation laisse voir d’elle-même depuis Internet, dans la position exacte d’un attaquant qui prépare son intrusion.

Concrètement, cela veut dire recenser les actifs exposés, repérer les vulnérabilités applicatives non corrigées, examiner la configuration DNS, mesurer la réputation des adresses IP, chercher les identifiants de l’entreprise dans les fuites de données en circulation. Rien de tout cela ne suppose le moindre accès aux systèmes du fournisseur, ce qui explique l’adoption rapide de la méthode : on peut noter un portefeuille de huit cents tiers sans en solliciter un seul.

La comparaison avec la notation financière a une limite, et elle est instructive. Une note de solvabilité se révise à intervalles longs, parce que la situation qu’elle décrit évolue lentement. Une note cyber, elle, peut basculer en quelques jours : il suffit qu’un serveur d’administration se retrouve exposé après une opération de maintenance, ou qu’un lot d’identifiants apparaisse sur un forum. La temporalité n’a rien à voir, et c’est tout le problème de l’usage qu’on en fait.

Précisons enfin le périmètre. La notation cyber n’est qu’un des instruments du pilotage du risque tiers, aux côtés de l’obligation de vigilance, du contrôle des sanctions et de l’évaluation RSE. Pour une vue d’ensemble des menaces qui pèsent sur la chaîne de sous-traitance et de la stratégie à leur opposer, nous avons consacré un article distinct à la maîtrise du risque cyber de vos tiers.

Pourquoi une notation cyber fournisseur ponctuelle ne protège pas

Ce que disent les données 2025-2026

Les chiffres publiés ces dix-huit derniers mois convergent. C’est leur trajectoire qu’il faut regarder.

• 48 % des violations de données confirmées impliquent un tiers en 2026, contre 30 % dans l’édition précédente et 15 % deux ans auparavant, soit une progression de 60 % sur un an (Verizon DBIR 2026, 22 000 violations analysées dans 145 pays).
• Chez les PME, la proportion monte à 55 % des violations recensées (Verizon DBIR 2026).
• Seules 23 % des organisations tierces avaient entièrement corrigé l’absence d’authentification multifacteur sur leurs comptes cloud (Verizon DBIR 2026). Le défaut était connu. Il n’a pas été traité.
• L’exploitation de vulnérabilités s’impose comme premier vecteur d’accès initial, à 31 %, devant pour la première fois l’usage d’identifiants volés (Verizon DBIR 2026).
• En France, l’ANSSI a recensé 1 366 incidents qualifiés en 2025, dont 128 compromissions par rançongiciel, et identifie le ciblage des sous-traitants comme une voie d’accès privilégiée vers une cible finale (Panorama de la cybermenace 2025, publié le 11 mars 2026).

Passer de 15 % à 48 % en deux exercices ne relève pas de la fluctuation statistique. On assiste à un déplacement durable de la menace vers la chaîne de sous-traitance, et ce déplacement a une conséquence directe sur la façon dont il faut noter un fournisseur. Dans un environnement qui bouge à cette vitesse, une évaluation conduite une fois par an décrit un état de fait qui, le plus souvent, n’existe déjà plus.

Où en est réellement la réglementation en France

C’est ici que la plupart des contenus disponibles en français induisent leurs lecteurs en erreur. On lit couramment que NIS2 « impose » telle ou telle obligation aux entreprises françaises. Au 28 juillet 2026, cette formulation est inexacte. Il vaut la peine de dire précisément où en est le dossier.

Ce qui s’applique aujourd’hui. Le règlement DORA, d’abord, en vigueur depuis le 17 janvier 2025 dans le secteur financier. Il impose la tenue d’un registre d’informations recensant l’ensemble des accords contractuels portant sur des services TIC fournis par des tiers, au titre de son article 28, remis annuellement à l’ACPR, avec une surveillance des risques de concentration et des stratégies de sortie documentées (ACPR, instruction 2025-I-12). Nous détaillons ces obligations dans notre article sur les prestataires TIC critiques et DORA. Le RGPD, ensuite, qui encadre depuis 2018 les relations avec les sous-traitants traitant des données personnelles. La loi Sapin II, enfin, dont le volet tiers reste centré sur l’intégrité plus que sur la sécurité informatique.

Ce qui ne s’applique pas encore. La directive NIS2 devait être transposée avant le 17 octobre 2024. La France a laissé passer l’échéance. La Commission européenne lui a adressé une lettre de mise en demeure le 28 novembre 2024, puis un avis motivé le 7 mai 2025. Le 8 juillet 2026, elle est passée à l’étape suivante en saisissant la Cour de justice de l’Union européenne contre la France, aux côtés de l’Irlande, de l’Espagne et des Pays-Bas, avec demande d’une somme forfaitaire assortie d’astreintes journalières jusqu’à notification de la transposition complète (communiqué de la Commission du 8 juillet 2026).

Le véhicule législatif français, la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dite loi Résilience, a pourtant bien avancé : adoption en première lecture au Sénat les 11 et 12 mars 2025, vote en commission spéciale à l’Assemblée nationale les 9 et 10 septembre 2025. Puis plus rien. Le texte n’a jamais atteint la séance publique. Son examen était attendu ce mois-ci ; le décret convoquant le Parlement en session extraordinaire à compter du 1er juillet ne le mentionne pas. Report à la rentrée, donc, septembre au plus tôt, sans confirmation gouvernementale à ce stade. Le point de friction est identifié : l’article 16 bis, qui interdit d’imposer aux fournisseurs de services de chiffrement des dispositifs affaiblissant volontairement la sécurité.

Autrement dit, au 28 juillet 2026, aucune obligation NIS2 n’est opposable aux entreprises françaises et aucune date d’application n’est fixée.

Faut-il en conclure qu’on peut attendre ? Trois raisons de ne pas le faire. Le périmètre, d’abord : l’ANSSI l’estime à environ 15 000 entités, contre quelques centaines sous NIS1, ce qui suppose des délais d’instruction considérables une fois le texte publié. La feuille de route technique, ensuite : l’ANSSI a publié le 17 mars 2026 son Référentiel Cyber France, le ReCyF, qui structure 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes, en version de travail certes, mais suffisamment détaillée pour qu’on s’en saisisse. Les sanctions prévues par la directive, enfin, qui atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante.

Une règle se vérifie d’ailleurs à chaque transposition tardive : plus le texte se fait attendre, plus la fenêtre de mise en conformité qui suit les décrets se resserre. Or cartographier ses dépendances et noter son portefeuille demande des mois.

Comment construire une notation fiable : la méthode en 6 étapes

1. Cartographier les tiers et hiérarchiser leur criticité. Avant de noter, il faut savoir qui mérite d’être noté. Recensez les fournisseurs qui disposent d’un accès à vos systèmes, ceux qui hébergent ou traitent vos données, ceux dont l’interruption arrêterait une fonction métier. Classez-les ensuite. Un prestataire de nettoyage et un infogérant n’appellent pas le même niveau d’exigence, et vouloir les traiter identiquement revient à diluer l’effort là où il ne sert à rien.

2. Établir la notation externe sur l’ensemble du portefeuille. C’est l’étape à faible coût, celle qui donne un premier tri factuel. On observe ce qui est visible depuis Internet : actifs exposés, vulnérabilités applicatives, configuration DNS, rythme d’application des correctifs, réputation des adresses IP, identifiants ayant fuité, mentions sur les forums et le dark web. Ce qui rend l’exercice tenable à grande échelle, c’est qu’il ne demande aucun accès aux systèmes du tiers, donc aucune négociation préalable, et que l’observation se renouvelle ensuite sans intervention humaine, sur des actifs réellement exposés plutôt que sur des déclarations.

3. Compléter par un questionnaire de maturité sur les fournisseurs critiques. La notation externe ne voit pas l’organisation. Le questionnaire va chercher ce qu’elle ignore : contrôle des accès, sensibilisation des équipes, chiffrement, plan de continuité, gouvernance. Réservez-le aux tiers dont la criticité le justifie, car un questionnaire adressé à huit cents fournisseurs revient rarement rempli, et mal rempli quand il revient. Sur la construction du questionnaire lui-même et les questions à y faire figurer, consultez notre article dédié au questionnaire de cybersécurité fournisseurs.

4. Consolider en un score et un niveau de risque uniques. Beaucoup d’organisations s’arrêtent avant cette étape, et c’est généralement là que le dispositif cesse de servir. Tant qu’un acheteur doit arbitrer lui-même entre une note technique et un questionnaire de soixante lignes, il n’arbitre pas : il transmet le dossier, ou il tranche à l’instinct. Un niveau de risque unique et lisible rend au contraire la décision praticable, qu’il s’agisse d’engager la relation, de l’engager sous conditions, ou de renoncer.

5. Associer des seuils à des actions. Un score sans règle de décision reste un chiffre décoratif. Formalisez ce qui se déclenche à chaque niveau : demande de plan d’action correctif, renforcement des clauses contractuelles, réévaluation à échéance courte, escalade vers la direction des risques. L’exercice paraît bureaucratique, mais c’est lui qui sépare un tableau de bord d’un véritable outil de pilotage.

6. Placer l’ensemble sous surveillance continue. Une évaluation est exacte le jour où elle est produite. Une vulnérabilité apparue trois semaines plus tard n’apparaîtra jamais dans un questionnaire rempli en janvier. La surveillance continue ne remplace pas l’évaluation initiale, elle l’empêche simplement de se transformer en fiction.

Un cas fréquent : l’industriel et son infogérant

Prenons un groupe industriel qui référence un prestataire d’infogérance. Le questionnaire rempli au moment du référencement décrit une organisation sérieuse : authentification multifacteur généralisée, plan de continuité testé, certification en cours d’obtention. Quatre mois plus tard, une interface d’administration du prestataire se retrouve exposée sur Internet à la suite d’une opération de maintenance, et des identifiants de ses collaborateurs apparaissent dans un lot de données volées.

Rien de tout cela ne contredit le questionnaire, qui reste exact sur ce qu’il décrivait. Le décalage ne vient pas d’une déclaration mensongère mais du temps qui a passé. Seule une observation externe reconduite fait remonter le signal, et permet d’ouvrir la discussion avec le prestataire avant que l’exposition ne soit exploitée.

Notation externe ou questionnaire : que voit réellement chaque méthode ?

Tableau comparatif

Quand utiliser chaque approche

La notation externe seule suffit à couvrir un portefeuille large pour un effort marginal. Elle permet de trier plusieurs centaines de fournisseurs et de désigner ceux qui méritent un examen approfondi, ce qui est déjà considérable quand on part d’un tableur.

Le questionnaire seul s’impose dans deux configurations. D’une part les tiers dépourvus de surface Internet observable, cas fréquent chez les indépendants et les très petites structures qui travaillent depuis une adresse de messagerie personnelle. D’autre part les évaluations contractuelles, lorsque vous avez besoin d’un engagement écrit du fournisseur et non d’un constat technique.

Reste l’approche combinée, seule pertinente sur les fournisseurs critiques. Le coût marginal du questionnaire se justifie dès lors que la compromission ou l’indisponibilité du tiers aurait un effet matériel sur votre activité. En dessous de ce seuil, il coûte plus qu’il ne rapporte.

Comment Provigis applique cette méthode : le module Cybersécurité

Le module Cybersécurité de Provigis réunit les deux angles décrits ci-dessus dans un score unique et un niveau de risque lisible : faible, medium ou élevé.

Une notation externe de référence : SecurityScorecard

Provigis s’appuie sur SecurityScorecard, partenaire de la plateforme et l’une des notations cyber reconnues sur le marché, dont l’échelle de A à F est largement utilisée par les équipes sécurité et les assureurs. La note synthétise la posture observable depuis l’extérieur à partir de dix familles de signaux : sécurité réseau, configuration DNS, rythme de mise à jour des systèmes, protection des postes, vulnérabilités applicatives web, réputation des adresses IP, fuites d’identifiants, mentions sur les forums et le dark web, exposition au phishing, indicateurs de maturité globale.

L’intérêt tient moins à la note elle-même qu’à ses conditions de production. Établie sans aucun accès aux systèmes du fournisseur, elle évite la négociation préalable et le délai de mise en place, et elle se recalcule en permanence à partir d’actifs réellement exposés et de vulnérabilités effectivement détectées. Selon l’éditeur, une note F désigne ainsi une organisation statistiquement plus exposée à une compromission qu’une note A.

Un questionnaire de maturité pour l’angle interne

En complément, Provigis met à disposition un questionnaire d’évaluation standardisé que le fournisseur remplit lui-même. Il couvre six domaines hors de portée de la notation externe : protection des postes, contrôle des accès, sensibilisation des équipes, protection des données, continuité d’activité et gouvernance.

Ces domaines pèsent lourd dans la réalité des incidents, puisque la majorité des brèches comportent encore une dimension humaine ou organisationnelle. Le questionnaire s’envoie directement depuis la plateforme, ce qui permet de qualifier la maturité d’un tiers avant de signer un contrat ou d’en renouveler un. Les réponses sont archivées et rattachées au dossier, où elles restent opposables par la suite.

Un score unique, affiché dans la fiche fournisseur

La note externe et le questionnaire sont ensuite combinés en un score global et un niveau de risque unique, affiché dans l’onglet de synthèse de la fiche fournisseur. L’arbitrage entre deux sources qui se contredisent n’incombe donc plus à l’utilisateur : la plateforme produit une lecture synthétique, exploitable aussi bien par les équipes achats que par les équipes conformité.

Ce score évolue. La notation externe étant rafraîchie périodiquement, une dégradation de la posture d’un fournisseur, nouvelle vulnérabilité exposée ou fuite d’identifiants, finit par se refléter dans son niveau de risque sans qu’aucune campagne d’évaluation n’ait à être relancée.

Le cas des fournisseurs sans note externe

Certains tiers, principalement des indépendants, n’ont pas de note externe : ils travaillent depuis une adresse de messagerie personnelle, ou aucun domaine internet ne leur est associé. L’évaluation repose alors sur le seul questionnaire, ce qui évite de laisser une partie du portefeuille hors du dispositif par simple absence de surface observable.

L’intégration dans une démarche TPRM globale

Le module s’inscrit dans l’approche plus large de gestion des risques fournisseurs de Provigis. Pour les organisations qui souhaitent aller plus loin, Provigis Risk Pilot (PRP), la solution TPRM de Provigis, permet de croiser l’ensemble des dimensions du risque tiers et de déclencher des évaluations automatiques adaptées à votre organisation. On quitte alors le traitement en silo pour un pilotage consolidé, où la convergence de plusieurs signaux faibles se repère avant que l’un d’eux ne devienne un incident.

Checklist : évaluer le risque cyber d’un fournisseur

• ☐ La cartographie des tiers est à jour et distingue les fournisseurs critiques des autres
• ☐ Chaque fournisseur critique est rattaché à une fonction métier identifiée
• ☐ Une notation externe est en place sur l’ensemble du portefeuille
• ☐ Un questionnaire de maturité a été envoyé aux fournisseurs critiques et les réponses sont archivées
• ☐ Les tiers sans surface Internet observable sont couverts par le questionnaire
• ☐ Notation et questionnaire sont consolidés en un score et un niveau de risque uniques
• ☐ Des seuils de décision sont formalisés et associés à des actions
• ☐ Les clauses contractuelles prévoient la notification d’incident et le droit d’audit
• ☐ Le score est réévalué en continu, sans campagne manuelle
• ☐ Les dégradations déclenchent une alerte et un plan d’action tracé
• ☐ Les preuves d’évaluation sont horodatées et opposables à un contrôleur
• ☐ Le risque cyber est rattaché à la vision consolidée du risque tiers, aux côtés de la vigilance, des sanctions et de la RSE.

Les 5 erreurs les plus courantes

1. Confondre collecte et évaluation. Recevoir une attestation ou un certificat ISO 27001 prouve qu’un document existe et qu’il a été transmis. Sur le niveau d’exposition du fournisseur au moment où vous lisez le document, cela ne dit rigoureusement rien.

2. Traiter le cyber en silo. Un tiers peut afficher une posture cyber irréprochable et présenter un risque majeur ailleurs : fragilité financière, manquement à son obligation de vigilance sociale et fiscale, exposition à des sanctions internationales. Évaluer la seule cybersécurité revient à éclairer une pièce en laissant les autres dans l’obscurité.

3. Évaluer une fois, puis classer le dossier. C’est l’erreur la plus coûteuse, et la plus répandue. Entre deux campagnes annuelles, la posture du fournisseur évolue, son organisation change, des vulnérabilités apparaissent. L’écart entre ce que vous croyez savoir et la situation réelle s’élargit chaque semaine, silencieusement.

4. Envoyer le même questionnaire à tout le monde. Un formulaire de quatre-vingts questions adressé à un fournisseur non critique se solde par un taux de réponse faible, et par des réponses expédiées chez ceux qui répondent quand même. Vous récoltez du volume sans information.

5. Attendre la loi. La transposition de NIS2 accuse plus de vingt mois de retard et a valu à la France une saisine de la Cour de justice de l’Union européenne en juillet 2026. Les organisations qui attendent le texte pour cartographier leurs dépendances devront tout mener de front dans la fenêtre étroite qui suivra les décrets d’application.

Questions fréquentes

Qu’est-ce qu’une notation cyber fournisseur ?

Une notation cyber fournisseur est un score qui mesure le niveau d’exposition d’un tiers aux cyberattaques, généralement sur une échelle de A à F. Elle repose sur une observation externe des actifs visibles depuis Internet : vulnérabilités applicatives, configuration DNS, réputation des adresses IP, identifiants ayant fuité. Elle s’établit sans aucun accès aux systèmes du fournisseur, ce qui la rend applicable à un portefeuille entier sans mobiliser les tiers concernés.

Une notation cyber suffit-elle à évaluer un fournisseur ?

Non. Une notation externe mesure la surface d’attaque exposée, pas la solidité de l’organisation. Une entreprise peut présenter une surface propre et une gouvernance de sécurité défaillante, ou afficher quelques signaux faibles alors que ses processus sont solides. Une évaluation fiable croise la note externe avec un questionnaire de maturité, puis consolide les deux en un score unique.

NIS2 est-elle applicable en France aujourd’hui ?

Non. La directive NIS2 devait être transposée avant le 17 octobre 2024, échéance manquée par la France. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France pour défaut de transposition, en demandant des sanctions financières. Le texte de transposition, la loi Résilience, a été adopté au Sénat en mars 2025 et voté en commission spéciale à l’Assemblée nationale en septembre 2025, mais il n’a pas été inscrit à l’ordre du jour de la session extraordinaire de juillet 2026 : son examen en séance publique est reporté à la rentrée. Aucune date d’application n’est fixée. En attendant, l’ANSSI a publié le 17 mars 2026 son Référentiel Cyber France (ReCyF), qui détaille les mesures attendues, et ouvert la plateforme MonEspaceNIS2 au pré-enregistrement.

Quelle différence entre une notation cyber et un questionnaire de sécurité ?

La notation cyber observe la surface d’attaque d’un fournisseur depuis Internet, sans accès à ses systèmes : actifs exposés, vulnérabilités, identifiants ayant fuité. Elle est factuelle et continue, mais ne voit pas l’organisation. Le questionnaire documente les pratiques internes déclarées par le fournisseur : gestion des accès, sensibilisation, plan de continuité. Il éclaire la gouvernance, mais reste déclaratif et se périme rapidement. Les deux méthodes sont complémentaires, pas concurrentes.

À quelle fréquence faut-il réévaluer un fournisseur ?

La question de la fréquence est en réalité mal posée. Une réévaluation annuelle laisse une fenêtre de plusieurs mois pendant laquelle une dégradation reste invisible. L’approche pertinente consiste à maintenir une observation externe continue, qui remonte les évolutions au fil de l’eau, et à déclencher une réévaluation approfondie sur événement : dégradation du score, incident public, changement de périmètre contractuel.

Que faire d’un fournisseur qui n’a pas de note cyber externe ?

C’est fréquent chez les indépendants et les très petites structures, qui utilisent parfois une adresse de messagerie personnelle sans domaine associé. L’absence de note n’est ni un bon ni un mauvais signal : elle traduit une absence de surface observable. Ces tiers doivent être couverts par le questionnaire de maturité, pour qu’aucun fournisseur ne reste hors du dispositif.

Le risque cyber fournisseur concerne-t-il aussi les PME ?

Oui, et davantage qu’on ne le suppose. Selon le Verizon DBIR 2026, 55 % des violations touchant les petites et moyennes entreprises impliquent un tiers, soit une proportion supérieure à la moyenne tous segments confondus. Une structure de taille modeste dispose de moins de ressources internes pour instruire ces évaluations, ce qui rend d’autant plus utile un dispositif automatisé.

Qui doit porter l’évaluation du risque cyber fournisseur : les achats ou la sécurité ?

Les deux, à des moments différents. La direction achats détient la relation contractuelle et la connaissance de la criticité métier. L’équipe sécurité détient l’expertise technique. Le dispositif fonctionne lorsqu’un niveau de risque lisible circule entre les deux : l’acheteur décide sur la base d’un niveau, l’équipe sécurité intervient sur les cas qui le justifient.

Ce qu’il faut retenir et par où commencer

La part des violations impliquant un tiers est passée de 15 % à 48 % en deux exercices. Ce déplacement de la menace vers la chaîne de sous-traitance est structurel, et il rend caduque l’idée d’une évaluation annuelle.

Une notation externe apporte des faits, en continu, sans mobiliser le fournisseur, mais elle reste aveugle à son organisation. Un questionnaire décrit cette organisation, mais il vieillit dès qu’il est rempli. C’est leur consolidation en un niveau de risque unique qui rend le dispositif utilisable par un acheteur qui n’est pas expert en sécurité, et cette consolidation est l’étape que la plupart des organisations négligent.

Quant à la réglementation française, elle n’est pas stabilisée, mais son périmètre et ses exigences sont connus depuis longtemps. Commencer maintenant, c’est réduire une exposition bien réelle et s’éviter la précipitation quand les décrets tomberont.

Par où commencer, concrètement ? Cartographiez vos tiers et identifiez ceux dont la défaillance arrêterait votre activité. Placez ensuite le portefeuille sous notation externe, pour disposer d’un premier tri factuel sans rien demander à personne. Consolidez enfin notation et questionnaire en un niveau de risque unique, suivi dans la durée. Si vous en êtes au stade de l’outillage, notre guide sur le choix d’un logiciel de conformité fournisseur détaille les critères à comparer.

Entre cocher une case et piloter son exposition, toute la différence se joue là. Pour analyser comment le module Cybersécurité peut s’appliquer à votre portefeuille, demandez une démonstration.

Sources : Verizon Data Breach Investigations Report 2026 ; ANSSI, Panorama de la cybermenace 2025 (mars 2026) ;
ACPR, réglementation

DORA ; ANSSI, Référentiel Cyber France (mars 2026).