Modèles et enregistrements · ISO 27001 · Chapitre A.5.19 a A.5.22
Modèle d’évaluation de la sécurité des fournisseurs ISO 27001
La fiche de chaque fournisseur qui touche à l’information ou aux systèmes de l’entreprise : quel accès il a, ce que le contrat lui impose et comment on vérifie qu’il s’y conforme.
En une phrase
L’évaluation de la sécurité des fournisseurs classe chaque fournisseur selon l’accès dont il dispose à l’information, fixe les exigences de sécurité du contrat et garde trace de son suivi ; elle répond aux mesures 5.19 à 5.22 de l’ISO/IEC 27001:2022, qui demandent de gérer les risques liés aux fournisseurs, de convenir d’exigences, de surveiller la chaîne d’approvisionnement TIC et de contrôler leurs services.
- Où la norme l’exige
- ISO 27001 · Chapitre A.5.19 a A.5.22 Les chapitres suivent l’ISO/IEC 27001:2022 ; ceux qui commencent par « A. » sont des mesures de l’Annexe A, exigibles dans la mesure où la déclaration d’applicabilité les inclut.
- Type d’information
- Bonne pratique Preuve des mesures 5.19 à 5.22 de l’Annexe A
- Qui le renseigne
- Les achats avec le responsable de la sécurité Le propriétaire du service acheté participe à la revue
- Quand
- Avant la contractualisation et périodiquement Revue selon la criticité et en cas de changement du service ou d’incident chez le fournisseur
- Durée de conservation
- Fixée par l’organisme L’ISO/IEC 27001 ne fixe aucune durée : elle demande de décider de la conservation et de l’élimination des informations documentées (7.5.3). Couvrir le cycle de certification de trois ans permet de présenter l’historique au renouvellement.
Ce que demande la norme
Ce qu’exige ISO 27001 et ce qui est laissé à votre appréciation
Les mesures 5.19 à 5.22 couvrent le cycle complet : définir la gestion des risques liés aux fournisseurs, convenir avec chacun des exigences de sécurité, les étendre à la chaîne d’approvisionnement TIC, et surveiller, revoir et évaluer leurs pratiques, y compris leurs changements. La 5.23 y ajoute les services en nuage.
Ce n’est pas l’évaluation des fournisseurs de l’ISO 9001, qui regarde qualité, délai et prix : ici, la question est de savoir quel préjudice le fournisseur pourrait causer à l’information et quelles garanties il apporte.
L’effort se proportionne au risque : un hébergeur détenant des données clients appelle questionnaire, clauses et revue annuelle ; un fournisseur de fournitures de bureau, rien de tout cela.
Structure
Les champs que doit comporter le modèle
- Fournisseur et service fourni
- Type d’accès : données, systèmes, locaux
- Criticité pour la sécurité
- Exigences imposées et clauses signées (confidentialité, signalement des incidents, sous-traitance, audit)
- Preuves fournies : certificats, rapports, questionnaire
- Date de l’évaluation et résultat
- Incidents du fournisseur et modifications de son service
- Prochaine revue
Exemple
Exemple : hébergeur cloud
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Fournisseur | Fournisseur cloud (fictif) · hébergement de la plateforme SaaS |
| Accès | Infrastructure où résident les données clients |
| Criticité | Élevée |
| Clauses | Confidentialité, données dans l’UE, signalement des incidents sous 24 h, liste des sous-traitants ultérieurs |
| Preuves | Certificat ISO/IEC 27001 en cours de validité et périmètre vérifié |
| Évaluation | 3 mars 2026 · apte |
| Suivi | Incident de disponibilité de 2 h le 12 août : rapport reçu et examiné |
| Prochaine revue | Mars 2027 |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Le certificat du fournisseur est demandé sans vérifier que son périmètre couvre le service acheté.
- Des contrats sans clause de signalement des incidents.
- Personne ne revoit les fournisseurs après la signature du contrat.
- Des services cloud souscrits par un service sans passer par la sécurité.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Chaque fournisseur est créé avec ses clauses de sécurité depuis le portail fournisseurs.
- 2Les preuves du fournisseur sont conservées dans sa fiche, avec date d’expiration et alerte.
- 3L’évaluation continue du fournisseur vit avec sa documentation : si un certificat expire, il perd son référencement avant qu’une commande ne lui soit passée.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Suffit-il que le fournisseur soit certifié ISO 27001 ?
Cela aide beaucoup, mais il faut lire le périmètre du certificat : s’il n’inclut pas le service acheté, il ne le couvre pas. Et le certificat ne remplace pas les clauses du contrat.
Peut-on utiliser la même fiche que pour l’ISO 9001 ?
La même fiche fournisseur, oui ; la même évaluation, non. Il est utile d’ajouter à la fiche générale un volet sécurité avec ses propres critères et sa propre fréquence.
Tenez les enregistrements ISO 27001 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Modèle d’évaluation des fournisseurs ISO 9001
Ce qu’exige l’ISO 9001 (8.4) pour évaluer, sélectionner, surveiller et réévaluer les fournisseurs, quels…
Modèle de due diligence des tiers pour la compliance
Comment documenter la due diligence des partenaires, agents et fournisseurs dans un système ISO 37301…
Fonctionnement
Le fonctionnement traduit l’appréciation des risques en mesures réelles : accès, chiffrement, sauvegardes et…
Modèle de déclaration d’applicabilité ISO 27001
Ce que doit contenir la déclaration d’applicabilité de l’ISO 27001 (6.1.3 d) : mesures nécessaires…
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information. Exigences ISO/IEC · 25 octobre 2022
- ISO/IEC 27002:2022 — Mesures de sécurité de l’information ISO/IEC · Février 2022