--- title: "Sécuriser sa chaîne d’approvisionnement : le défi opérationnel commun à NIS2, au CRA et à DORA" description: Découvrez comment NIS2, le CRA et DORA soulignent l'importance de sécuriser la chaîne d'approvisionnement pour garantir la résilience organisationnelle. image: https://www.blog-qhse.com/hubfs/AdobeStock_344582990-1.jpeg --- - [Qui sommes-nous ?](https://www.blog-qhse.com/qui-sommes-nous-blog-b) - [Agenda](https://www.blog-qhse.com/agenda_bluekango) - [Glossaire](https://www.blog-qhse.com/glossaire) - ![Langue du blog](https://www.blog-qhse.com/hubfs/Blog/icone/lang.svg) - [Anglais](https://www.blog-qhse.com/en) - [Français canadien](https://www.blog-qhse.com/ca) [![Logo Blog B. Le média des risques](https://www.blog-qhse.com/hubfs/Blog/Logo/Logo-B-v2.png) ![Logo Blog B. Le média des risques](https://www.blog-qhse.com/hubfs/2302063/Blog/images_blog_2025/logo_b.png)](https://www.blog-qhse.com) ![Recherchez un article](https://www.blog-qhse.com/hubfs/Blog/icone/search.svg) - [QHSE](https://www.blog-qhse.com/topic/qhse) - [RSE](https://www.blog-qhse.com/topic/rse-esg) - [Santé](https://www.blog-qhse.com/topic/sante) - [IT & Cyber](https://www.blog-qhse.com/topic/it-cyber) Menu - [QHSE](https://www.blog-qhse.com/topic/qhse) \+ - [Qualité](https://www.blog-qhse.com/topic/qualite) - [SST](https://www.blog-qhse.com/topic/sst) - [Environnement](https://www.blog-qhse.com/topic/environnement) - [Outils](https://www.blog-qhse.com/topic/outils) - [RSE](https://www.blog-qhse.com/topic/rse-esg) \+ - [Normes & Réglementation](https://www.blog-qhse.com/topic/reglementation-rse) - [Stratégies & Bonnes pratiques](https://www.blog-qhse.com/topic/strategie-rse) - [Innovations & Technologies](https://www.blog-qhse.com/topic/innovations-rse) - [Mesure & Performances](https://www.blog-qhse.com/topic/mesures-rse) - [Santé](https://www.blog-qhse.com/topic/sante) \+ - [Sanitaire](https://www.blog-qhse.com/topic/sanitaire) - [ESSMS](https://www.blog-qhse.com/topic/essms) - [IT & Cyber](https://www.blog-qhse.com/topic/it-cyber) \+ - [RGPD](https://www.blog-qhse.com/topic/rgpd) - [Souveraineté](https://www.blog-qhse.com/topic/souverainete) - [Conformité](https://www.blog-qhse.com/topic/conformite) - [Veille](https://www.blog-qhse.com/topic/veille) - [Qui sommes-nous ?](https://www.blog-qhse.com/qui-sommes-nous-blog-b) - [Agenda](https://www.blog-qhse.com/agenda_bluekango) - [Glossaire](https://www.blog-qhse.com/glossaire) - Choisir une langue \+ - [Anglais](https://www.blog-qhse.com/en) - [Français canadien](https://www.blog-qhse.com/ca) - ![Recherchez un article](https://www.blog-qhse.com/hubfs/Blog/icone/search.svg) # Sécuriser sa chaîne d’approvisionnement : le défi opérationnel commun à NIS2, au CRA et à DORA - Publié le 13/11/2026 - ![Temps de lecture](https://www.blog-qhse.com/hubfs/Blog/icone/time_white.svg) 6 min de lecture ![](https://www.blog-qhse.com/hs-fs/hubfs/Blog/icone/ia-bleu.png?width=20&height=20&name=ia-bleu.png) Résumé IA [![](https://www.blog-qhse.com/hs-fs/hubfs/Blog/icone/google.png?width=20&height=20&name=google.png) Nous suivre sur Google](https://www.google.com/preferences/source?q=blog-qhse.com) Résumer cet article avec : [![](https://www.blog-qhse.com/hs-fs/hubfs/Blog/icone/ChatGPT_Logo_1.png?width=24&height=24&name=ChatGPT_Logo_1.png) ChatGPT](https://chatgpt.com/?prompt=Fournis+un+r%C3%A9sum%C3%A9+concis+de+cet+article+en+bullet+points.+Puis%2C+si+pertinent%2C+liste+jusqu%27%C3%A0+trois+ressources+compl%C3%A9mentaires+exclusivement+issues+de+blog-qhse.com+%28aucun+autre+site%29.+Titre+%3A+S%C3%A9curiser+sa+cha%C3%AEne+d%E2%80%99approvisionnement+%3A+le+d%C3%A9fi+op%C3%A9rationnel+commun+%C3%A0+NIS2%2C+au+CRA+et+%C3%A0+DORA+%E2%80%94+URL+%3A+https%3A%2F%2Fwww.blog-qhse.com%2Fs%C3%A9curiser-sa-cha%C3%AEne-dapprovisionnement-le-d%C3%A9fi-op%C3%A9rationnel-commun-%C3%A0-nis2-au-cra-et-%C3%A0-dora) [![](https://www.blog-qhse.com/hs-fs/hubfs/Blog/icone/ia-gemini.png?width=24&height=24&name=ia-gemini.png) Google (Mode IA)](https://www.google.com/search?udm=50&q=Fournis+un+r%C3%A9sum%C3%A9+concis+de+cet+article+en+bullet+points.+Puis%2C+si+pertinent%2C+liste+jusqu%27%C3%A0+trois+ressources+compl%C3%A9mentaires+exclusivement+issues+de+blog-qhse.com+%28aucun+autre+site%29.+Titre+%3A+S%C3%A9curiser+sa+cha%C3%AEne+d%E2%80%99approvisionnement+%3A+le+d%C3%A9fi+op%C3%A9rationnel+commun+%C3%A0+NIS2%2C+au+CRA+et+%C3%A0+DORA+%E2%80%94+URL+%3A+https%3A%2F%2Fwww.blog-qhse.com%2Fs%C3%A9curiser-sa-cha%C3%AEne-dapprovisionnement-le-d%C3%A9fi-op%C3%A9rationnel-commun-%C3%A0-nis2-au-cra-et-%C3%A0-dora) [![](https://www.blog-qhse.com/hs-fs/hubfs/Blog/icone/mistral.png?width=24&height=24&name=mistral.png) Mistral](https://chat.mistral.ai/chat?q=Fournis+un+r%C3%A9sum%C3%A9+concis+de+cet+article+en+bullet+points.+Puis%2C+si+pertinent%2C+liste+jusqu%27%C3%A0+trois+ressources+compl%C3%A9mentaires+exclusivement+issues+de+blog-qhse.com+%28aucun+autre+site%29.+Titre+%3A+S%C3%A9curiser+sa+cha%C3%AEne+d%E2%80%99approvisionnement+%3A+le+d%C3%A9fi+op%C3%A9rationnel+commun+%C3%A0+NIS2%2C+au+CRA+et+%C3%A0+DORA+%E2%80%94+URL+%3A+https%3A%2F%2Fwww.blog-qhse.com%2Fs%C3%A9curiser-sa-cha%C3%AEne-dapprovisionnement-le-d%C3%A9fi-op%C3%A9rationnel-commun-%C3%A0-nis2-au-cra-et-%C3%A0-dora) [![](https://www.blog-qhse.com/hs-fs/hubfs/Blog/icone/perplexity.png?width=24&height=24&name=perplexity.png) Perplexity](https://www.perplexity.ai/search?q=Fournis+un+r%C3%A9sum%C3%A9+concis+de+cet+article+en+bullet+points.+Puis%2C+si+pertinent%2C+liste+jusqu%27%C3%A0+trois+ressources+compl%C3%A9mentaires+exclusivement+issues+de+blog-qhse.com+%28aucun+autre+site%29.+Titre+%3A+S%C3%A9curiser+sa+cha%C3%AEne+d%E2%80%99approvisionnement+%3A+le+d%C3%A9fi+op%C3%A9rationnel+commun+%C3%A0+NIS2%2C+au+CRA+et+%C3%A0+DORA+%E2%80%94+URL+%3A+https%3A%2F%2Fwww.blog-qhse.com%2Fs%C3%A9curiser-sa-cha%C3%AEne-dapprovisionnement-le-d%C3%A9fi-op%C3%A9rationnel-commun-%C3%A0-nis2-au-cra-et-%C3%A0-dora) [![](https://www.blog-qhse.com/hs-fs/hubfs/Blog/icone/claude.png?width=24&height=24&name=claude.png) Claude](https://claude.ai/new?q=Fournis+un+r%C3%A9sum%C3%A9+concis+de+cet+article+en+bullet+points.+Puis%2C+si+pertinent%2C+liste+jusqu%27%C3%A0+trois+ressources+compl%C3%A9mentaires+exclusivement+issues+de+blog-qhse.com+%28aucun+autre+site%29.+Titre+%3A+S%C3%A9curiser+sa+cha%C3%AEne+d%E2%80%99approvisionnement+%3A+le+d%C3%A9fi+op%C3%A9rationnel+commun+%C3%A0+NIS2%2C+au+CRA+et+%C3%A0+DORA+%E2%80%94+URL+%3A+https%3A%2F%2Fwww.blog-qhse.com%2Fs%C3%A9curiser-sa-cha%C3%AEne-dapprovisionnement-le-d%C3%A9fi-op%C3%A9rationnel-commun-%C3%A0-nis2-au-cra-et-%C3%A0-dora) [![Accueil](https://www.blog-qhse.com/hubfs/Blog/icone/home-white.svg)](https://www.blog-qhse.com/) \> Sécuriser sa chaîne d’approvisionnement : le défi opérationnel commun à NIS2, au CRA et à DORA ![Engrenages en bois entourés de cubes colorés représentant des personnes, avec une main déplaçant l’un des cubes.](https://www.blog-qhse.com/hs-fs/hubfs/AdobeStock_344582990-1.jpeg?width=400&name=AdobeStock_344582990-1.jpeg) [![Frédéric Rémi](https://www.blog-qhse.com/hs-fs/hubfs/frederic.png?width=75&height=75&name=frederic.png)](https://www.blog-qhse.com/author/frederic-remi) [Frédéric Rémi](https://www.blog-qhse.com/author/frederic-remi) Expert en gestion unifiée des risques et cybersécurité// ![](https://www.blog-qhse.com/hubfs/Blog/icone/summary.svg) Sommaire ![](https://www.blog-qhse.com/hubfs/Blog/icone/close.svg) ![](https://www.blog-qhse.com/hubfs/Blog/icone/summary.svg) Sommaire Date de mise à jour **13/11/2026** Sécuriser sa chaîne d’approvisionnement : le défi opérationnel commun à NIS2, au CRA et à DORA 9:05 ## 3 points à retenir - **NIS2, le CRA et DORA convergent sur un même enjeu :** la résilience d’une organisation dépend désormais aussi de la sécurité de ses fournisseurs, prestataires et composants tiers. - **Le principal défi est opérationnel :** inventaires incomplets, évaluations vite obsolètes et dépendances de rang 2 ou 3 peu visibles rendent encore difficile une maîtrise continue des risques fournisseurs. - **La réponse passe par une approche proportionnée et transverse :** identifier les prestataires critiques, concentrer les évaluations sur les plus risqués et assurer un suivi continu associant Achats, RSSI, conformité et métiers. **Trois grands textes européens (la directive NIS2, le règlement sur la cyber résilience et DORA) convergent vers un même constat : la sécurité et la résilience d’une organisation dépendent aussi de celles de ses fournisseurs et prestataires.**   Dans la pratique, la chaîne d’approvisionnement demeure pourtant l’un des domaines où l’écart entre les exigences réglementaires et les capacités opérationnelles est le plus marqué. Voici pourquoi elle est devenue un sujet de premier rang et quelles mesures permettent de mieux en maîtriser les risques.   ### Pourquoi la chaîne d'approvisionnement est devenue centrale L’évolution n’est pas seulement **réglementaire** : elle reflète des **risques déjà largement documentés**. Les compromissions **SolarWinds, Kaseya et MOVEit**, ainsi que la **panne mondiale provoquée en 2024 par une mise à jour défectueuse de CrowdStrike**, ont montré qu’une **cyberattaque ou une défaillance opérationnelle affectant un fournisseur** peut **se propager à un grand nombre d’organisations clientes**. Ces événements illustrent à la fois le **risque de compromission indirecte**, la **dépendance à des composants partagés** et les **effets d’une concentration excessive autour de certains prestataires**.   Les analyses publiques consacrées aux **incidents de cybersécurité** montrent régulièrement le rôle des **fournisseurs, prestataires et composants tiers** dans la **propagation ou l’aggravation des incidents**. Leur part exacte varie toutefois selon le périmètre, la période et la méthode de comptabilisation retenus. Le constat opérationnel reste néanmoins stable : **le risque lié aux tiers n’est plus une catégorie secondaire de la gestion des risques, mais un facteur majeur d’exposition et de propagation**.     ### Ce que chaque texte exige concrètement [**La directive NIS2**](https://www.blog-qhse.com/nis2) impose, à **l’article 21, paragraphe 2, point d)**, que les **mesures de gestion des risques** couvrent la **sécurité de la chaîne d’approvisionnement**, y compris les aspects liés aux **relations entre chaque entité et ses fournisseurs ou prestataires de services directs**. Le paragraphe 3 précise que l’entité doit notamment tenir compte des **vulnérabilités propres à chaque fournisseur et prestataire direct**, ainsi que de la **qualité globale et de la résilience de leurs produits et services**, de leurs **pratiques de cybersécurité** et de leurs **procédures de développement sécurisé**. **L’article 22** prévoit en complément des **évaluations coordonnées, au niveau de l’Union européenne, des risques liés aux chaînes d’approvisionnement** de services TIC critiques, de systèmes TIC critiques ou de produits TIC critiques spécifiques.   **[Le règlement sur la cyber résilience, ou CRA](https://www.blog-qhse.com/cyber-resilience-act),** aborde la question sous un angle différent mais complémentaire. Il impose notamment aux **fabricants de produits comportant des éléments numériques** d’**identifier et de documenter les composants intégrés**, de **traiter les vulnérabilités** et d’établir une **nomenclature des composants logiciels** dans un format couramment utilisé et lisible par machine, couvrant au moins leurs **dépendances de premier niveau** — nomenclature couramment appelée **SBOM**, pour *Software Bill of Materials*. Le règlement prévoit toutefois un **régime spécifique pour les logiciels libres et à code source ouvert fournis en dehors d’une activité commerciale**, ainsi que des **obligations adaptées pour les intendants de logiciels libres**.   [**DORA**](https://www.blog-qhse.com/dora), pour le **secteur financier**, impose aux entités concernées de tenir un **registre de leurs accords contractuels portant sur l’utilisation de services TIC fournis par des prestataires tiers**. Il renforce les exigences d’**évaluation des risques**, d’**analyse de la concentration**, de **contractualisation**, de **droits d’accès, d’inspection et d’audit**, ainsi que de **stratégie de sortie** lorsque les services concernés soutiennent une **fonction critique ou importante**. Il organise par ailleurs une **supervision européenne spécifique de certains prestataires tiers critiques de services TIC**.   ### Pourquoi cet écart entre exigence et capacité reste si marqué Pour démontrer une maîtrise réelle des risques tiers, une organisation doit être en mesure de : - Tenir un **inventaire à jour** des prestataires significatifs et de leur niveau de criticité ; - Disposer d'**évaluations à jour** de la posture de sécurité de chaque prestataire critique ; - **Tracer les clauses contractuelles** applicables — sécurité, notification des incidents, droits d’accès, d’inspection et d’audit, résiliation et stratégie de sortie ; - **Suivre les notifications d'incidents** reçues des prestataires et leurs plans de remédiation ; - **Industrialiser le renouvellement périodique** des évaluations, plutôt que les traiter comme un exercice ponctuel ; - **Croiser ces informations** avec la cartographie interne des risques de l'organisation. Dans la pratique, cette démonstration repose encore très souvent sur des **tableurs partagés**, des **questionnaires renvoyés par courrier électronique et peu exploités**, des **documents stockés dans des espaces de partage non structurés** et une **coordination manuelle entre les achats, la conformité, le responsable de la sécurité des systèmes d’information et les métiers**. Il en résulte fréquemment des **évaluations rapidement obsolètes**, des **contrats insuffisamment réexaminés**, des **angles morts persistants sur les prestataires de rang 2 et de rang 3** (ceux auxquels les fournisseurs directs sous-traitent à leur tour une partie de la prestation) et des **difficultés à répondre de façon convaincante à un audit consolidé**.   ### Le piège du rang 2 et du rang 3 Un **fournisseur direct** peut être parfaitement **évalué, contractualisé et surveillé**, tout en sous-traitant lui-même une partie de sa prestation à des **acteurs de rang 2**, totalement invisibles pour l'organisation cliente. C'est exactement ce mécanisme qui a permis à des incidents comme [**MOVEit**](https://www.ncsc.gov.uk/information/moveit-vulnerability)ou [**Kaseya**](https://www.cisa.gov/news-events/alerts/2021/07/04/cisa-fbi-guidance-msps-and-their-customers-affected-kaseya-vsa-supply-chain-ransomware-attack)de toucher des **milliers d'organisations** qui n'avaient, pour la plupart, **aucune relation contractuelle directe avec l'éditeur compromis** — elles dépendaient d'un prestataire qui dépendait lui-même de ce composant.   **NIS2 n’impose pas formellement d’auditer chaque sous-traitant de rang 2 ou de rang 3**, ce qui serait souvent matériellement impossible. En pratique, une manière proportionnée de maîtriser ce risque consiste à vérifier que les **fournisseurs directs disposent eux-mêmes de processus robustes de sécurité de la chaîne d’approvisionnement** et qu’ils **encadrent leurs propres dépendances critiques**. Cette démarche peut former une **chaîne d’assurance en cascade**, dans laquelle **chaque niveau évalue et surveille les risques associés au niveau suivant**, selon la **criticité de la relation**.   ### Une approche proportionnée, pas une exhaustivité illusoire Face à **l'ampleur potentielle de la tâche** — une organisation peut compter plusieurs centaines, voire plusieurs milliers de tiers actifs — la bonne approche n'est pas de chercher à **tout auditer avec la même intensité**. Les bonnes pratiques documentées par les retours d'expérience du secteur convergent vers un **principe de proportionnalité** : **concentrer l'essentiel de l'effort d'évaluation sur un nombre restreint de fournisseurs réellement critiques**, plutôt que de diluer les ressources sur une couverture exhaustive mais superficielle.   C’est l’objet de la **segmentation par criticité**, qui consiste à croiser deux dimensions pour chaque tiers : l’**impact potentiel** en cas de défaillance — **accès aux systèmes critiques, traitement de données sensibles, caractère substituable ou non du service rendu** — et la **probabilité d’exposition** — **surface d’attaque, maturité de sécurité perçue, antécédents d’incidents connus**. Cette segmentation permet de **concentrer l’effort d’évaluation approfondie sur un nombre limité de prestataires réellement critiques**, déterminé selon **la taille, le secteur, les dépendances et l’exposition propres à l’organisation**, plutôt que de chercher à couvrir tout le parc fournisseurs avec la même intensité dès la première année.   ### Ce que cela signifie pour structurer votre démarche La sécurité de la chaîne d'approvisionnement ne peut plus être déléguée aux seuls Achats, ni traitée comme un sujet purement contractuel réglé une fois pour toutes à la signature. Elle relève d'un dispositif transverse continu, qui combine l'identification des prestataires critiques, l'évaluation périodique de leur posture, des clauses contractuelles précises, le suivi effectif des incidents notifiés, et des plans de contingence pour les dépendances jugées les plus stratégiques. C'est précisément l'un des domaines où l'écart entre l'exigence réglementaire et la capacité opérationnelle reste le plus marqué dans les organisations observées aujourd'hui — et c'est donc aussi l'un des domaines où une démarche structurée apporte le plus de valeur immédiate.   **[Découvrez la gestion intégrée des risques avec BlueKanGo](https://cta-eu1.hubspot.com/web-interactives/public/v1/track/click?encryptedPayload=AVxigLIaXJLmMO%2FGUHgpklFnKofbhQghWwBLNjydA47XslTBmkLMVH%2BtRhCPqscjlHwyo3qQqxfFrTc0fQQeY6ko98W8n%2FFKyCxxfJKcZZZ1Y2WvtFyR%2BVCk6e%2FT1Hlf%2FqcMcB%2BcYm9fY9DQioxcmXObvqughz2IyPtFxSrTP4W4v6u9KLQDlpFCa98gO5PZFuyVcmZOzMUrrDKTWYCqnknBJs7kd10ewXVqow%3D%3D&portalId=2302063)** **[![Guide](https://www.blog-qhse.com/hubfs/Blog/icone/book.svg) Livre blanc - Risques Cyber GRATUIT Comment piloter vos risques et votre conformité à l'ère de NIS2, CRA et DORA ? Unifiez votre conformité pour faire face aux nouvelles exigences réglementaires. Télécharger le guide ![Guide](https://www.blog-qhse.com/hs-fs/hubfs/Livre%20blanc%20BlueKanGo%20IRM-1.jpg?width=144&height=204&name=Livre%20blanc%20BlueKanGo%20IRM-1.jpg)](https://cta-eu1.hubspot.com/web-interactives/public/v1/track/click?encryptedPayload=AVxigLLxMdwVFhPh3%2FYKt5zDZwfFKfoOlHcLV3FHZ8SFNrjg6hC4RK3dMXBP6Mw%2B4%2BEUH4ovRTk23X3dJLD9VRmzyekKZirPKiLeC5VV7%2FlYboOGj7x6Ga8ZudmXr%2FqjnQXEwNoysvc1PZuIhz30Pc0H3lfNNcDSSvYUBlUl%2B4Dx6T9Py5qqEh8hB3NAWH7BIoqRzQ%3D%3D&portalId=2302063)** . . . ## FAQ - ### Pourquoi la chaîne d’approvisionnement est-elle un enjeu majeur de cybersécurité ? Parce qu’une organisation peut être exposée à une cyberattaque ou à une défaillance par l’intermédiaire de ses fournisseurs, prestataires ou composants tiers. Des incidents comme SolarWinds, Kaseya et MOVEit ont montré qu’une compromission chez un fournisseur pouvait se propager à de nombreuses organisations clientes. - ### Quelles obligations NIS2 impose-t-elle concernant les fournisseurs ? NIS2 exige que les mesures de gestion des risques couvrent la sécurité de la chaîne d’approvisionnement et les relations avec les fournisseurs et prestataires directs. L’organisation doit notamment prendre en compte leurs vulnérabilités, leurs pratiques de cybersécurité et la résilience de leurs produits et services. - ### Que prévoit le Cyber Resilience Act (CRA) pour la chaîne d’approvisionnement logicielle ? Le CRA impose notamment aux fabricants concernés d’identifier et de documenter les composants intégrés à leurs produits et de traiter leurs vulnérabilités. Il prévoit également l’établissement d’une nomenclature des composants logiciels, couramment appelée SBOM, couvrant au moins les dépendances de premier niveau. - ### Quelles sont les exigences de DORA concernant les prestataires TIC ? DORA demande notamment aux entités financières concernées de tenir un registre de leurs accords avec les prestataires tiers de services TIC. Le règlement renforce aussi l’évaluation des risques, l’analyse de la concentration, les exigences contractuelles, les droits d’audit et les stratégies de sortie pour les services soutenant des fonctions critiques ou importantes. - ### Quels sont les points communs entre NIS2, le CRA et DORA ? Ces trois textes abordent le risque fournisseur sous des angles différents, mais convergent sur un même principe : la résilience d’une organisation dépend également de celle de son écosystème. Ils renforcent ainsi la nécessité d’identifier, d’évaluer et de maîtriser les risques liés aux tiers et aux dépendances technologiques. 1 ![Frédéric Rémi](https://www.blog-qhse.com/hs-fs/hubfs/frederic.png?width=75&height=75&name=frederic.png) Frédéric Rémi Expert en gestion unifiée des risques et cybersécurité// ## ![Selection de la redaction](https://www.blog-qhse.com/hubfs/Blog/icone/selection.svg) Sélection de la rédaction - ### [Comment mettre en œuvre sa cartographie des risques en 5 étapes clés](https://www.blog-qhse.com/la-cartographie-des-risques) - [#QHSE #Qualite](https://www.blog-qhse.com/la-cartographie-des-risques) - ### [Le Plan de Continuité d’Activité : Comment mieux se préparer en vue d’une situation de crise ?](https://www.blog-qhse.com/le-plan-de-continuite-dactivite) - [#QHSE](https://www.blog-qhse.com/le-plan-de-continuite-dactivite) - ### [Le plan d’action : votre meilleur atout dans l’atteinte de vos objectifs QHSE !](https://www.blog-qhse.com/plan-daction-comment-etre-plus-efficace-dans-sa-gestion) - [#QHSE](https://www.blog-qhse.com/plan-daction-comment-etre-plus-efficace-dans-sa-gestion) ## ![Recommended by You](https://www.blog-qhse.com/hubfs/Blog/icone/star.svg) Recommandé pour vous - [![2025-12-22\_18h41\_31](https://www.blog-qhse.com/hs-fs/hubfs/2025-12-22_18h41_31.png?width=150&name=2025-12-22_18h41_31.png)](https://www.bluekango.com/ressources/le-bilan-carbone-avec-bluekango/) ### [Le Bilan Carbone® avec BlueKanGo](https://www.bluekango.com/ressources/le-bilan-carbone-avec-bluekango/) - [![www.bluekango.comwp-contentuploads202401sante](https://www.blog-qhse.com/hs-fs/hubfs/social-suggested-images/www.bluekango.comwp-contentuploads202401sante.jpg?width=150&name=www.bluekango.comwp-contentuploads202401sante.jpg)](https://www.bluekango.com/realisations/etude-de-cas-classeur-ged-qualite-sante-bluekango/) ### [Optimisation de la GED et pilotage de la Qualité](https://www.bluekango.com/realisations/etude-de-cas-classeur-ged-qualite-sante-bluekango/) - [![rse-top-appli](https://www.blog-qhse.com/hs-fs/hubfs/rse-top-appli.png?width=150&name=rse-top-appli.png)](https://www.bluekango.com/top-applications/top-3-applications-rse/) ### [Top 3 Applications RSE](https://www.bluekango.com/top-applications/top-3-applications-rse/) ![](https://www.blog-qhse.com/hubfs/Blog/icone/newsletter.svg) La newsletter Les meilleures pratiques QHSE, RSE/ESG & Santé, chaque mois, par email. Vous confirmez accepter le traitement de vos données personnelles par BluKanGo, conformément à la [Politique de Confidentialité](https://www.bluekango.com/fr/politique-de-confidentialite/) (RGPD) et à recevoir nos communication. Vous pouvez vous désinscrire à tout moment. - [![Home](https://www.blog-qhse.com/hubfs/Blog/icone/home.svg)](https://www.blog-qhse.com/) \> - Sécuriser sa chaîne d’approvisionnement : le défi opérationnel commun à NIS2, au CRA et à DORA ## Nous vous recommandons [![Une main interrompt une rangée de dominos en bois en train de tomber, tandis que plusieurs dominos restent debout à droite.](https://www.blog-qhse.com/hs-fs/hubfs/Capture%20d%C3%A9cran%202026-10-28%20093658.png?width=169&name=Capture%20d%C3%A9cran%202026-10-28%20093658.png)](https://www.blog-qhse.com/iso-31000) [ISO 31000 : principes, cadre et processus de management des risques](https://www.blog-qhse.com/iso-31000) - [#RSE](https://www.blog-qhse.com/topic/rse-esg) - ![Temps de lecture](https://www.blog-qhse.com/hubfs/Blog/icone/time.svg) 5 min de lecture [![Plusieurs personnes marchent dans un couloir de bureaux lumineux bordé de grandes baies vitrées, avec un effet de flou de mouvement.](https://www.blog-qhse.com/hs-fs/hubfs/Fotolia_91708486_S.jpg?width=169&name=Fotolia_91708486_S.jpg)](https://www.blog-qhse.com/la-conformité-ne-suffit-plus) [Piloter par les risques : pourquoi la conformité ne suffit plus](https://www.blog-qhse.com/la-conformité-ne-suffit-plus) - ![Temps de lecture](https://www.blog-qhse.com/hubfs/Blog/icone/time.svg) 5 min de lecture [![](https://www.blog-qhse.com/hs-fs/hubfs/Risk%20manager.jpeg?width=169&name=Risk%20manager.jpeg)](https://www.blog-qhse.com/irm-vs-grc-differences-cles-pour-les-risk-managers) [IRM vs GRC : quelles différences pour un Risk Manager ?](https://www.blog-qhse.com/irm-vs-grc-differences-cles-pour-les-risk-managers) - ![Temps de lecture](https://www.blog-qhse.com/hubfs/Blog/icone/time.svg) 5 min de lecture 5 min de lecture ## Recevoir toute l’actualité En vous inscrivant à notre Newsletter, vous confirmez accepter le traitement de vos données personnelles par BlueKanGo, conformément à la [Politique de Confidentialité](https://www.bluekango.com/fr/politique-de-confidentialite/) (RGPD) et à recevoir nos communications (Newsletter, invitation à des évènements...). Vous pouvez vous désinscrire à tout moment. [![Logo du média des managers RSE & QHSE](https://www.blog-qhse.com/hs-fs/hubfs/Blog/Logo/Logo-B-v2.png?height=60&name=Logo-B-v2.png)](https://www.blog-qhse.com) L'actualité QHSE, Santé, RSE, IT et cyber pour une gestion plus performante et responsable de votre organisation. Le média - [Qui sommes-nous](https://www.blog-qhse.com/qui-sommes-nous-blog-b) - [Nos auteurs](https://www.blog-qhse.com/auteur-blog-b) - [Agenda](https://www.blog-qhse.com/agenda_bluekango) - [Glossaire](https://www.blog-qhse.com/glossaire) QHSE - [Qualité](https://www.blog-qhse.com/topic/qualite) - [SST](https://www.blog-qhse.com/topic/sst) - [Environnement](https://www.blog-qhse.com/topic/environnement) - [Outils](https://www.blog-qhse.com/topic/outils) RSE - [Normes & Réglementation](https://www.blog-qhse.com/topic/reglementation-rse) - [Stratégies & Bonnes Pratiques](https://www.blog-qhse.com/topic/strategie-rse) - [Innovations & Technologies](https://www.blog-qhse.com/topic/innovations-rse) - [Mesure & Performances](https://www.blog-qhse.com/topic/mesures-rse) Santé - [Sanitaire](https://www.blog-qhse.com/topic/sanitaire) - [ESSMS](https://www.blog-qhse.com/topic/essms) Nous suivre sur les réseaux sociaux - [![LinKedin](https://www.blog-qhse.com/hubfs/Blog/icone/in.svg)](https://www.linkedin.com/company/bluekango/) - [![Facebook](https://www.blog-qhse.com/hubfs/Blog/icone/fb.svg)](https://www.facebook.com/BlueKanGo/) - [![X](https://www.blog-qhse.com/hubfs/Blog/icone/x.svg)](https://twitter.com/BlueKanGo) - [Politique de Confidentialité](https://www.bluekango.com/politique-de-confidentialite/) - [Politique cookies](https://www.blog-qhse.com/politique-des-cookies) - [Mentions légales](https://www.blog-qhse.com/mentions-l%C3%A9gales) - © Copyright 2002- bluekango.com. Tous droits réservés. - Les différentes marques mentionnées appartiennent à leur propriétaire respectif. ![Mentions Cookies](https://www.blog-qhse.com/hubfs/cookies.png) ```json { "@context" : "https://schema.org", "@type" : "BreadcrumbList", "itemListElement" : [ { "@type" : "ListItem", "item" : "https://www.blog-qhse.com/", "name" : "Accueil", "position" : 1 }, { "@type" : "ListItem", "item" : "https://www.blog-qhse.com/sécuriser-sa-chaîne-dapprovisionnement-le-défi-opérationnel-commun-à-nis2-au-cra-et-à-dora", "name" : "Sécuriser sa chaîne d’approvisionnement : le défi opérationnel commun à NIS2, au CRA et à DORA", "position" : 2 } ] } ``` ```json { "@context" : "https://schema.org", "@type" : "CollectionPage", "description" : "Retrouvez tous les articles sur la qualité en entreprise : SMQ, ISO 9001, outils, méthodes et bonnes pratiques pour piloter l’amélioration continue et la conformité.", "image" : "https://www.blog-qhse.com/images/qhse-banniere.jpg", "keywords" : "Qualité, ISO 9001, SMQ, amélioration continue, audit, SIPOC, Kaizen, 5S, logiciel qualité, cartographie des processus, évaluation fournisseur", "mainEntity" : [ { "@type" : "FAQPage", "mainEntity" : [ { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Parce qu’une organisation peut être exposée à une cyberattaque ou à une défaillance par l’intermédiaire de ses fournisseurs, prestataires ou composants tiers. Des incidents comme SolarWinds, Kaseya et MOVEit ont montré qu’une compromission chez un fournisseur pouvait se propager à de nombreuses organisations clientes." }, "name" : "Pourquoi la chaîne d’approvisionnement est-elle un enjeu majeur de cybersécurité ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "NIS2 exige que les mesures de gestion des risques couvrent la sécurité de la chaîne d’approvisionnement et les relations avec les fournisseurs et prestataires directs. L’organisation doit notamment prendre en compte leurs vulnérabilités, leurs pratiques de cybersécurité et la résilience de leurs produits et services." }, "name" : "Quelles obligations NIS2 impose-t-elle concernant les fournisseurs ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Le CRA impose notamment aux fabricants concernés d’identifier et de documenter les composants intégrés à leurs produits et de traiter leurs vulnérabilités. Il prévoit également l’établissement d’une nomenclature des composants logiciels, couramment appelée SBOM, couvrant au moins les dépendances de premier niveau." }, "name" : "Que prévoit le Cyber Resilience Act (CRA) pour la chaîne d’approvisionnement logicielle ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "DORA demande notamment aux entités financières concernées de tenir un registre de leurs accords avec les prestataires tiers de services TIC. Le règlement renforce aussi l’évaluation des risques, l’analyse de la concentration, les exigences contractuelles, les droits d’audit et les stratégies de sortie pour les services soutenant des fonctions critiques ou importantes." }, "name" : "Quelles sont les exigences de DORA concernant les prestataires TIC ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Ces trois textes abordent le risque fournisseur sous des angles différents, mais convergent sur un même principe : la résilience d’une organisation dépend également de celle de son écosystème. Ils renforcent ainsi la nécessité d’identifier, d’évaluer et de maîtriser les risques liés aux tiers et aux dépendances technologiques." }, "name" : "Quels sont les points communs entre NIS2, le CRA et DORA ?" } ], "name" : "FAQ " } ], "name" : "Qualité en entreprise : articles, outils et démarches", "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://www.blog-qhse.com/hubfs/Blog/images_blog_2025/logo_b.png" }, "name" : "BlueKanGo" }, "url" : "https://www.blog-qhse.com/topic/qualite" } ```