Gouvernance des changements de sous-traitants ultérieurs pour les SaaS et les MSP

Sarah, RSSI d’un fournisseur SaaS FinTech en forte croissance, a ouvert ce qui ressemblait à une mise à jour de service courante envoyée par un fournisseur d’infrastructure critique. Sous la rubrique « optimisations de service », une phrase allait bouleverser sa semaine :

« Afin d’améliorer les performances analytiques, les charges de traitement des données seront migrées vers notre nouveau partenaire, DataCrunch Analytics, avec prise d’effet dans 30 jours. »

Trente jours. Un nouveau partenaire d’analyse. Une vérification rapide a montré que le fournisseur était établi hors de l’UE.

L’équipe d’ingénierie y a vu une amélioration fournisseur ordinaire. Les achats ont supposé que l’accord existant la couvrait. L’équipe succès client n’avait prévu aucune campagne de notification. Le juridique n’avait pas examiné les impacts en matière de transfert. Sarah a immédiatement identifié le vrai problème : son entreprise agissait comme sous-traitant pour des centaines d’établissements financiers en Europe. Ces clients étaient responsables du traitement au titre de GDPR. Certains avaient négocié une notification préalable des nouveaux sous-traitants ultérieurs. Certains disposaient de droits d’objection. Plusieurs avaient des obligations d’externalisation et de gestion du risque lié aux tiers TIC au titre de DORA. Quelques-uns avaient des engagements stricts de localisation qui ne pouvaient pas être modifiés silencieusement.

C’est à ce moment que de nombreux fournisseurs SaaS, MSP, MSSP et fournisseurs de services cloud découvrent que la gouvernance des sous-traitants ultérieurs n’est pas une tâche administrative de protection des données. Elle combine, dans un même workflow, gestion des risques fournisseurs, conformité contractuelle, résilience opérationnelle, communication client et éléments probants d’audit.

Une page publique de sous-traitants ultérieurs ne suffit pas. Une note de bas de page d’un fournisseur ne suffit pas. Un questionnaire de sécurité ne suffit pas. Un processus défendable doit montrer qui a évalué le sous-traitant ultérieur, quelles données sont traitées, quels clients sont concernés, quels accords exigent une notification, si les objections ont été traitées avant l’utilisation, comment les éléments probants relatifs aux transferts internationaux ont été reliés, et où les éléments probants finaux sont conservés.

Clarysec traite ce sujet comme un modèle de contrôle gouverné, et non comme une chaîne d’e-mails ad hoc. Le workflow relie la gestion de la protection des données, l’assurance fournisseurs, la revue juridique, le risque lié à la chaîne d’approvisionnement TIC, la notification client et les éléments probants d’audit au moyen des politiques Clarysec, de Zenith Blueprint : feuille de route en 30 étapes pour les auditeurs et de Zenith Controls : guide de conformité croisée.

Pourquoi les changements de sous-traitants ultérieurs sont des événements fournisseurs à haut risque

Un changement de sous-traitant ultérieur peut modifier du jour au lendemain le profil de risque d’un service. Il peut changer l’endroit où les données à caractère personnel des clients sont hébergées, les lieux depuis lesquels elles sont consultées, les personnes disposant d’un accès de support à privilèges, la durée de conservation des journaux, les modalités d’escalade des incidents, les responsabilités applicables en matière de chiffrement, et la nécessité d’un nouveau mécanisme de transfert international.

Pour les fournisseurs SaaS et les prestataires de services managés, les sous-traitants ultérieurs se trouvent souvent au cœur de la chaîne de livraison du produit. Ils peuvent inclure des prestataires d’hébergement cloud, des plateformes de ticketing, des services d’envoi de courriels, des outils d’analyse par IA, des plateformes de traitement de tâches en arrière-plan, des fournisseurs d’observabilité, des outils de support, des prestataires de paiement, des fournisseurs de services de sécurité managés et des services d’enrichissement de données. Beaucoup de ces prestataires touchent aux données à caractère personnel des clients, même lorsque les équipes les décrivent comme des outils « d’infrastructure » ou « d’exploitation ».

Au titre de GDPR, cet aspect est déterminant, car l’Article 28 impose aux sous-traitants de gérer les sous-traitants en aval avec l’autorisation du responsable du traitement. Lorsqu’une autorisation écrite générale est utilisée, le sous-traitant doit informer le responsable du traitement de tout ajout ou remplacement prévu et lui donner la possibilité de formuler une objection. L’Article 28(4) impose également que des obligations équivalentes en matière de protection des données soient imposées au sous-traitant ultérieur. L’Article 5(2) ajoute le principe de responsabilité, ce qui signifie que l’organisation doit être en mesure de démontrer sa conformité, et non seulement l’affirmer.

DORA accroît les exigences pour les services financiers. Les entités financières doivent gérer le risque lié aux tiers TIC comme une partie intégrante de la gestion des risques liés aux TIC. Elles doivent tenir des registres des accords contractuels, évaluer le risque de concentration, comprendre les chaînes de sous-traitance, définir des garanties contractuelles, obtenir des droits d’audit et d’accès, soutenir la coopération en cas d’incident et planifier les sorties. Même si un fournisseur SaaS n’est pas directement une entité financière, ses clients financiers attendront des éléments probants, car ils doivent eux-mêmes satisfaire aux exigences de DORA.

NIS2 élargit la perspective à la sécurité de la chaîne d’approvisionnement et à la responsabilité de la direction. L’Article 21 exige des mesures techniques, opérationnelles et organisationnelles appropriées, notamment la sécurité de la chaîne d’approvisionnement, la gestion des incidents, la continuité d’activité, le contrôle d’accès, la gestion des actifs, l’acquisition et la maintenance sécurisées, ainsi que l’évaluation de l’efficacité. L’Article 20 confie la responsabilité de supervision aux organes de direction. Pour les fournisseurs cloud, les prestataires de services managés, les fournisseurs de services de sécurité managés, les prestataires de services de centres de données, les prestataires de services de confiance, les places de marché en ligne, les moteurs de recherche et certains services de communication, la visibilité sur les sous-traitants ultérieurs devient une composante de la gouvernance de la cybersécurité.

ISO/IEC 27001:2022 et ISO/IEC 27701:2025 rendent cette exigence opérationnelle. ISO/IEC 27001:2022 impose au SMSI de comprendre le contexte, les exigences des parties intéressées, les risques, les plans de traitement, les contrôles opérationnels et les informations documentées. ISO/IEC 27701:2025 étend cette discipline de système de management au système de management des informations relatives à la vie privée. Un PIMS orienté sous-traitant doit démontrer que le traitement en aval des informations à caractère personnel des clients est compris, maîtrisé, encadré contractuellement, surveillé et étayé par des éléments probants.

Le modèle Clarysec : lister, évaluer, notifier, gérer les objections, contractualiser, relier les transferts, conserver les éléments probants

Le modèle de gouvernance des sous-traitants ultérieurs le plus robuste doit être assez simple pour être appliqué par les équipes opérationnelles et assez rigoureux pour être testé par les auditeurs. Clarysec utilise sept verbes :

1. Lister chaque sous-traitant ultérieur actuel et proposé.
2. Évaluer les risques liés à la protection des données, à la sécurité, à la résilience et aux dépendances avant toute utilisation.
3. Notifier les clients conformément à l’accord applicable.
4. Gérer les objections dans le délai convenu.
5. Mettre à jour le DPA, l’annexe de sécurité et les obligations répercutées.
6. Relier les éléments probants relatifs à l’hébergement, à la localisation du traitement et aux transferts internationaux.
7. Conserver les éléments probants dans les registres de protection des données et des fournisseurs.

Le premier point d’ancrage opérationnel est la Politique de gestion de la protection des données applicable aux sous-traitants, sous-traitants ultérieurs et tiers. Elle prévoit :

[Sous-traitant] Le responsable fournisseurs / achats DOIT tenir dans REG08 la liste des sous-traitants ultérieurs et sous-traitants utilisés pour traiter les informations à caractère personnel des clients avant toute utilisation, et mettre à jour REG08 dans les 10 jours ouvrés suivant un changement approuvé.

Cette clause transforme une liste de sous-traitants ultérieurs en registre contrôlé. Elle explicite également le calendrier : REG08 est mis à jour avant utilisation, puis actualisé dans les 10 jours ouvrés suivant un changement approuvé.

La même politique rend la notification client vérifiable en audit :

[Sous-traitant] Le responsable fournisseurs / achats DOIT notifier au client les nouveaux sous-traitants ultérieurs prévus ou les remplacements prévus, conformément à l’accord client applicable, avant toute utilisation, et consigner dans REG08 la notification, le délai d’opposition et le résultat.

C’est le détail qui manque dans de nombreux programmes. La question n’est pas seulement de savoir si une page publique a été mise à jour. La question est de savoir si les bons clients ont été notifiés selon les modalités requises, avant que le sous-traitant ultérieur ne traite leurs informations à caractère personnel, avec conservation du délai d’opposition et du résultat comme éléments probants.

La politique relie également la gouvernance des changements aux diligences préalables :

[Tous] Le responsable fournisseurs / achats DOIT compléter les éléments probants de due diligence relative à la protection des données dans REG08 avant de sélectionner, renouveler ou modifier substantiellement toute relation avec un sous-traitant, un sous-traitant ultérieur ou un tiers qui traite des informations à caractère personnel ou y accède.

Une modification substantielle peut inclure le remplacement d’une infrastructure, l’ajout d’un fournisseur d’analyse en aval, le déplacement de régions d’hébergement, l’activation d’un accès de support depuis un nouveau pays, l’extension des catégories de données ou la modification du comportement de conservation d’un service.

Enfin, la politique comble la lacune des obligations contractuelles répercutées :

[Sous-traitant] Le responsable fournisseurs / achats DOIT s’assurer que chaque contrat de sous-traitant ultérieur contient des obligations répercutées en matière de protection des données, de sécurité, d’assistance, de restitution, de suppression, d’interface incident et de lien avec les transferts avant que le sous-traitant ultérieur ne traite des informations à caractère personnel.

Ce point est important, car une annexe de sécurité générique ne suffit pas toujours. Les obligations propres aux sous-traitants doivent être répercutées en aval avant le début du traitement.

Où les politiques Clarysec relient protection des données, fournisseurs et transferts

La gouvernance des sous-traitants ultérieurs ne fonctionne que lorsque la protection des données, le juridique, la sécurité fournisseurs et la gestion opérationnelle des changements utilisent la même chaîne d’éléments probants.

La Politique de conformité juridique et réglementaire - PME établit la règle préalable au partage :

Les clauses de l’accord de traitement des données ou des clauses contractuelles équivalentes doivent être convenues avant tout partage de données à caractère personnel ou de données sensibles.

Pour les environnements d’entreprise, la Politique de conformité juridique et réglementaire précise davantage les attentes relatives aux éléments probants en exigeant :

Divulgations relatives aux sous-traitants ultérieurs et déclarations géographiques de transfert de données

Elle identifie également des déclencheurs de gouvernance portant sur :

Changements des mécanismes de transfert de données, des sous-traitants ultérieurs ou des flux de données transfrontaliers

La Politique de sécurité des tiers et des fournisseurs indique :

Le recours à des sous-traitants soumis au consentement écrit préalable

Pour les organisations plus petites, la Politique de sécurité des tiers et des fournisseurs - PME fournit une version adaptée :

Restrictions portant sur toute sous-traitance ultérieure sans approbation

Elle rend également explicite la réévaluation des changements fournisseurs :

Tous les changements fournisseurs — y compris la propriété, le type de service, la localisation de l’hébergement ou la sous-traitance — doivent être réévalués au regard de leur impact sur le risque et de leur pertinence contractuelle.

La Politique de protection des données et de la vie privée inclut :

Exigences d’approbation des sous-traitants ultérieurs

La Politique de gestion des risques de dépendance vis-à-vis des fournisseurs ajoute la perspective de résilience :

Divulgation des sous-traitants : le fournisseur doit nous informer de ses sous-traitants clés et de toute modification les concernant, en particulier lorsque ceux-ci créent des niveaux de dépendance supplémentaires.

Ensemble, ces politiques créent une règle opérationnelle complète : aucun partage de données à caractère personnel sans clauses contractuelles, aucun sous-traitant ultérieur caché, aucune sous-traitance non maîtrisée, aucun changement d’hébergement ou de localisation non évalué, et aucune approbation sans éléments probants relatifs aux transferts lorsque cela est pertinent.

Comment Zenith Controls structure l’ensemble des contrôles fournisseurs

Dans Zenith Controls, Clarysec associe principalement la gouvernance des changements de sous-traitants ultérieurs aux contrôles fournisseurs et juridiques d’ISO/IEC 27002:2022. C’est important, car cela montre que la gouvernance des sous-traitants ultérieurs n’est pas seulement un processus de protection des données. C’est également un contrôle de sécurité de l’information, de gestion des fournisseurs, de conformité juridique et de résilience.

Zenith Controls décrit le contrôle 5.22, « Surveillance, revue et gestion des changements des services fournisseurs », comme un contrôle préventif soutenant la confidentialité, l’intégrité et la disponibilité, aligné sur le concept de cybersécurité Identify et sur les capacités opérationnelles relatives à la sécurité des relations fournisseurs et à l’assurance de la sécurité de l’information. C’est exactement ce qu’exige un changement de sous-traitant ultérieur : identifier le changement, réévaluer le risque, confirmer la couverture contractuelle et conserver les éléments probants d’assurance.

Pour le contrôle 5.20, Zenith Controls présente les accords fournisseurs comme des contrôles préventifs couvrant la confidentialité, l’intégrité et la disponibilité. C’est là que doivent figurer les clauses DPA, les annexes de sécurité, les clauses de sous-traitance, les droits d’audit, l’assistance en cas d’incident, la restitution et la suppression, ainsi que les obligations liées aux transferts.

Pour le contrôle 5.21, la perspective chaîne d’approvisionnement est essentielle, car un sous-traitant ultérieur peut créer une dépendance de quatrième rang. Un fournisseur SaaS peut s’appuyer sur un prestataire d’infrastructure, qui s’appuie sur un fournisseur d’analyse de données, lequel s’appuie sur une autre région cloud ou un partenaire de support. L’organisation doit comprendre la chaîne suffisamment pour gérer le risque, les engagements clients et les options de sortie.

La feuille de route en 30 étapes : transformer la politique en procédure opérationnelle

Le Zenith Blueprint place le risque fournisseur et le risque en aval à l’étape 23, contrôles organisationnels. Il explique que les accords fournisseurs traitent généralement de la confidentialité, du contrôle d’accès, des mesures techniques et organisationnelles, des délais de notification des incidents, du droit d’audit, des contrôles des sous-traitants et des dispositions de fin de contrat. Le Blueprint souligne un point critique :

La structure de l’accord est importante. Ces clauses peuvent figurer dans un contrat-cadre de services, un accord de traitement des données dédié ou une annexe de sécurité autonome. Ce qui compte, c’est qu’elles existent, et qu’elles soient comprises et acceptées par les deux parties.

Le Blueprint indique également aux équipes quoi faire avec les sous-traitants :

Pour chaque fournisseur critique, identifiez s’il utilise des sous-traitants ultérieurs susceptibles d’accéder à vos données ou à vos systèmes. Documentez la manière dont vos exigences de sécurité de l’information sont répercutées à ces parties, soit par les conditions contractuelles de votre fournisseur, soit par vos propres clauses directes.

Pour la gouvernance des changements fournisseurs, l’alignement opérationnel approprié est le contrôle ISO/IEC 27002:2022 5.22 :

Établissez une procédure simple et adaptable pour évaluer les changements des services fournisseurs (5.22), tels qu’une migration vers le cloud, de nouveaux sous-traitants ultérieurs ou une refonte de l’infrastructure. Définissez les déclencheurs nécessitant une réévaluation de sécurité.

Cela donne aux RSSI et aux DPO une trajectoire pratique. L’étape 23 définit l’intention de contrôle. REG08 capture les éléments probants de protection des données relatifs aux sous-traitants, sous-traitants ultérieurs et tiers. REG09 capture les éléments probants relatifs aux transferts. Les contrats fournisseurs, les DPA et les tickets de changement relient le workflow à la réalité opérationnelle.

Un workflow pratique de notification des changements de sous-traitants ultérieurs

Un workflow de changement de sous-traitant ultérieur doit être volontairement prévisible. Chaque étape doit avoir un responsable, des éléments probants et un point de contrôle empêchant une utilisation prématurée en production.

Le principe clé est simple : la notification client doit intervenir avant l’utilisation lorsque l’accord l’exige. La mise à jour d’une page web publique après la mise en œuvre peut soutenir la transparence, mais elle ne prouve ni la notification propre à chaque client, ni l’autorisation contractuelle, ni la gestion des objections.

Application du workflow à la crise de Sarah

La notification fournisseur reçue par Sarah au sujet de DataCrunch Analytics déclenche le processus complet.

Premièrement, le responsable fournisseurs ouvre un enregistrement de changement REG08. L’enregistrement identifie CoreStack, DataCrunch Analytics, la finalité du service, l’impact sur les locataires clients, le rôle de traitement, les catégories de données, les localisations de traitement, le modèle d’accès de support, la durée de conservation et la présence éventuelle de données relevant de catégories particulières ou de données réglementées de clients financiers.

Deuxièmement, les équipes protection des données et sécurité réalisent la due diligence. Elles examinent les mesures techniques et organisationnelles de DataCrunch Analytics, le chiffrement, le contrôle d’accès, la journalisation, la notification des incidents, les capacités de suppression, l’assurance d’audit, la liste des sous-traitants ultérieurs et les certifications de sécurité. Le fournisseur étant situé hors de l’UE, la revue de la localisation et du transfert est obligatoire.

Troisièmement, le juridique vérifie si les DPA clients prévoient une autorisation spécifique ou une autorisation générale avec notification. Les clients sont segmentés en groupes de notification : clients à notification standard de 30 jours, clients entreprise avec délais d’opposition de 45 jours, clients exigeant une approbation spécifique, clients restreints soumis à des limitations de localisation, et clients non concernés dont les données ne touchent pas la charge de traitement analytique.

Quatrièmement, les éléments probants relatifs aux transferts sont reliés. La Politique de gestion de la protection des données applicable aux sous-traitants, sous-traitants ultérieurs et tiers exige :

[Les deux] Le responsable fournisseurs / achats DOIT consigner dans REG08 les localisations de traitement, les localisations d’hébergement et les indicateurs de transfert international, et relier à REG09 les éléments probants applicables relatifs aux transferts avant d’approuver un sous-traitant, un sous-traitant ultérieur, un changement de localisation ou un changement de service pertinent pour les transferts.

Cinquièmement, l’équipe succès client envoie des notifications formelles par les canaux approuvés. Chaque notification inclut le sous-traitant ultérieur prévu, la finalité, les catégories de données, le résumé des localisations, la date d’effet, la date limite d’opposition et le canal de contact.

Sixièmement, les objections sont gérées. Si un établissement financier s’oppose au changement parce qu’il affecte une fonction critique ou un transfert vers un pays tiers, l’équipe de Sarah évalue les alternatives : exclure le locataire, conserver l’ancien circuit de traitement, imposer un support limité à l’UE, modifier les garanties contractuelles ou retarder le changement jusqu’à résolution de l’objection.

Septièmement, l’ingénierie reçoit une approbation uniquement pour les locataires et charges de traitement ayant franchi le point de contrôle. Le ticket de changement de production renvoie vers REG08, REG09, l’approbation juridique, les éléments probants de notification et toute exclusion propre à un client. Après la mise en production, le registre interne, la page publique des sous-traitants ultérieurs et le référentiel contractuel sont mis à jour.

C’est la différence entre une gestion réactive dans l’urgence et une gouvernance défendable.

Cartographie de conformité croisée pour une chaîne unique d’éléments probants

L’avantage de Clarysec est qu’un seul workflow peut répondre à plusieurs référentiels lorsque les éléments probants sont conçus correctement dès le départ.

NIST CSF 2.0 est utile comme couche d’organisation neutre. Sa fonction GOVERN inclut la compréhension des obligations légales, réglementaires, contractuelles, de protection des données et relatives aux libertés civiles, l’attribution des rôles, l’établissement des politiques, la revue de la performance et la gestion du risque cybersécurité lié à la chaîne d’approvisionnement. La catégorie GV.SC attend des processus de risque fournisseur, la criticité des fournisseurs, des exigences contractuelles de cybersécurité, des diligences préalables, une surveillance du cycle de vie, une planification des incidents et des activités postérieures à la relation.

DORA est plus prescriptif pour les entités financières. Les Articles 28 à 30 exigent la gestion du risque lié aux tiers TIC, les registres contractuels, la classification des fonctions critiques ou importantes, la visibilité sur les chaînes de sous-traitance, la connaissance des localisations, les garanties contractuelles, les droits d’audit, la coopération en cas d’incident et la planification de la sortie. Si votre plateforme SaaS prend en charge des clients financiers, vos éléments probants relatifs aux sous-traitants ultérieurs deviennent une partie de leur dossier d’éléments probants DORA.

NIS2 ajoute la responsabilité de la direction. L’Article 20 exige que les organes de direction approuvent les mesures de gestion des risques de cybersécurité et en supervisent la mise en œuvre. L’Article 21 exige la sécurité de la chaîne d’approvisionnement et l’évaluation des pratiques de cybersécurité des fournisseurs. Un changement significatif de sous-traitant ultérieur doit donc être visible dans le reporting des risques, et non caché dans un dossier achats.

Ce que les auditeurs testeront

Un processus mature de gestion des sous-traitants ultérieurs crée une ligne directe entre politique et éléments probants.

Un auditeur ISO/IEC 27001:2022 commencera par le domaine d’application du SMSI, les exigences des parties intéressées, les risques, la Déclaration d’applicabilité et les contrôles opérationnels. Il testera probablement les relations fournisseurs, les accords fournisseurs, la chaîne d’approvisionnement TIC, la surveillance et la gestion des changements fournisseurs, les exigences légales, les services cloud, la protection de la vie privée, la journalisation et le contrôle opérationnel des changements.

Un auditeur ISO/IEC 27701:2025 PIMS se concentrera sur la clarté des rôles. Êtes-vous sous-traitant, responsable du traitement, responsables conjoints du traitement, ou les deux selon les services ? Pour les activités de sous-traitant, il demandera la liste des sous-traitants ultérieurs, le fondement de l’autorisation, les éléments probants de notification, la gestion des objections, les contrats en aval, les éléments probants relatifs aux transferts, le support de suppression, l’interface incident et les enregistrements de surveillance.

Un évaluateur protection des données au titre de GDPR testera la responsabilité. Il demandera qui traite les données à caractère personnel, pour quelle finalité, en vertu de quel accord, dans quelle localisation, avec quelles garanties et avec quelle transparence client. Si un client a formulé une objection, il demandera ce qui s’est passé avant le début du traitement.

Un auditeur client DORA demandera si le sous-traitant ultérieur soutient une fonction critique ou importante, si les chaînes de sous-traitance sont visibles, si les localisations des données sont documentées, si l’assistance en cas d’incident est garantie contractuellement, si les droits d’audit sont répercutés, si le risque de concentration a été pris en compte et si la sortie est possible.

Un évaluateur NIS2 se concentrera sur la sécurité de la chaîne d’approvisionnement, la supervision par la direction, la préparation aux incidents et les contrôles proportionnés. Il pourra demander comment les changements fournisseurs sont détectés, comment les fournisseurs directs sont évalués, comment les vulnérabilités fournisseurs sont prises en compte et comment les incidents impliquant des destinataires de services sont escaladés.

L’ensemble d’éléments probants doit être facile à reconstituer :

• Demande de changement de sous-traitant ultérieur approuvée.
• Enregistrement de due diligence REG08.
• Évaluation des catégories de données et des finalités de traitement.
• Éléments probants relatifs aux localisations de traitement et d’hébergement.
• Éléments probants de transfert REG09 lorsque pertinent.
• Revue du DPA et des obligations contractuelles répercutées.
• Liste des notifications clients, dates, libellé et preuve d’envoi.
• Journal des objections et éléments probants de résolution.
• Ticket de changement de production lié à l’approbation.
• Liste des sous-traitants ultérieurs et calendrier de surveillance mis à jour.
• Acceptation du risque ou approbation de dérogation lorsque nécessaire.

Schémas de défaillance courants

La première défaillance consiste à traiter une page de sous-traitants ultérieurs comme l’ensemble du processus. Une page publique soutient la transparence, mais elle ne prouve ni la notification propre à chaque client, ni la gestion des objections, ni l’autorisation.

La deuxième défaillance consiste à séparer les éléments probants de protection des données, de sécurité et d’achats. La protection des données peut approuver le DPA, la sécurité peut examiner un rapport SOC 2 et les achats peuvent classer le contrat, mais aucun enregistrement unique ne relie la décision.

La troisième défaillance est l’absence de lien avec les transferts. Les équipes enregistrent le nom du fournisseur, mais pas les localisations de traitement, les localisations d’hébergement, les localisations de support, les indicateurs de transfert international ou les éléments probants REG09.

La quatrième défaillance consiste à activer la production avant la clôture des délais d’opposition. Dès que les informations à caractère personnel des clients sont traitées par le nouveau sous-traitant ultérieur, l’organisation peut déjà avoir manqué à l’accord.

La cinquième défaillance est la faiblesse des obligations répercutées. Le fournisseur direct accepte des clauses robustes, mais ses prestataires en aval ne sont pas liés par des obligations équivalentes en matière de protection des données, de sécurité, d’assistance, de restitution, de suppression, d’incident, d’audit et de transfert.

La sixième défaillance est une mauvaise détection des changements. Un fournisseur change de propriétaire, de localisation d’hébergement, de type de service, de modèle de support ou de chaîne de sous-traitance, et personne ne réévalue le risque.

La septième défaillance est l’absence de piste d’audit. Les équipes se souviennent de la décision, mais ne peuvent pas prouver quand elle a été prise, qui l’a approuvée, quels clients ont été notifiés et comment les objections ont été résolues.

Reporting de gestion pour RSSI et DPO

La gouvernance des sous-traitants ultérieurs doit produire des informations de pilotage, et pas seulement des livrables justificatifs de conformité.

Ce reporting s’inscrit dans le modèle de système de management. ISO/IEC 27001:2022 attend du leadership, un contrôle opérationnel, une évaluation de la performance et une amélioration continue. DORA et NIS2 renforcent la responsabilité de la direction. La gouvernance des sous-traitants ultérieurs doit figurer dans les comités de pilotage protection des données, les revues des risques fournisseurs, la revue de direction du SMSI et le reporting des risques TIC lorsque cela est pertinent.

Construire votre dossier d’éléments probants de changement de sous-traitant ultérieur

Commencez par un changement fournisseur récent et vérifiez si votre organisation peut répondre à ces questions :

• Le prestataire a-t-il été identifié comme sous-traitant, sous-traitant ultérieur, fournisseur, prestataire TIC, ou toutes ces catégories ?
• REG08 ou un registre équivalent a-t-il été mis à jour avant utilisation ?
• Les localisations de traitement et d’hébergement ont-elles été enregistrées ?
• Les indicateurs de transfert international ont-ils été évalués ?
• Les éléments probants relatifs au transfert ont-ils été reliés à REG09 ou à un fichier équivalent ?
• Le contrat contenait-il des obligations répercutées en matière de protection des données, de sécurité, d’assistance, de restitution, de suppression, d’incident, d’audit et de transfert ?
• Les clients ont-ils été notifiés conformément à leurs accords avant le début du traitement ?
• Les délais d’opposition ont-ils été suivis et résolus ?
• L’activation en production a-t-elle été bloquée jusqu’à approbation ?
• Un auditeur pourrait-il reconstituer la traçabilité des décisions en moins de 30 minutes ?

Si la réponse est non, la lacune n’est pas seulement juridique. Elle est opérationnelle, contractuelle, liée au risque fournisseur, à la protection des données et à la préparation à l’audit.

Clarysec aide les équipes à combler rapidement cette lacune. Utilisez Zenith Blueprint pour inscrire la gouvernance des sous-traitants ultérieurs dans votre feuille de route de mise en œuvre du SMSI et du PIMS. Utilisez Zenith Controls pour cartographier les contrôles relatifs aux relations fournisseurs, aux accords fournisseurs, à la chaîne d’approvisionnement TIC, aux changements fournisseurs, aux services cloud et aux exigences légales dans ISO/IEC 27001:2022, ISO/IEC 27701:2025, GDPR, DORA, NIS2, NIST CSF 2.0 et COBIT 2019. Utilisez la Politique de gestion de la protection des données applicable aux sous-traitants, sous-traitants ultérieurs et tiers, la Politique de sécurité des tiers et des fournisseurs, la Politique de conformité juridique et réglementaire, la Politique de protection des données et de la vie privée et la Politique de gestion des risques de dépendance vis-à-vis des fournisseurs pour transformer la cartographie en exécution quotidienne.

N’attendez pas la note de bas de page inattendue dans un e-mail fournisseur. Mettez en place dès maintenant le workflow, le dossier d’éléments probants et la cartographie des contrôles, afin que chaque changement de sous-traitant ultérieur devienne une preuve de maturité de gouvernance plutôt qu’une crise de conformité.