Le 19 juillet 2024, un vendredi matin, des millions d’écrans d’ordinateurs affichent un fond bleu et un message d’erreur. Pas un virus. Pas une attaque. Une mise à jour défectueuse d’un logiciel de cybersécurité appelé CrowdStrike, utilisé par des entreprises du monde entier. En quelques heures, des aéroports ferment leurs portes, des hôpitaux reportent des opérations, des chaînes de télévision interrompent leur diffusion, des banques suspendent leurs services. En France, les aéroports d’Orly, Lyon et Nantes sont touchés. TF1, Canal+ et CNews aussi. Le coût estimé pour les seules entreprises du Fortune 500 : 5,4 milliards de dollars, selon l’assureur Parametrix (Parametrix · Impact financier panne CrowdStrike, juillet 2024). Le bilan mondial pourrait atteindre 15 milliards.
Aucune de ces entreprises n’avait commis d’erreur. Aucune n’avait cliqué sur un lien piégé, négligé ses mises à jour ou ignoré les consignes de sécurité. Elles avaient fait confiance à un prestataire. Et c’est ce prestataire qui les a mises à terre.
Vous avez fait le nécessaire en matière de cybersécurité. Votre prestataire, non.
C’est l’angle mort classique. Vous avez investi dans la sécurité de votre entreprise. Mots de passe robustes, sauvegardes en place, équipe sensibilisée. Et un matin, c’est l’hébergeur, l’infogérant ou l’éditeur de votre logiciel métier qui se fait attaquer, ou qui subit une panne. Votre entreprise est à l’arrêt, et vous n’y pouvez rien.
Le rapport de l’ANSSI (Panorama de la cybermenace 2025, publié en mars 2026) est sans ambiguïté : le prestataire est devenu un vecteur majeur de compromission. L’agence décrit le cas d’un attaquant ayant compromis un prestataire de services numériques, exfiltré les données de ses clients, puis exploité les interconnexions et des identifiants volés pour se propager vers plusieurs organisations clientes. Un seul point d’entrée, des dizaines de victimes.
Le Verizon DBIR 2025 confirme cette tendance à l’échelle mondiale : 30 % des brèches analysées impliquaient un tiers, soit le double de l’année précédente. C’est le chiffre le plus marquant du rapport. Votre sécurité n’est plus seulement votre affaire. Elle dépend de celle de tous vos fournisseurs. Pour comprendre concrètement ce que ça signifie pour votre activité, la chronologie d’une cyberattaque d’entreprise illustre comment un seul point d’entrée peut tout paralyser.
Trois incidents de cybersécurité documentés par l’ANSSI en 2025
Juillet 2025 : un hébergeur cloud compromis. Le chiffrement de ressources cloud d’une entité d’importance a provoqué l’indisponibilité de services pour des entreprises et le grand public en France. Tout un secteur paralysé, parce qu’un seul hébergeur était touché.
Octobre 2025 : un éditeur de logiciel attaqué chez son propre fournisseur cloud. Une solution SaaS hébergée sur AWS a été victime d’un rançongiciel. Tous les clients de cet éditeur se sont retrouvés dans le noir, sans accès à leur outil de travail. Et sans visibilité sur ce qui avait été volé.
Premier semestre 2025 : des sous-traitants de la défense compromis. Plusieurs entreprises industrielles fabriquant des composants pour la défense et l’aéronautique ont été touchées par des rançongiciels. Des structures qui ne se considéraient pas comme des cibles stratégiques. Elles l’étaient pourtant, par ricochet.
Dans plusieurs de ces incidents, l’ANSSI relève un problème aggravant : les entreprises victimes n’ont pas pu obtenir les journaux d’activité (logs) de leurs propres données hébergées chez le prestataire. Impossible de savoir ce qui avait été consulté, copié ou volé. Autrement dit : vous payez pour un service, vos données sont compromises, et vous ne pouvez même pas enquêter (ANSSI · Supply Chain Attacks, CERT-FR).
Le risque prestataire ne se limite pas à la cyberattaque
On se souvient de l’incendie du datacenter OVH à Strasbourg en mars 2021. Un événement physique, pas une attaque informatique. Et pourtant, le résultat a été le même pour des milliers d’entreprises : des données perdues, des services interrompus, parfois des semaines de paralysie. Beaucoup ont découvert à cette occasion qu’elles n’avaient aucune stratégie de sauvegarde dans un autre datacenter. Elles pensaient que « c’était inclus ». Ce ne l’était pas.
La panne CrowdStrike de juillet 2024 relève de la même logique. Pas de hacker, pas de rançon, juste une mise à jour mal testée. Et 8,5 millions de machines hors service dans le monde. L’ironie : c’est un logiciel de cybersécurité, censé protéger les entreprises, qui les a mises à terre (Euronews · Un an après la panne mondiale de CrowdStrike, juillet 2025).
Ce que ces deux événements démontrent, c’est que le risque prestataire ne se limite pas à la cybercriminalité. Il inclut la panne technique, l’erreur humaine, le sinistre physique, et même la défaillance d’un outil de protection. Et dans tous les cas, c’est votre activité qui s’arrête.
Ce que votre contrat ne dit probablement pas sur la cybersécurité
La plupart des dirigeants de PME n’ont jamais lu en détail le contrat qui les lie à leur infogérant, leur hébergeur cloud ou leur éditeur de logiciel métier. Et quand on le lit, on découvre souvent des choses intéressantes.
Les niveaux de service (SLA) sont souvent vagues ou absents. Votre hébergeur garantit-il un taux de disponibilité ? Et que se passe-t-il concrètement s’il ne le respecte pas ? Dans beaucoup de contrats, la compensation se limite à un avoir sur la facture suivante. Votre activité est paralysée pendant cinq jours, et le prestataire vous offre un mois gratuit. Le déséquilibre est total.
La responsabilité des sauvegardes est rarement explicite. Qui sauvegarde quoi ? À quelle fréquence ? Où sont stockées les copies ? Sont-elles dans le même datacenter que les données de production ? Si la réponse est oui, en cas d’incendie ou d’attaque ciblant le datacenter, tout disparaît en même temps.
L’accès aux logs est souvent limité ou inexistant. En cas d’incident, votre prestataire peut-il vous fournir les journaux d’activité de vos données ? Sait-il qui y a accédé, quand, et ce qui a été modifié ou copié ? L’ANSSI le constate dans son rapport 2025 : dans plusieurs incidents, les entreprises n’ont pas pu obtenir ces informations (ANSSI · Panorama de la cybermenace 2025).
La clause de réversibilité est parfois absente. Si vous souhaitez changer de prestataire, pouvez-vous récupérer vos données dans un format exploitable ? En combien de temps ? À quel coût ? Certaines entreprises découvrent qu’elles sont enfermées chez un prestataire qu’elles voudraient quitter, parce que rien n’a été prévu.
La dépendance invisible : un risque de cybersécurité que vous ne voyez pas
La question dépasse le seul prestataire informatique. Combien d’outils SaaS votre entreprise utilise-t-elle au quotidien ? Messagerie, CRM, comptabilité, gestion de projet, signature électronique, visioconférence. Chaque outil est un fournisseur. Chaque fournisseur est un risque potentiel.
Quand un dirigeant dit « on est sur le cloud », il exprime souvent un sentiment de sécurité. Quelqu’un d’autre gère l’infrastructure, elle est forcément mieux protégée que nos serveurs au bureau. C’est en partie vrai. Les grands fournisseurs cloud investissent massivement dans la sécurité. Mais cela ne change rien au problème fondamental : si ce fournisseur tombe, vous tombez avec. Et vous ne maîtrisez ni le délai de rétablissement, ni l’étendue des dégâts.
Le rapport de l’ANSSI utilise une expression qui résume bien la situation : un « brouillard technologique et organisationnel ». Le périmètre de sécurité d’une entreprise ne s’arrête plus à ses murs, ni même à son réseau. Il englobe l’ensemble de ses dépendances numériques : hébergeurs, éditeurs, prestataires de maintenance, fournisseurs de composants logiciels. Chacun de ces maillons peut devenir le point d’entrée d’une attaque ou la source d’une interruption.
Et il y a un phénomène que l’on observe de plus en plus : le risque de concentration. Quand des milliers d’entreprises dépendent du même hébergeur, du même éditeur ou du même outil de sécurité, un seul incident peut provoquer une défaillance en cascade. C’est exactement ce qui s’est passé avec CrowdStrike. C’est exactement ce qui se passerait si demain un acteur majeur du cloud subissait une panne prolongée.
L’infogérant : partenaire stratégique de votre cybersécurité, pas simple fournisseur de bureau
Pour beaucoup de PME, l’infogérant (le prestataire qui gère tout ou partie de l’informatique) est le seul interlocuteur sur les questions numériques. C’est lui qui installe les postes, gère les accès, surveille (ou non) les alertes, maintient les serveurs. En pratique, il est le DSI externalisé de l’entreprise.
Le problème, c’est que la relation est rarement formalisée à la hauteur de cet enjeu. Le contrat couvre souvent la maintenance, le dépannage, le renouvellement du matériel. Mais que prévoit-il en matière de surveillance des menaces ? De notification en cas d’incident ? De délai d’intervention en cas de crise ? Et surtout : le dirigeant sait-il ce que son infogérant fait réellement ?
La question n’est pas de remettre en cause la compétence de ces prestataires. Beaucoup font un travail sérieux. Mais la confiance n’exclut pas le contrôle. Et la responsabilité, en cas d’incident, ne repose pas sur l’infogérant. Elle repose sur vous. Le RGPD est clair : le responsable de traitement (l’entreprise, donc le dirigeant) est tenu de s’assurer que ses sous-traitants présentent des garanties suffisantes (RGPD · Article 28, sous-traitant · Article 32, sécurité du traitement). Ce n’est pas au prestataire de prouver qu’il est sérieux. C’est à vous de le vérifier. Ce point est détaillé dans l’article consacré à la responsabilité du dirigeant en matière de cybersécurité.
NIS 2 et cybersécurité : la chaîne prestataire devient une obligation réglementaire
La directive NIS 2, en cours de transposition en France via la loi Résilience, introduit une obligation nouvelle : les entités concernées devront évaluer et surveiller la sécurité de leurs fournisseurs et prestataires critiques. Ce n’est plus une recommandation. C’est une exigence réglementaire (Directive NIS 2 · UE 2022/2555, articles 21 et 22).
Et même si votre entreprise n’est pas directement soumise à NIS 2, vos clients le sont peut-être. Ils vous demanderont des preuves de votre niveau de sécurité, des engagements contractuels, des audits. Ne pas pouvoir répondre à ces demandes, c’est risquer de perdre le marché. Pour vérifier votre exposition, l’ANSSI met à disposition l’outil MonEspaceNIS2.
La chaîne de confiance se structure de haut en bas. Les grands groupes exigeront des garanties de leurs fournisseurs de rang 1, qui les répercuteront sur leurs propres sous-traitants. Chaque maillon devra démontrer qu’il a pris les mesures nécessaires. La cybersécurité devient un critère de sélection commerciale, au même titre que le prix ou le délai de livraison. C’est l’une des raisons pour lesquelles la cybersécurité est devenue un sujet de direction, et non plus un problème technique à déléguer sans suivi.
Six questions de cybersécurité à poser à votre prestataire IT dès cette semaine
Aucune de ces questions ne demande de compétence technique. Ce sont des questions de dirigeant.
Que surveillez-vous exactement sur notre périmètre ? Beaucoup de contrats couvrent la maintenance, pas la surveillance active. Ce n’est pas la même chose. Maintenir un système, c’est le faire tourner. Le surveiller, c’est détecter une intrusion.
Si un incident survient cette nuit, en combien de temps intervenez-vous ? Et qu’est-ce qui est prévu contractuellement ? Un engagement de quatre heures le jour ouvré n’est pas la même chose qu’un engagement de quatre heures 24h/24.
Nos sauvegardes sont-elles stockées dans un emplacement distinct de nos données de production ? Si tout est au même endroit, un seul incident suffit à tout perdre. Demandez aussi quand la restauration a été testée pour la dernière fois.
En cas de fuite de données, pouvez-vous nous fournir les journaux d’activité ? Si la réponse est non ou floue, vous ne pourrez pas remplir vos obligations de notification à la CNIL (72 heures), ni savoir ce qui a été compromis.
Que prévoit le contrat si vous êtes vous-même victime d’une attaque ? Le prestataire a-t-il son propre plan de continuité ? Ses propres sauvegardes ? Vous a-t-il déjà communiqué un plan de reprise en cas d’incident majeur ?
Si nous voulons changer de prestataire, comment récupérons-nous nos données ? Le format, le délai, le coût. Si cette question n’a pas de réponse claire, vous êtes dans une dépendance que vous n’avez pas choisie.
Le prestataire est un partenaire, pas un rempart contre les cyberattaques
Déléguer l’informatique ne signifie pas déléguer la responsabilité. Le meilleur prestataire du monde ne protégera pas une entreprise dont le dirigeant ne se pose pas les bonnes questions. Et le pire scénario n’est pas l’attaque elle-même. C’est l’attaque qui survient alors que personne ne savait qui faisait quoi, que le contrat ne prévoyait rien, et que les sauvegardes étaient au même endroit que les données.
Le sujet n’est pas technique. C’est un sujet de gouvernance, de contrat et de responsabilité. Et comme pour la gestion financière ou la conformité juridique, c’est au dirigeant de s’en saisir.
Ne pas agir, c’est déjà un choix. Et quand l’incident arrive, il coûte toujours plus cher que la prévention.