Normes fournisseurs
Un fournisseur est évalué sur l'adéquation, le contrôle et les preuves, et non sur un logo ou un badge de certification seul.
Il s'agit d'un projet public soumis à révision. Ce n'est ni une offre ni un accord en vigueur ; les conditions de service signées et les annexes approuvées prévalent.
Diligence raisonnable
Évaluez la propriété, l'architecture de sécurité, la résilience opérationnelle, le support, la localisation des données, la sous-traitance, la gestion des vulnérabilités et les options de sortie proportionnellement au risque du client. Vérifiez les affirmations au regard de l'entité juridique nommée, du produit et du périmètre de certification.
Contrat et données
Définissez dans le contrat les obligations en matière de sécurité et d'incidents, les preuves d'audit, l'accès, la notification des changements et la sortie. Lorsqu'un fournisseur traite des données personnelles, appliquez l'article 28 du RGPD et les garanties de transfert pertinentes. Les mesures NIS2 relatives à la chaîne d'approvisionnement et les dispositions contractuelles de DORA sont évaluées lorsque le client et le service sont concernés.
Revue continue
Réexaminez les changements importants chez les fournisseurs, les incidents et la concentration des dépendances. Les constats significatifs doivent conduire à une décision documentée sur le risque, à une mesure corrective ou à un fournisseur alternatif. Aucun fournisseur n'est présenté comme préapprouvé du seul fait de figurer sur ce site.