Contrats fournisseurs et sous-traitants : les clauses qu'exige un audit ISO 27001

Votre certification ISO 27001 peut se jouer sur un contrat signé il y a cinq ans avec un hébergeur, une ESN ou un freelance. L'auditeur ne cherche pourtant pas une liste de clauses : la norme n'en impose aucune. Il vérifie que chaque fournisseur a reçu des exigences adaptées au risque qu'il représente, et que vous pouvez le prouver. Le droit, lui, impose des mentions précises : le 11 décembre 2025, la CNIL a infligé 1 M€ à un ancien sous-traitant qui avait conservé des données après la fin du contrat, alors que ce contrat prévoyait leur suppression. Voici la grille qui répond aux deux exigences, clause par clause, côté acheteur comme côté prestataire.

Ce que la norme ISO 27001 demande vraiment sur les contrats fournisseurs

ISO 27001 ne contient aucune clause type. Son annexe A consacre plusieurs mesures aux tiers : A.5.19 pour la relation fournisseur, A.5.20 pour les accords, A.5.21 pour la chaîne d'approvisionnement informatique, A.5.22 pour le suivi et les changements, A.5.23 pour les services cloud, A.8.30 pour le développement externalisé. La mesure A.5.20 tient en une idée : définir et convenir avec chaque fournisseur les exigences de sécurité pertinentes, selon le type de relation.

Le détail se trouve dans ISO 27002, un guide de mise en œuvre sur lequel on n'est pas certifié. Selon les commentaires publiés, il propose 25 sujets à envisager : classification de l'information, gestion des incidents, sous-traitance, audit, sauvegardes, fin de contrat. Ces sujets s'envisagent, ils ne s'imposent pas tous. Une clause absente n'est donc pas une non-conformité automatique. Une absence que rien n'explique peut le devenir.

Ce que l'auditeur compare

L'audit porte sur une chaîne de cohérence, pas sur un contrat isolé. L'auditeur peut rapprocher :

• votre politique fournisseurs et sa méthode de classement ;
• le registre des fournisseurs et leur niveau de criticité ;
• votre déclaration d'applicabilité et le plan de traitement des risques ;
• le contrat réellement signé, avec ses annexes et ses avenants ;
• les preuves de suivi : rapports reçus, revues, incidents remontés.

Le risque ne tient pas seulement à la clause manquante. Il tient aussi à la politique qui promet un droit d'audit sur tous les fournisseurs critiques, quand le contrat de l'hébergeur principal n'en dit rien. L'écart est alors dans vos propres documents. Ce travail de fond s'inscrit dans le rôle décrit dans l'article sur ce que l'avocat prend en charge dans la certification ISO 27001.

Classer avant de réécrire

La norme raisonne par type de relation. Trois questions suffisent pour un premier tri. Le fournisseur accède-t-il à des données personnelles ou confidentielles ? Son arrêt bloquerait-il un service vendu à vos clients ? Dispose-t-il d'un accès administrateur à vos systèmes ? Un cabinet de traduction occasionnel n'appelle pas les mêmes exigences qu'un infogérant. Imposer la même annexe à tous produit des refus, des retards, et une conformité de façade.

Point de vigilance : la norme et la loi n'ont pas la même force. ISO 27001 vous laisse arbitrer selon le risque. L'article 28 du RGPD ne vous laisse pas ce choix dès qu'un fournisseur traite des données personnelles pour votre compte.

Sous-traitance de données : les mentions que l'audit ne peut pas excuser

Pour tout sous-traitant au sens du RGPD, le contrat doit porter les mentions de l'article 28, § 3 : instructions documentées, confidentialité, sécurité, sous-traitance ultérieure, assistance, sort des données, audits. Elles ne sont pas détaillées ici : le mode d'emploi du DPA les traduit en travail concret. Deux décisions récentes montrent en revanche ce que le texte ne suffit pas à régler.

Le contrat prévoyait la suppression, les données sont restées

Dans sa décision SAN-2025-014, la CNIL sanctionne un éditeur SaaS d'outils marketing, ancien sous-traitant d'une plateforme musicale. En avril 2019, des données non anonymisées avaient été copiées de la production vers un environnement de non-production pour tester des améliorations. Le contrat a pris fin le 1er décembre 2020 et il exigeait la suppression des données des serveurs. La copie a survécu jusqu'au 1er octobre 2023. Entre-temps, une violation notifiée à la CNIL en novembre 2022 a exposé les données de plus de 46 millions d'utilisateurs de la plateforme, proposées à la vente sur le darknet.

L'éditeur a soutenu que trois salariés avaient agi à son insu. La formation restreinte a répondu qu'il répondait de l'action de ses salariés et aurait dû être vigilant sur une copie vers un environnement dont les flux lui étaient facturés. Elle a retenu les articles 28, 29 et 30 du RGPD. La leçon pour votre contrat est directe : une clause de suppression sans périmètre ni preuve ne vous protège pas. Elle doit viser les copies, les sauvegardes et les environnements de test.

Le sous-traitant ultérieur ne fait pas écran

Le 22 décembre 2025, la CNIL a infligé 1,7 M€ à l'éditeur d'un progiciel de relation usagers pour l'action sociale, au titre de l'article 32 (SAN-2025-015). Cet éditeur confiait l'hébergement à un sous-traitant ultérieur et cherchait à limiter sa responsabilité. La formation restreinte admet que cette responsabilité n'est pas automatique devant l'autorité, mais elle retient qu'en l'espèce il restait responsable à titre principal, sans préjudice de la responsabilité propre de son client.

Le CEPD va dans le même sens côté client. Dans son avis 22/2024 du 7 octobre 2024, il estime que le responsable de traitement doit disposer à tout moment de l'identité de tous les sous-traitants de la chaîne, pas seulement du premier rang, et que le sous-traitant doit la lui fournir spontanément. Il n'impose pas de demander systématiquement les contrats de sous-traitance ultérieure : cela s'apprécie au cas par cas. La pratique s'arrête souvent au premier rang : c'est un point à corriger.

La grille des clauses fournisseurs à vérifier avant l'audit ISO 27001

Voici les points à contrôler sur un contrat de fournisseur critique. La plupart renvoient à un sujet d'ISO 27002, et plusieurs reprennent la liste du point 5.1.4 de l'annexe du règlement d'exécution (UE) 2024/2690. Ce texte précise les mesures de NIS 2 pour certaines entités, dont le cloud, les centres de données et les fournisseurs de services gérés. Il énumère huit éléments que les contrats précisent s'il est besoin. C'est un modèle public utile pour structurer une annexe de sécurité, même hors de son champ.

Exigences de sécurité vérifiables

« Le prestataire met en œuvre les mesures conformes à l'état de l'art » ne prouve rien. L'annexe doit nommer des mesures contrôlables : authentification multifacteur sur les accès d'administration, journalisation et durée de conservation, fréquence des sauvegardes, lieu d'hébergement. Attention à la surpromesse côté prestataire : une mesure écrite et non appliquée devient un manquement contractuel prouvé par votre propre annexe.

Notification d'incident en heures

Le RGPD demande au sous-traitant de notifier « dans les meilleurs délais » (art. 33, § 2). Cette formule ne suffit pas à votre plan de réponse. Comme responsable de traitement, vous avez 72 heures pour notifier la CNIL (art. 33, § 1), et selon le CEPD ce délai court en principe dès que le sous-traitant vous a informé (lignes directrices 9/2022, point 44). Un fournisseur lent ne consomme donc pas ce délai, mais il retarde votre réaction et menace vos engagements envers vos clients. La clause fixe un délai chiffré, un canal joignable hors heures ouvrées, le contenu minimal de l'alerte et le point de départ du délai. Elle couvre aussi l'incident de sécurité sans donnée personnelle, que le DPA ne couvre pas forcément.

Audit et rapports

L'article 28, § 3, h) impose de permettre des audits, y compris des inspections. Le règlement 2024/2690 admet un droit d'audit ou un droit de recevoir les rapports d'audit. Un contrat réaliste combine les deux : rapports annuels et certificat en routine, audit sur place après un incident ou sur demande d'une autorité. Il borne le préavis, la confidentialité, la répartition du coût et le périmètre, pour ne pas exposer les données des autres clients.

Sous-traitance en cascade

Le contrat ne crée d'obligations qu'entre les parties (Code civil, art. 1199). Votre annexe de sécurité n'oblige donc le sous-traitant de votre fournisseur que si ce dernier la répercute. La clause impose cette répercussion, l'information préalable, un droit d'opposition et une liste tenue à jour. Dans un contrat d'entreprise, la loi du 31 décembre 1975 ajoute une contrainte à ne pas oublier : l'entrepreneur doit faire accepter chaque sous-traitant et agréer ses conditions de paiement par le client (art. 3).

Changements et maintien de la certification

La mesure A.5.22 porte sur le suivi et les changements. Prévoyez un préavis avant tout changement significatif : hébergement, localisation, sous-traitant, mesures de sécurité. Le fournisseur certifié s'engage aussi à vous prévenir s'il perd son certificat, s'il voit son périmètre réduit ou s'il change d'organisme.

Vulnérabilités et correctifs

Le point 5.1.4 vise l'obligation de traiter les vulnérabilités qui menacent vos systèmes. Pour un logiciel ou une brique critique, fixez un délai de correction par niveau de gravité, et l'information du client lorsqu'aucun correctif n'existe. Sans délai, l'obligation reste théorique.

Personnel du fournisseur

La clause couvre les engagements de confidentialité, la sensibilisation et, si le risque le justifie, la vérification des antécédents. Sur ce dernier point, restez mesuré : les informations demandées à un candidat doivent présenter un lien direct et nécessaire avec l'emploi (Code du travail, art. L1221-6). Exigez une vérification adaptée au poste et conforme au droit local, pas une liste de contrôles que le fournisseur ne pourrait pas appliquer.

Sortie, restitution et preuve de suppression

C'est la clause que la décision SAN-2025-014 oblige à relire. Elle fixe le format de restitution, le délai, l'assistance à la réversibilité, la suppression des copies, y compris en test et en sauvegarde, et une attestation écrite. Pour les services de traitement de données, le Data Act encadre déjà le changement de fournisseur : l'article 25 prévoit un préavis de deux mois au plus et une transition de 30 jours calendaires au plus, sauf impossibilité technique justifiée. Une proposition d'omnibus numérique, encore en procédure en octobre 2026, pourrait aménager ce régime. L'article sur les clauses de réversibilité du Data Act détaille le sujet.

Responsabilité, pénalités et recours

Le plafond de responsabilité relève moins de la norme que de votre exposition réelle le jour de l'incident. La clause qui prive de sa substance l'obligation essentielle est réputée non écrite (Code civil, art. 1170). La Cour de cassation a toutefois maintenu un plafond négocié face à un manquement à une obligation essentielle : le montant n'était pas dérisoire et l'éditeur avait consenti une remise de 49 % (Cass. com., 29 juin 2010, n° 09-11.841, rendu avant la réforme de 2016). Un plafond négocié et cohérent avec le prix peut donc tenir, la faute lourde ou dolosive restant une limite (Code civil, art. 1231-3).

Négociez des plafonds distincts pour la confidentialité, la sécurité et les données, et traitez le recours en cas d'indemnisation des personnes (RGPD, art. 82, § 5). Une clause qui ferait porter une amende administrative au fournisseur reste d'efficacité incertaine. Les pénalités de niveau de service peuvent être révisées par le juge si elles sont manifestement excessives ou dérisoires (Code civil, art. 1231-5), et elles supposent en principe une mise en demeure : le contrat doit traiter ce point.

Certificat ISO 27001 du fournisseur : ce qu'il prouve et ce qu'il ne prouve pas

« Notre fournisseur est certifié » ne clôt pas le sujet. Un certificat porte sur un périmètre. Celui d'un groupe peut couvrir un centre de données et laisser de côté le support ou le service que vous achetez. Avant de vous en prévaloir, demandez :

• le certificat, sa date de validité et l'organisme émetteur ;
• le périmètre exact, à comparer au service acheté ;
• la déclaration d'applicabilité, ou au moins ses exclusions ;
• le statut de l'accréditation de l'organisme.

Le certificat ne remplace pas davantage le contrat. Il atteste un système de management sur un périmètre, pas un engagement envers vous : sans clause, votre recours devient incertain s'il disparaît. Côté RGPD, l'article 28, § 5 ne donne valeur d'élément de preuve qu'aux codes de conduite et aux certifications approuvés, et ISO 27001 ne figure pas au registre européen de ces mécanismes au 2 novembre 2026. Le certificat reste un indice, à apprécier avec le reste.

Le fournisseur refuse de négocier : documenter plutôt que renoncer

Un hyperscaler modifiera rarement ses conditions générales pour votre audit. Cette limite est connue, et le guide technique de l'ENISA de juin 2025 propose des réponses face aux grands fournisseurs : achats groupés, conseil juridique, négociation ciblée sur la sortie, le prix et les niveaux de service, choix de fournisseurs qui publient leurs engagements ou détiennent des certifications. Ce guide n'est pas contraignant, mais il donne un argument pour votre dossier.

La méthode tient en quatre temps :

1. Comparer les conditions standard à votre grille, clause par clause.
2. Identifier l'écart et le risque qu'il crée.
3. Choisir une mesure compensatoire : chiffrement sous votre contrôle, sauvegarde externe, surveillance, solution de repli.
4. Faire valider le risque résiduel par son propriétaire, à une date, dans le plan de traitement.

Cette trace vous sert deux fois. Elle répond à l'auditeur, et elle montre que vous avez choisi en connaissance de cause. Mais attention à l'effet inverse : un risque documenté puis laissé sans suite peut se retourner contre l'entreprise, comme l'a montré la sanction de 5 M€ contre France Travail en janvier 2026 (SAN-2026-003). La seule limite absolue reste l'article 28 : si le fournisseur est sous-traitant et que ses conditions n'ont pas les mentions requises, aucune acceptation de risque ne comble ce manque.

ESN et prestataires IT : vous êtes aussi le fournisseur de quelqu'un

Une ESN occupe les deux places. Elle achète de l'hébergement, de la licence et des freelances, et elle vend à des clients qui lui transmettent leurs propres annexes de sécurité. C'est là que les contrats se contredisent, un risque propre aux ESN, agences web et prestataires IT.

Le scénario du délai impossible

Prenons une ESN de 120 salariés, scénario type. Elle signe avec un client du secteur industriel un engagement de notification sous 24 heures. Son hébergeur, lui, s'engage sur 72 heures, et son freelance sur rien. Si l'incident survient chez l'hébergeur, l'ESN peut être en retard avant même d'avoir l'information. Elle assume alors une promesse qu'aucun de ses fournisseurs ne lui permet de tenir. La règle : ne jamais vendre un délai, un niveau de service ou un droit d'audit plus fort que ce que vos propres fournisseurs vous garantissent. Le même raisonnement s'applique à la suppression et à la localisation.

NIS 2 et DORA arrivent par vos clients

La directive NIS 2 vise la sécurité de la chaîne d'approvisionnement et les relations avec les fournisseurs directs (art. 21, § 2, d et § 3), et son considérant 85 encourage l'intégration de mesures de cybersécurité dans les contrats. Au 2 novembre 2026, la France ne l'a pas transposée : le projet de loi, adopté par le Sénat le 12 mars 2025, n'a pas été voté par l'Assemblée nationale. L'application concrète du règlement 2024/2690 en France reste donc à apprécier au cas par cas. Des clients peuvent néanmoins anticiper : la demande arrive alors par questionnaire ou par avenant, avant même la loi.

Le secteur financier est déjà engagé. Depuis le 17 janvier 2025, DORA impose aux entités financières des mentions contractuelles précises (règlement 2022/2554, art. 30) : description des services, lieux, restitution, niveaux de service, et droits d'audit renforcés pour les fonctions critiques ou importantes. Si vous fournissez des services TIC à une banque ou à un assureur soumis à DORA, ces mentions ne se négocient pas.

L'annexe imposée par un grand client

Un grand compte peut vous adresser une annexe de sécurité sans plafond ni réciprocité. Vérifiez trois points : pouvez-vous l'exécuter, vos fournisseurs vous suivent-ils, votre assurance couvre-t-elle l'engagement ? Soumettre ou tenter de soumettre un partenaire à des obligations créant un déséquilibre significatif engage la responsabilité de son auteur (Code de commerce, art. L442-1, I, 2°). L'argument s'utilise avec prudence : il suppose de démontrer ce déséquilibre, et il sert surtout pendant la négociation.

Remettre à niveau vos contrats fournisseurs avant l'audit de certification

Un modèle de contrat se corrige vite. Le stock, non. Reprenons l'ESN du scénario, avec 60 fournisseurs actifs, dont une douzaine de critiques. Inutile de tout renégocier : l'ordre compte davantage que l'exhaustivité.

1. Inventaire. Rapprocher la comptabilité fournisseurs, les outils SaaS réellement utilisés et le registre des traitements. Les outils souscrits par carte bancaire peuvent échapper aux achats.
2. Classement. Appliquer les trois questions de criticité et noter le résultat dans le registre.
3. Revue. Passer les fournisseurs critiques à la grille, en notant pour chaque clause : conforme, écart, ou sans objet avec son motif.
4. Traitement. Avenant ou annexe de sécurité quand le fournisseur accepte, écart documenté et mesure compensatoire quand il refuse.
5. Preuve. Conserver les versions signées, les rapports reçus et les comptes rendus de revue dans un dossier que l'auditeur peut parcourir.

Commencez tôt, car ce chantier dépend de tiers. Selon la description publiée par un organisme certificateur, en cas de non-conformité, le certificat n'est délivré qu'une fois les actions correctives acceptées ou vérifiées par l'équipe d'audit. Un contrat encore en négociation à cette date peut retarder tout le projet si l'écart est retenu. Pour les nouveaux contrats, intégrez la grille dès l'achat : c'est moins coûteux qu'un avenant, et le levier de négociation est au plus haut avant la signature.

Préparer vos contrats, puis l'audit

Un audit ISO 27001 n'exige pas des contrats parfaits. Il exige des contrats cohérents avec vos risques, des écarts assumés et des preuves. Le RGPD et, pour certains acteurs, DORA ajoutent des mentions qu'aucune analyse de risques ne peut écarter. Je relis ces contrats avec vos équipes et votre consultant ISO, et je lis aussi les architectures qu'ils décrivent : c'est le volet juridique de la certification ISO 27001 et ISO 42001. Je ne certifie pas. Pour faire le point sur vos fournisseurs critiques, vous pouvez échanger sur votre situation.