Évaluer la cybersécurité d'un prestataire : certification, évaluation notée, questionnaire, ce que chacune prouve

En bref : quand vous confiez des identités, des justificatifs et des données bancaires à un prestataire, vous héritez de son niveau de sécurité. Trois types de preuves circulent pour l'établir, et elles ne disent pas du tout la même chose. Une certification comme ISO 27001 atteste qu'un système de management a été audité, mais ne donne aucune mesure de niveau et dépend entièrement de son périmètre. Une évaluation notée comme CyberVadis produit un score sur 1 000 et une granularité par domaine, mais ce n'est pas un audit de certification. Un questionnaire déclaratif, lui, ne prouve rien par lui-même. Le réflexe utile n'est pas de collectionner les logos, c'est de poser six questions précises.

‍

Pourquoi la sécurité de votre prestataire est votre problème

‍

Le raisonnement est devenu banal mais il reste exact : un prestataire mal protégé devient votre point faible. Si votre fournisseur de vérification d'identité subit une fuite, ce sont les pièces d'identité de vos clients qui circulent, pas les siennes.

‍

Trois cadres transforment ce constat en obligation.

‍

Le RGPD, qui fait du sous-traitant un maillon dont le responsable de traitement doit s'assurer qu'il présente des garanties suffisantes. Le contrat ne suffit pas : il faut pouvoir montrer sur quoi repose cette assurance.

‍

DORA, pour le secteur financier et ses fournisseurs, qui impose d'encadrer contractuellement et de surveiller les prestataires de services informatiques, en particulier ceux qui supportent des fonctions critiques. Notre article sur la résilience opérationnelle numérique détaille ce que cela recouvre.

‍

Le devoir de vigilance et, plus largement, la connaissance de vos fournisseurs, qui relève de la même logique que le Know Your Supplier : vérifier avant de faire confiance, puis continuer à vérifier.

‍

Dans les trois cas, l'acheteur doit produire une preuve. Reste à savoir laquelle, et ce qu'elle vaut.

‍

Les 3 familles de preuves, et ce qu'elles établissent

‍

La certification

‍

Une certification comme ISO 27001 atteste qu'un organisme indépendant a audité un système de management de la sécurité de l'information et l'a jugé conforme à la norme. C'est une preuve forte, parce qu'elle est externe et qu'elle se revérifie périodiquement.

‍

Elle a deux limites que l'on oublie souvent.

‍

Elle est binaire. Une entreprise est certifiée ou ne l'est pas. La certification ne dit pas si elle est excellente ou tout juste conforme, ni où sont ses points faibles.

‍

Elle dépend de son périmètre. Le certificat comporte une déclaration de périmètre, et ce périmètre peut être étroit : un seul site, une seule filiale, un seul service. Un prestataire peut présenter un certificat parfaitement authentique qui ne couvre pas le produit que vous achetez. C'est la vérification la plus rentable à faire, et la plus rarement faite.

‍

L'évaluation notée

‍

Une évaluation notée, comme celle réalisée par CyberVadis, produit un score chiffré et une décomposition par domaine. La méthode s'organise autour de quatre fonctions : Identify, Protect, Detect, React. Identifier les risques et les actifs, les protéger, détecter les incidents, être capable d'y réagir. Chaque fonction est notée séparément, puis pondérée dans un score global sur 1 000, assorti d'un niveau de maturité allant de insuffisant à mature.

‍

Son intérêt est exactement l'inverse de celui de la certification : elle est granulaire et comparable. Elle vous dit non seulement qu'un prestataire est sérieux, mais sur quoi il l'est moins. Vous pouvez comparer deux fournisseurs sur la même échelle, ce qu'une certification ne permet pas.

‍

Depuis le 1er janvier 2026, le barème des médailles CyberVadis est le suivant :

‍

• Platinum : de 950 à 1 000
• Gold : de 900 à 949
• Silver : de 800 à 899
• Bronze : de 700 à 799

‍

En dessous de 700, il n'y a pas de médaille, seulement une attestation de participation. Un prestataire qui met en avant un simple badge de participation ne communique donc pas un résultat, il communique le fait d'avoir répondu.

‍

Sa limite est symétrique : ce n'est pas un audit de certification au sens de l'ISO. Une évaluation notée mesure une maturité déclarée puis vérifiée sur pièces, et la qualité du résultat dépend des preuves fournies. Elle complète une certification, elle ne la remplace pas.

‍

Le questionnaire déclaratif

‍

C'est le document que votre prestataire remplit lui-même, souvent un tableur de 200 lignes. Il a une utilité réelle : poser des questions spécifiques à votre contexte, que ni une norme ni une évaluation générique ne couvrent.

‍

Mais il ne prouve rien par lui-même. Un questionnaire déclaratif sans pièce justificative attachée à chaque réponse est une déclaration d'intention mise en forme. Sa valeur tient entièrement aux documents annexés : politique de sécurité, rapport de test d'intrusion, plan de continuité, schéma d'hébergement, liste des sous-traitants.

‍

Certification ou évaluation : la bonne lecture

‍

La question n'est pas de choisir. Les deux répondent à des interrogations différentes, et un acheteur averti utilise les deux.

‍

• La certification répond à « ce prestataire est-il structuré ? » Elle prouve l'existence d'une démarche pilotée, documentée et auditée. Elle ne hiérarchise rien.
• L'évaluation notée répond à « à quel niveau, et sur quoi ? » Elle hiérarchise et permet la comparaison. Elle n'a pas la valeur normative d'un certificat.
• Le questionnaire répond à « et pour mon cas précis ? » Il couvre vos spécificités. Il n'apporte aucune garantie externe.

‍

Le réflexe à éviter est le plus répandu : traiter ces preuves comme des logos interchangeables à cocher dans un tableau fournisseurs. Un logo ne se lit pas, un périmètre et un score se lisent.

‍

Les 6 questions à poser avant de signer

‍

Elles tiennent en quelques lignes et elles éliminent l'essentiel du flou.

‍

1. Quel est le périmètre exact de la certification ? Demandez le certificat lui-même, pas le logo. Vérifiez que le service que vous achetez y figure, et pas seulement la maison mère.

‍

2. De quand date la preuve, et sur quelle version de la norme ? Une certification ISO 27001 à jour porte sur la version 2022. Une évaluation de cybersécurité vieille de 3 ans ne dit rien de l'état actuel.

‍

3. Où sont hébergées les données, et sous quelle juridiction ? La localisation physique et le droit applicable à l'hébergeur sont deux questions distinctes, et les deux comptent.

‍

4. Quelle est la chaîne de sous-traitance ? Votre prestataire s'appuie lui-même sur des tiers. Demandez la liste, et ce qui leur est confié. C'est là que les périmètres se perdent.

‍

5. Quel est le processus de notification d'incident ? Sous quel délai êtes-vous prévenu, par quel canal, avec quel niveau de détail ? Un engagement contractuel chiffré vaut mieux qu'une intention.

‍

6. Que montre la décomposition du score, pas seulement le score ? Sur une évaluation notée, un score global flatteur peut masquer une fonction faible. La capacité de réaction est souvent la moins bien dotée.

‍

Cette démarche n'est pas différente d'une approche par les risques appliquée à vos fournisseurs : l'intensité du contrôle se calibre sur la sensibilité de ce que vous leur confiez. Un outil qui traite des pièces d'identité et des données bancaires n'appelle pas le même niveau d'exigence qu'un outil de gestion de notes de frais.

‍

Où en est Meelo

‍

Appliquer à nous-mêmes ce que nous demandons aux autres suppose de donner des éléments vérifiables plutôt qu'un discours.

‍

Meelo a obtenu 930 sur 1 000 à son évaluation CyberVadis, ce qui correspond à la médaille Gold. Cette évaluation porte sur les quatre fonctions décrites plus haut : identification des risques, protection, détection et réaction.

‍

C'est une note attribuée par un tiers, et c'est précisément ce que nous cherchions : une mesure externe plutôt qu'une affirmation interne. Nous préférons le dire pour ce que c'est, une évaluation notée, et non une certification, parce que la confusion entre les deux est exactement ce que cet article cherche à dissiper.

‍

Sur le reste, les éléments sont les suivants : les données sont hébergées en France, chiffrées, les accès sont contrôlés, et chaque décision de vérification d'identité, de fraude ou de solvabilité est tracée et auditable. La démarche de certification ISO 27701, l'extension de l'ISO 27001 dédiée à la protection des données personnelles, est engagée. Nous avons retenu cette norme plutôt qu'une autre parce qu'elle porte sur ce que nos traitements manipulent réellement : des identités, des justificatifs et des données personnelles.

‍

En conclusion

‍

La sécurité d'un prestataire ne se démontre pas par un logo, et ne se vérifie pas en cochant une case. Une certification prouve qu'une démarche existe et a été auditée, sans dire à quel niveau. Une évaluation notée dit le niveau et le détaille par domaine, sans avoir la portée d'un certificat. Un questionnaire couvre vos spécificités et ne prouve rien tout seul.

‍

Les trois se complètent, et aucune ne dispense de lire le périmètre, la date et le détail. Si vous ne deviez retenir qu'une question de cet article, retenez la première : demandez le certificat, pas le logo.

‍

FAQ

‍

Quelle est la différence entre une certification ISO 27001 et une évaluation CyberVadis ?

‍

La certification ISO 27001 est délivrée par un organisme accrédité après un audit, et elle est binaire : l'entreprise est conforme ou non, sur un périmètre déclaré. Une évaluation CyberVadis produit un score sur 1 000 et une décomposition par domaine, ce qui permet de mesurer un niveau et de comparer des prestataires entre eux. La première a une portée normative, la seconde une portée comparative. Elles se complètent.

‍

Que signifie un score CyberVadis de 930 sur 1 000 ?

‍

Il correspond à la médaille Gold, dont le palier va de 900 à 949 depuis le 1er janvier 2026. Au-dessus se trouve Platinum, à partir de 950. En dessous, Silver à partir de 800 et Bronze à partir de 700. Sous 700, aucune médaille n'est attribuée.

‍

Quelles sont les 4 fonctions évaluées par CyberVadis ?

‍

Identify, Protect, Detect et React : l'identification des risques et des actifs, leur protection, la détection des incidents et la capacité à y réagir. Chaque fonction reçoit sa propre note, puis l'ensemble est pondéré dans un score global sur 1 000 assorti d'un niveau de maturité.

‍

Un certificat ISO 27001 couvre-t-il toute l'entreprise ?

‍

Pas nécessairement, et c'est le point le plus souvent négligé. Chaque certificat comporte une déclaration de périmètre qui peut se limiter à un site, une filiale ou un service. Il faut donc vérifier que le produit que vous achetez entre bien dans ce périmètre, en demandant le certificat et non le logo.

‍

Un questionnaire sécurité fournisseur suffit-il ?

‍

Non, pas seul. Il est utile pour couvrir vos exigences propres, que les référentiels génériques ne traitent pas, mais ses réponses sont déclaratives. Sa valeur dépend des pièces jointes : politique de sécurité, rapport de test d'intrusion, plan de continuité, schéma d'hébergement, liste des sous-traitants.

‍

Que demande DORA sur la sécurité des prestataires ?

‍

DORA impose aux entités financières d'encadrer contractuellement et de surveiller leurs prestataires de services informatiques, avec des exigences renforcées pour ceux qui soutiennent des fonctions critiques ou importantes. L'obligation porte sur la maîtrise du risque lié aux tiers, ce qui suppose de documenter la preuve sur laquelle repose la confiance accordée.

‍

Meelo est-il certifié ISO 27001 ?

‍

Non. Meelo a obtenu 930 sur 1 000 à son évaluation CyberVadis, soit la médaille Gold, ce qui est une évaluation notée par un tiers et non une certification. La démarche de certification ISO 27701, l'extension de l'ISO 27001 consacrée à la protection des données personnelles, est engagée. Les données sont hébergées en France, chiffrées, les accès contrôlés, et chaque décision est tracée et auditable.

‍

Sources : documentation CyberVadis sur l'échelle de notation, les badges et les médailles ; ISO/IEC 27001:2022 et ISO/IEC 27701, Organisation internationale de normalisation ; règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA) ; règlement général sur la protection des données.