Cyberattaque chez un fournisseur : la checklist supply chain
Quand un fournisseur ou un logisticien est paralysé par une cyberattaque, ce sont vos flux supply chain qui s'arrêtent, parfois pendant des semaines. Ce qu'il faut vérifier dans les premiers jours, et ce que le contrat doit prévoir.
L'essentiel
Quand un fournisseur ou un logisticien est paralysé par une cyberattaque, ce sont vos flux supply chain qui s'arrêtent, parfois pendant des semaines. Ce qu'il faut vérifier dans les premiers jours, et ce que le contrat doit prévoir.
Ce qui s'arrête en cascade quand un partenaire est paralysé
Une cyberattaque chez un fournisseur ou un prestataire logistique se présente rarement comme un incident informatique vu de votre supply chain ; elle se présente comme un silence. Les commandes envoyées par EDI ne reçoivent plus d'accusé, le portail fournisseur ne répond plus, les mails restent sans réponse parce que la messagerie est coupée, et il faut parfois deux jours pour comprendre que le partenaire est à l'arrêt et non simplement en retard. Chez un fournisseur, la production s'arrête parce que ses automates, sa GPAO et ses expéditions dépendent de systèmes chiffrés par le rançongiciel. Chez un transporteur ou un entrepôt sous-traité, les colis sont physiquement là mais personne ne sait plus où, parce que le WMS ou le TMS ne répond plus. L'attaque de 2017 contre Maersk reste l'exemple de référence : l'armateur a dû réinstaller des dizaines de milliers de postes et de serveurs, et a chiffré l'impact entre 250 et 300 millions de dollars dans ses publications de résultats. Des milliers de chargeurs, eux, ont perdu la trace de leurs conteneurs pendant plusieurs jours. La cascade continue chez vous : références en rupture, lignes arrêtées, clients à prévenir, et une facture qui dépend surtout de la vitesse à laquelle vous avez compris et réagi.
Les premiers jours : ce qu'il faut vérifier chez vous
La première liste se déroule dans les 72 heures, et elle regarde d'abord votre propre périmètre. Vérifier que l'attaque n'a pas rebondi chez vous par les liaisons partagées, EDI, VPN, accès fournisseur à vos portails, et couper ces liaisons le temps que votre propre équipe informatique se prononce, quitte à travailler par téléphone quelques jours. Établir un canal de communication hors de son système avec le partenaire : téléphone mobile d'un interlocuteur, adresse personnelle, messagerie de secours, parce que ses adresses professionnelles sont probablement compromises ou coupées, et se méfier de tout message inhabituel provenant de son domaine pendant la crise. Lister les commandes en cours chez lui, les stocks qu'il détient pour vous, les lots en transit dont il a la garde, et les données que vous lui avez confiées, plans, nomenclatures, prix, fichiers clients, parce qu'une attaque par rançongiciel s'accompagne souvent d'une exfiltration. Dater ensuite, référence par référence, le moment où l'arrêt de ce partenaire vous met en rupture, exactement comme pour une défaillance fournisseur classique, en gardant en tête qu'une reprise après attaque prend souvent des semaines et non des jours. Enfin, prévenir votre assureur et vérifier ce que couvre votre police, car la carence d'un fournisseur pour cause de cyberattaque n'est pas toujours incluse dans les garanties de pertes d'exploitation.
Le plan de continuité côté supply chain, pas côté informatique
Beaucoup d'ETI ont un plan de continuité informatique et croient, par extension, être couvertes contre la cyberattaque d'un partenaire, alors que ce plan répond à une attaque sur leurs propres systèmes et ne dit rien de ce qu'il faut faire quand un tiers est à l'arrêt. Le plan de continuité supply chain répond à des questions différentes. Pour chaque fournisseur ou prestataire critique, quelle solution de repli est activable en moins d'une semaine, à quel surcoût, avec quelle qualification déjà faite ? Comment continuer à passer des commandes et à recevoir des livraisons quand l'EDI est coupé, ce qui suppose d'avoir gardé la capacité de travailler avec des bons de commande envoyés autrement et des réceptions saisies manuellement ? Quel stock de couverture permet de tenir le temps d'une reprise, en particulier pour les références en single sourcing ? Et qui décide de prioriser tel client plutôt que tel autre quand la capacité de livraison est réduite ? Ce plan se construit en identifiant les dépendances numériques que la cartographie fournisseurs classique ignore : un prestataire logistique unique dont le WMS pilote toutes vos expéditions, un transitaire qui détient seul les données douanières de vos flux, un fournisseur de services cloud commun à plusieurs de vos partenaires. Il se teste au moins une fois par an sur table, parce qu'un plan de continuité que personne n'a jamais déroulé reste une intention sur papier.
Ce que le contrat doit contenir
Le contrat avec un fournisseur ou un logisticien critique est le seul levier qui existe encore le jour de l'attaque, et la plupart des contrats d'ETI ne prévoient rien sur ce sujet. La liste de ce qu'il devrait contenir tient en quelques clauses. D'abord une obligation de notification sous un délai court, 24 ou 48 heures, de tout incident de sécurité affectant les prestations ou les données que vous lui confiez. Ensuite un engagement sur un plan de continuité de sa part, avec des objectifs de reprise pour les services qui vous concernent, et le droit d'en demander la preuve, par un audit ou une certification. Puis une clause qui précise le sort de vos stocks, outillages et données en sa possession et votre droit d'y accéder ou de les récupérer pendant l'incident. Des exigences minimales de sécurité pour les liaisons entre vos systèmes, sauvegardes et comptes d'accès, avec un droit de suspendre ces liaisons sans pénalité en cas d'incident. Enfin, un traitement explicite de la cyberattaque dans les clauses de force majeure, parce qu'un fournisseur invoquera la force majeure pour s'exonérer alors qu'une attaque rendue possible par des sauvegardes absentes relève de sa négligence. Ces clauses se négocient à froid, au renouvellement, et se négocient d'autant mieux que la directive européenne NIS 2 étend les obligations de sécurité et de gestion des risques de la chaîne d'approvisionnement à un nombre croissant d'entreprises. Sa transposition et son calendrier d'application en France ont été revus à plusieurs reprises et doivent être vérifiés dans leur version en vigueur.
La liste à faire avant l'attaque : cartographier les dépendances numériques
La checklist la plus rentable est celle qui se déroule avant tout incident, et elle commence par une question simple posée pour chaque partenaire critique : si ses systèmes s'arrêtaient demain matin pour trois semaines, qu'est-ce qui s'arrête chez nous. Lister les prestataires logistiques et leurs systèmes, entrepôts sous-traités, transporteurs, transitaires, plateformes de réservation de fret. Lister les fournisseurs critiques dont la production dépend d'un système d'information vulnérable, ce que révèle en général une visite ou un questionnaire de sécurité. Lister les liaisons techniques entre vos systèmes et les leurs, EDI, API, portails, accès distants, et les données que vous leur avez confiées avec ce que leur exfiltration signifierait. Croiser cette liste avec la criticité classique, part du chiffre d'affaires, délai de remplacement, couverture de stock, désigne les cinq à dix partenaires pour lesquels un plan de repli et des clauses contractuelles s'imposent, et ceux pour lesquels un simple canal de secours suffit. Cette cartographie vieillit vite, parce que les prestataires changent d'outils et de sous-traitants sans vous prévenir, et elle mérite d'être refaite chaque année en même temps que la revue des fournisseurs.
Ce que les textes imposent, et ce qu'ils ne disent pas
Les textes, NIS 2 en tête, et les exigences des assureurs poussent les entreprises à connaître leurs dépendances et à documenter leurs plans, et cette obligation de savoir est saine. Elle ne suffit pourtant pas, parce que le jour où un logisticien est paralysé, aucune cartographie ne répond aux questions qui se posent à midi. Quelles commandes clients on livre cette semaine avec la capacité restante, quel transporteur de secours on active et à quel prix, quel stock on rapatrie physiquement de l'entrepôt bloqué, et jusqu'où on accepte de dégrader le service avant de basculer sur une solution plus coûteuse. Ces décisions doivent être rendues avec une information partielle, dans un délai court, et elles engagent des euros que le directeur supply chain doit pouvoir justifier devant sa direction. Les organisations qui traversent ce type de crise sans y laisser un trimestre sont celles qui ont préparé le cadre de ces décisions : qui décide quoi, sur quels chiffres, avec quelles options prévalidées. Elles ont aussi gardé la trace des arbitrages rendus pour ne pas repartir de zéro à l'incident suivant. La sécurité informatique du partenaire est son affaire ; la continuité de vos flux quand il tombe reste la vôtre.
Cet article part d'une conviction : la prévision parfaite n'existe pas, ce qui compte c'est la décision d'après.
- Ce qui s'arrête en cascade quand un partenaire est paralysé
- Les premiers jours : ce qu'il faut vérifier chez vous
- Le plan de continuité côté supply chain, pas côté informatique
- Ce que le contrat doit contenir
- La liste à faire avant l'attaque : cartographier les dépendances numériques
- Ce que les textes imposent, et ce qu'ils ne disent pas
Clevizio
Clevizio est la couche de décision qui se branche sur vos outils existants : elle détecte l'imprévu, simule vos options et garde la mémoire de chaque arbitrage. Découvrir comment fonctionne le copilote de décision.
Mansour Niang
CEO & cofondateur de Clevizio
Une question sur vos imprévus ? Réservez 30 minutes avec moi pour estimer ce qu'ils vous coûtent vraiment, sans engagement.
Questions fréquentes
Que faire quand un fournisseur est victime d'une cyberattaque ?
Couper d'abord les liaisons techniques partagées (EDI, VPN, accès portails) le temps de vérifier que l'attaque n'a pas rebondi chez vous. Établir ensuite un canal de communication hors de ses systèmes. Lister les commandes, stocks, lots en transit et données qu'il détient pour vous, dater référence par référence le moment où son arrêt vous met en rupture, prévenir votre assureur, et activer les solutions de repli en partant du principe qu'une reprise prend des semaines.
Un plan de continuité informatique couvre-t-il la cyberattaque d'un fournisseur ?
Non, il couvre une attaque sur vos propres systèmes. La cyberattaque d'un partenaire relève du plan de continuité supply chain : solutions de repli par fournisseur ou prestataire critique, capacité à commander et réceptionner sans EDI, stock de couverture sur les références en single sourcing, et règles de priorisation des clients quand la capacité est réduite. Ce plan se construit à partir d'une cartographie des dépendances numériques et se teste au moins une fois par an.
Quelles clauses prévoir dans un contrat fournisseur contre le risque cyber ?
Cinq clauses : notification sous 24 à 48 heures, plan de continuité avec droit d'audit, sécurité des liaisons partagées, sort de vos actifs, force majeure. Le plan de continuité doit fixer des objectifs de reprise pour les services qui vous concernent. Les exigences de sécurité sur les liaisons partagées s'accompagnent d'un droit de suspension sans pénalité. La clause sur vos stocks, outillages et données garantit votre accès pendant l'incident, et le traitement explicite de la cyberattaque dans la force majeure distingue l'aléa de la négligence.
À lire aussi
Mettez enfin un chiffre sur ce que vos imprévus vous coûtent chaque année.
Commençons par estimer ce que vos imprévus vous coûtent réellement. C'est gratuit, ça prend 30 minutes, et vous repartez avec un chiffre que personne dans votre entreprise ne connaît aujourd'hui.