Quand votre prestataire sert aussi cent autres clients

Le 3 octobre, les données de 545 000 personnes traitées par la Région Hauts-de-France se sont retrouvées exposées. La collectivité n’a pas été attaquée. Deux de ses prestataires informatiques l’ont été.

Ce schéma revient presque chaque semaine depuis la rentrée, et il mérite mieux que le constat résigné sur la chaîne de sous-traitance. Ce qui est en jeu ici n’est pas la qualité du fournisseur, c’est le nombre de ses clients.

Un fournisseur spécialisé sert tout un secteur

Les logiciels de gestion des marchés publics, de facturation, de dématérialisation, de ressources humaines des collectivités sont fournis par une poignée d’acteurs. C’est rationnel : ces métiers sont très normés, le marché est étroit, et la mutualisation fait baisser les coûts pour tout le monde.

Elle crée aussi une forme de risque que les analyses menées localement ne voient pas. Chaque collectivité évalue son fournisseur comme s’il ne travaillait que pour elle. Elle regarde les certifications, le contrat, les engagements de service. Elle ne regarde jamais le fait que ce même fournisseur détient les données de cent autres structures comparables.

Pour un attaquant, l’arbitrage est simple. Compromettre une collectivité donne les données d’une collectivité. Compromettre son éditeur donne celles de toutes.

Deux prestataires en même temps

Le cas des Hauts-de-France ajoute un degré. Ce ne sont pas un mais deux prestataires qui ont subi une intrusion. Du point de vue de la région, l’incident est unique ; du point de vue de la gestion, il se dédouble — deux périmètres à qualifier, deux chronologies à reconstituer, deux interlocuteurs à relancer, pour une seule notification à produire et une seule communication à tenir.

Cette situation est beaucoup plus difficile à piloter qu’une compromission interne, où l’on dispose au moins de ses propres journaux. Ici, tout ce que la collectivité peut dire aux personnes concernées dépend de la vitesse et de la franchise de deux tiers.

La question qu’on ne pose pas en appel d’offres

Les grilles d’évaluation des fournisseurs sont désormais bien outillées sur la conformité : certifications, hébergement, sous-traitance, engagements de notification. Elles passent à côté d’un sujet simple à formuler.

Combien de clients ce service héberge-t-il, et comment leurs données sont-elles séparées ? Une instance dédiée par client et une base commune avec un identifiant de client dans chaque ligne ne produisent pas du tout le même incident. Dans le second cas, une erreur de filtrage ou un accès trop large donne mécaniquement accès à tout.

Deux autres questions vont avec, et elles se posent par écrit. En cas de compromission, combien d’organisations devez-vous prévenir, et selon quel ordre de priorité ? La réponse dit où vous vous situez dans la file d’attente. Et qui sont vos propres sous-traitants sur ce service ? Le maillon qui a cédé est souvent au deuxième ou au troisième rang.

Ce que ça change pour les fournisseurs du secteur public

Si vous vendez au secteur public, la situation se retourne : c’est vous, le prestataire mutualisé de quelqu’un.

Depuis que l’ANSSI publie ses points de situation — quatre-vingt-dix-neuf violations recensées depuis le 1er août dans son premier inventaire —, les incidents de la chaîne de sous-traitance deviennent visibles. La discrétion ne fait plus partie du plan de gestion de crise.

Concrètement, deux choses vont être demandées plus souvent. La capacité à démontrer la séparation entre clients, preuves à l’appui, pas sur déclaration. Et un engagement de notification chiffré en heures, avec un contact nommé qui réponde un dimanche.

Les organisations qui sauront répondre à ces deux points gagneront des marchés que d’autres perdront pour s’être contentées de joindre un certificat.

Si vous êtes du côté client

L’inventaire des fournisseurs qui détiennent vos données n’est pas un exercice de conformité, c’est la liste des endroits où votre prochain incident peut commencer. Pour les plus critiques, demandez cette année la liste de leurs sous-traitants et la description de leur cloisonnement.

Un fournisseur qui répond vite et précisément vous apprend quelque chose. Un fournisseur qui renvoie un certificat sans répondre à la question vous apprend autre chose.

Sources

• AFP, 3 octobre 2026 — exposition des données de 545 000 personnes traitées par la Région Hauts-de-France à la suite d’intrusions chez deux de ses prestataires informatiques
• ANSSI — dispositif REACTIV, premier point de situation, octobre 2026 : 99 violations de données recensées depuis le 1er août 2026
• Règlement (UE) 2016/679 (RGPD), articles 28, 33 et 34