Vous venez de terminer le premier questionnaire de sécurité d'un client. Des heures passées à chercher qui est responsable du pare-feu, quelle politique de mot de passe vous appliquez réellement, et s'il existe ou non une procédure de sauvegarde documentée. Puis, trois mois plus tard, un deuxième client arrive avec une liste comparable, et on a l'impression de recommencer de zéro. Ce n'est pas nécessaire : la différence entre le premier et le deuxième questionnaire ne réside pas dans la vitesse à laquelle vous tapez, mais dans le fait que vous ayez ou non consigné quelque chose la première fois que vous puissiez relire.
Les questionnaires de sécurité de différents clients se chevauchent fortement. Une entreprise d'installation qui approvisionne un gestionnaire de réseau énergétique et un établissement de soins reçoit des questions identiques à quatre-vingts pour cent : y a-t-il un responsable de la sécurité de l'information, comment gérez-vous l'accès aux systèmes, que faites-vous en cas d'incident, à quelle fréquence testez-vous les sauvegardes. La formulation diffère selon le client, mais la question sous-jacente ne change pas. Celui qui ne met la réponse que dans un e-mail à ce client, doit la chercher à nouveau la deuxième fois. Celui qui la consigne comme partie d'un dossier la copie et adapte la formulation.
Ce qui change réellement la deuxième fois
Le cœur de chaque questionnaire — quelles mesures existent, qui en est responsable, quel document justificatif s'y rattache — change peu d'un client à l'autre. Ce qui diffère, c'est la formulation de la question : un client demande « contrôle d'accès », un autre « gestion des identités et des accès », et un troisième veut une réponse oui/non là où le premier en demandait une explication de trois phrases. C'est précisément la partie qui ne doit pas prendre beaucoup de temps si les informations sous-jacentes sont déjà en ordre. Vous reformulez l'énoncé, pas le contenu.
Il y a une exception importante : si quelque chose a changé dans votre organisation entre le premier et le deuxième questionnaire — un nouveau fournisseur, un autre système de sauvegarde, un responsable différent — c'est le moment de mettre à jour le dossier, non le questionnaire lui-même. Un dossier qui ne suit pas la réalité entraînera à nouveau des retards avec le troisième ou le quatrième client, car vous devrez alors vérifier ce qui est encore exact et ce qui ne l'est pas.
La différence entre répondre à un questionnaire et tenir un dossier
Un questionnaire est un instantané pour un client donné. Un dossier est un aperçu vivant des mesures que votre organisation a déjà mises en place, indépendamment de qui en fait la demande : quel est le statut de chaque mesure, quel document justificatif s'y rattache, et qui au sein de l'organisation en est responsable. Dès que cet aperçu existe, chaque questionnaire qui arrive est essentiellement une exportation dans un ordre différent. examiner les dix mesures de diligence raisonnable selon la situation donne une image des éléments qui y reviennent généralement, même si votre organisation ne relève pas directement des obligations NIS2 mais est concernée par celles-ci via un client.
C'est également d'où vient le gain de temps pour les organisations qui ne sont pas elles-mêmes assujetties — le grand groupe de PME fournisseurs qui sont concernées par la diligence raisonnable de leur client. Elles n'ont pas besoin de mettre en œuvre une loi, mais doivent à plusieurs reprises démontrer que les éléments fondamentaux sont en place. Celui qui répond la première fois par un simple e-mail fera le même travail avec le deuxième client. Celui qui l'enregistre dans un dossier voit le travail diminuer pour chaque client supplémentaire au lieu de rester identique.
Où se situe la limite
Un dossier et les réponses préparées qui en découlement ne se substituent pas à l'évaluation de l'acheteur, et ils ne garantissent pas que le prochain questionnaire de sécurité sera traité sans questions supplémentaires — chaque acheteur évalue lui-même ce qui lui suffit. Un dossier ne remplace pas non plus un audit, un test de pénétration ou une certification ; cela reste le travail de parties spécialisées. Ce qu'il fait, en revanche, c'est de tenir prête la question récurrente « comment cela est-il organisé chez vous », afin que vous n'ayez pas à la résoudre à nouveau chaque fois.
Que votre organisation soit impactée par un acheteur ou qu'elle soit elle-même soumise à la Loi sur la cybersécurité, cela peut être établi en quelques questions via la vérification NIS2 qui fournit une indication en quelques minutes. Cette vérification est gratuite et peut être effectuée sans compte, tout comme l'explication par sujet dans la base de connaissances. Le dossier lui-même, avec le statut de chaque mesure, la preuve et les réponses préparées pour le prochain questionnaire, fait partie de l'abonnement — vous pouvez voir exactement ce qui y est inclus ici.
Quiconque souhaite savoir d'où proviennent les informations sur la plateforme et comment elles sont mises à jour peut le lire sur la page qui explique l'origine des informations. Pour votre situation particulière — quelles questions un acheteur spécifique est autorisé à poser et jusqu'où il peut aller — il est recommandé en cas de doute de consulter un avocat ou l'autorité de contrôle compétente ; le dossier prépare, il n'évalue pas à votre place.
Commencez par la question de la position réelle de votre organisation : la vérification NIS2 vous donne une indication en quelques minutes, sans que vous ayez besoin d'un compte.