Pourquoi vous recevez ce questionnaire
Si votre entreprise fournit quelque chose à une organisation relevant de la directive NIS2 — une entité essentielle ou importante, comme une entreprise énergétique, un hôpital, une grande entreprise de transport ou une infrastructure numérique — alors ce client doit évaluer ses propres fournisseurs. La directive oblige en effet ce client à identifier les risques dans sa chaîne d'approvisionnement, pas seulement ses propres systèmes. Ceci est décrit dans ce qu'on appelle souvent les mesures de gestion des risques, que l'on retrouve à l'article 21 de la directive. Le questionnaire que vous recevez est la conséquence pratique : votre client doit pouvoir démontrer qu'il sait qui sont ses fournisseurs et comment ils gèrent la sécurité.
Il est important de noter que recevoir un questionnaire ne signifie pas automatiquement que vous relevez vous-même de la directive NIS2. La plupart des entreprises qui reçoivent une telle liste sont ce qu'on appelle des fournisseurs affectés par la chaîne d'approvisionnement — ils ne relèvent pas eux-mêmes de la loi, mais y sont confrontés par un client. Vous pouvez vérifier si c'est le cas pour votre organisation et quel type d'affectation exactement cela représente avec une vérification rapide qui définit votre situation.
Ce qu'on y trouve généralement
Les questionnaires actuellement en circulation varient considérablement selon celui qui les prépare — il n'existe pas de format obligatoire en vertu de la loi. Néanmoins, certains sujets reviennent presque toujours. Des questions sur la personne responsable de la sécurité de l'information au sein de votre organisation, sur votre politique de gestion des incidents, sur votre contrôle d'accès aux systèmes, sur la formation des employés, et sur vos propres exigences envers vos fournisseurs. Certaines listes demandent également des certifications, des incidents antérieurs, ou comment vous gérez les mises à jour et les plans de remédiation.
La logique sous-jacente est toujours la même : le client cherche à comprendre les risques qui pourraient lui parvenir via votre fourniture. Ce n'est pas une méfiance envers votre entreprise spécifiquement, mais une obligation que le client doit respecter. Si vous souhaitez comprendre les dix mesures qui servent de base à cela, vous trouverez cette explication dans l'aperçu des sujets selon votre situation.
Ce qu'une réponse utile implique
Une bonne réponse à un questionnaire de sécurité n'est pas nécessairement une réponse où vous cochez partout « oui ». Les autorités de surveillance et les clients regardent généralement la cohérence : vos réponses correspondent-elles à ce que vous faites réellement, et pouvez-vous le justifier ? Une réponse vague ou trop optimiste soulève à long terme plus de questions qu'une réponse honnête qui signale un point d'amélioration assorti d'un calendrier.
Il est utile d'avoir trois choses claires pour chaque question : la situation actuelle, qui au sein de votre organisation peut le confirmer, et quel document justificatif l'accompagne — une politique, une capture d'écran d'un paramètre, un aperçu de formation. Les entreprises qui n'ont pas à rechercher à nouveau ces trois points pour chaque question, mais les ont déjà documentés dans un registre à jour, peuvent généralement remplir un questionnaire en une heure au lieu de jours. C'est précisément l'objet d'un dossier avec statut, document justificatif et propriétaire par mesure.
Ce que vous n'avez pas besoin de faire
Il est bon de savoir que le remplissage et l'envoi de ce questionnaire restent votre propre responsabilité — un service peut vous aider à préparer et structurer les réponses, mais ne doit jamais soumettre en votre nom à un client ou à une autorité. De même, un audit, un test de pénétration ou une certification est différent du remplissage d'un questionnaire ; cela reste le travail de parties spécialisées, si un client le demande spécifiquement.
Si vous doutez que les questions que vous recevez soient raisonnables par rapport à votre taille et votre rôle, il est préférable d'en discuter directement avec le client, éventuellement avec un juriste si les exigences sont contractuellement fixées. Secria décrit ce que disent la directive et la législation nationale, mais ne juge pas les contrats individuels.
Aller plus loin
Si vous souhaitez d'abord savoir d'où provient cette information et comment elle est maintenue, lisez-le sur la page sur le fonctionnement de la plateforme. Si vous n'avez pas encore une image claire de votre propre position dans la chaîne d'approvisionnement, commencez par le contrôle gratuit — celui-ci vous donne en quelques questions une indication et une étape logique suivante, sans que vous ayez besoin d'un compte pour cela.