Questionnaire de sécurité d'un client : que devez-vous en faire ?

## Pourquoi vous recevez ce questionnaire Si votre entreprise fournit quelque chose à une organisation soumise à la directive NIS2 — une entité essentielle ou importante, par exemple des entreprises énergétiques, des hôpitaux, de grandes entreprises de transport ou des infrastructures numériques — alors ce client doit évaluer ses propres fournisseurs. La directive oblige en effet ce client à cartographier les risques dans sa chaîne d'approvisionnement, non seulement ses propres systèmes. Cela est décrit dans ce qu'on appelle souvent la zorgplicht, qui se trouve à l'article 21 de la directive. Le questionnaire que vous recevez en est la conséquence pratique : votre client doit pouvoir démontrer qu'il sait qui sont ses fournisseurs et comment ceux-ci gèrent la sécurité. Il est important de comprendre que recevoir un questionnaire ne signifie pas automatiquement que vous êtes vous-même soumis à la directive NIS2. La plupart des entreprises qui reçoivent une telle liste sont ce qu'on appelle keten-geraakt — elles ne relèvent pas elles-mêmes de la loi, mais y sont confrontées via un client. Vous pouvez vérifier si c'est le cas pour votre organisation et quel type de geraaktheid c'est précisément avec [[LINK:/nis2-check|une brève vérification qui cartographie votre situation]]. ## Ce qu'il y a généralement dedans Les questionnaires actuellement en circulation diffèrent fortement selon leur auteur — il n'y a pas de format obligatoire imposé par la loi. Néanmoins, certains sujets reviennent presque toujours. Des questions sur qui, au sein de votre organisation, est responsable de la sécurité de l'information, si vous avez une politique de gestion des incidents, comment vous réglez l'accès aux systèmes, si les salariés reçoivent une formation, et si vous posez vous-même des exigences à vos propres fournisseurs. Certaines listes demandent également des certifications, des incidents antérieurs, ou comment vous gérez les mises à jour et les plans de remédiation. L'idée sous-jacente est toujours la même : le client essaie de se faire une image des risques qui pourraient lui parvenir via votre fourniture. Ce n'est pas une méfiance envers votre entreprise en particulier, mais une obligation que le client doit lui-même respecter. Si vous souhaitez comprendre quelles dix mesures servent de base à cela, vous trouverez cette explication dans [[LINK:/onderwerpen|l'aperçu des sujets par situation]]. ## Ce qu'une réponse utile exige Une bonne réponse à un questionnaire de sécurité n'est pas nécessairement une réponse où vous répondez « oui » partout. Les autorités de surveillance et les clients regardent généralement la cohérence : vos réponses correspondent-elles à ce que vous faites réellement, et pouvez-vous le justifier ? Une réponse vague ou trop optimiste génère à long terme plus de questions qu'une réponse honnête qui identifie un point à améliorer avec un calendrier. Cela aide d'avoir trois choses claires pour chaque question : la situation actuelle, qui au sein de votre organisation peut le confirmer, et quel document de justification s'y rapporte — une politique, une capture d'écran d'un paramètre, un aperçu des formations. Les entreprises qui n'ont pas besoin de rechercher ces trois points à nouveau pour chaque question, mais les ont déjà documentés dans un aperçu en cours, peuvent généralement remplir un questionnaire en une heure au lieu de jours. C'est exactement ce à quoi sert un dossier avec statut, document de justification et propriétaire par mesure. ## Ce que vous n'avez pas à faire Il est bon de savoir que le remplissage et l'envoi de ce questionnaire reste votre propre responsabilité — un service peut vous aider à préparer et structurer vos réponses, mais ne doit jamais soumettre en votre nom auprès d'un client ou d'une autorité. Un audit, un pentest ou une certification est également quelque chose de différent que le remplissage d'un questionnaire ; cela reste le travail de parties spécialisées, si un client demande spécifiquement. Si vous doutez que les questions que vous recevez soient raisonnables par rapport à votre taille et votre rôle, c'est une conversation que vous feriez mieux de mener directement avec le client, éventuellement avec un juriste si les exigences sont formalisées contractuellement. Secria décrit ce que la directive et la législation nationale disent, mais ne juge pas les contrats individuels. ## Aller plus loin Si vous souhaitez d'abord savoir d'où provient cette information et comment elle est mise à jour, lisez cela sur [[LINK:/hoe-het-werkt|la page sur la méthode de travail de la plateforme]]. Si vous n'avez pas encore d'image de votre propre position dans la chaîne, commencez par la vérification gratuite — elle vous donne en quelques questions une indication et une étape logique suivante, sans avoir besoin d'un compte.