Votre client vous envoie un questionnaire sécurité

Un donneur d'ordre vous demande de remplir un document de trente questions sur votre cybersécurité, ou glisse une clause dans le renouvellement du contrat. Personne chez vous ne sait par où le prendre. C'est aujourd'hui la première raison pour laquelle une PME industrielle se penche sur le sujet.

Ce que votre client cherche vraiment

Il ne cherche pas à vous mettre en difficulté. Il se protège d'un risque qui le concerne directement. Une attaque qui entre par un fournisseur remonte la chaîne. Quand un équipementier est bloqué, ce sont les lignes de production de ses clients qui s'arrêtent.

Les grands groupes doivent démontrer qu'ils évaluent la sécurité de leur chaîne d'approvisionnement. Avec NIS2, cette obligation descend vers des entreprises de taille intermédiaire, qui la répercutent à leur tour sur leurs propres fournisseurs. C'est pourquoi ces questionnaires se multiplient, y compris chez des sous-traitants de trente personnes qui n'en avaient jamais reçu.

Conséquence pratique : ce questionnaire n'est pas un incident isolé. Il y en aura d'autres, d'autres clients, sous d'autres formats. Le travail fait une fois resservira.

Ce que ces questionnaires demandent

Les formats varient, les sujets beaucoup moins. On vous interrogera presque toujours sur :

• Qui est responsable de la sécurité dans votre entreprise, et à qui cette personne rend compte
• Comment sont gérés les accès et l'authentification, notamment sur vos comptes sensibles
• Vos sauvegardes : leur fréquence, leur emplacement, et si une restauration a déjà été testée
• Vos propres sous-traitants et prestataires informatiques, et les accès dont ils disposent
• Ce que vous feriez en cas d'incident, et sous quel délai vous préviendriez votre client
• Comment sont protégées les données et les plans que ce client vous confie
• La sensibilisation de vos équipes

Aucune de ces questions n'appelle une réponse technique sophistiquée. Elles appellent une réponse précise.

Le vrai problème n'est pas le document

Remplir le questionnaire prend quelques heures. Être en état d'y répondre honnêtement prend plus longtemps.

C'est en général à ce moment qu'une entreprise découvre des choses. Que les sauvegardes tournent depuis trois ans sans qu'une restauration ait jamais été tentée. Que le prestataire qui a installé les machines en 2019 a toujours un accès à distance actif. Que personne ne sait qui préviendrait le client un samedi matin.

Ces découvertes sont inconfortables et elles sont la partie utile de l'exercice. Le questionnaire est un révélateur, pas une formalité.

Que faire quand la réponse est non

C'est la question que tout le monde se pose et que personne n'ose formuler. Répondez honnêtement.

Un donneur d'ordre sérieux ne s'attend pas à ce qu'un sous-traitant de quarante personnes ait le dispositif d'un groupe coté. Ce qu'il évalue, c'est votre lucidité et votre trajectoire. Une réponse du type « pas encore en place, prévu au premier trimestre, voici la mesure intermédiaire » vaut mieux qu'un oui sans preuve.

Cocher des cases que vous ne tenez pas vous expose deux fois. À la découverte lors d'un audit fournisseur, et surtout à une déclaration contractuellement opposable après un incident. Vous auriez alors affirmé par écrit un niveau de sécurité que vous n'aviez pas.

Des réunions sans but et des cases cochées sans sens ne protègent personne. Elles créent une fausse assurance des deux côtés de la relation.

Trois erreurs courantes

Déléguer entièrement à l'informatique. La moitié des questions portent sur l'organisation, la gouvernance et les contrats, pas sur la technique. Votre prestataire informatique ne sait pas qui décide chez vous en cas de crise.

Traiter le questionnaire comme un document isolé. Le suivant arrivera dans six mois, d'un autre client, avec d'autres formulations. Ce que vous construisez pour répondre au premier doit être réutilisable.

Attendre le questionnaire suivant pour agir. Le document a mis en lumière des écarts réels. Les fermer coûte souvent moins cher que prévu, surtout quand on commence par les bons.

Ce qu'ICCForge fait dans cette situation

Nous partons du questionnaire que vous avez reçu, parce qu'il définit déjà le périmètre attendu par votre client. Nous établissons ce qui est réellement en place chez vous, ce qui manque, et ce qui se traite en premier compte tenu de vos moyens.

Vous obtenez des réponses que vous pouvez défendre, et un plan d'action daté à joindre pour les points encore ouverts. Le format est calé sur votre taille : une entreprise de dix personnes et un groupe de deux mille ne reçoivent pas le même traitement.

Le détail des offres · La méthode · Cybersécurité d'une PME industrielle · Par où commencer, et qui contacter · Évaluer le risque de vos propres fournisseurs

Questions fréquentes

Pourquoi mon client me demande-t-il ça maintenant ?

Parce qu'il doit démontrer qu'il évalue la sécurité de ses fournisseurs. NIS2 étend cette obligation à des entreprises qui la répercutent ensuite sur leur chaîne.

Puis-je répondre non à certaines questions ?

Oui, en indiquant ce qui est prévu et sous quel délai. Une réponse fausse peut vous être opposée contractuellement après un incident.

Faut-il être certifié ISO 27001 pour répondre ?

Non, sauf exigence explicite de votre client. La plupart des questionnaires évaluent des pratiques, pas des certificats.

Combien de temps faut-il ?

Quelques heures pour remplir le document. Plus longtemps pour être en état d'y répondre honnêtement, car il faut d'abord savoir ce qui est en place.