Le message arrive un mardi, du service achats de votre plus gros client. En pièce jointe, un tableur de quatre-vingts questions sur votre sécurité informatique, à retourner sous quinze jours. Le contrat de l’année prochaine en dépend.
La première réaction est presque toujours la même : un mélange d’agacement et d’inquiétude, parce que la moitié des questions semble s’adresser à une entreprise dix fois plus grande. C’est une réaction compréhensible, et c’est aussi la mauvaise. Bien traité, cet exercice se retourne à votre avantage.
Pourquoi recevez-vous ce document maintenant ?
Ces questionnaires ne sortent pas d’un excès de bureaucratie. Trois mouvements convergent, et ils sont durables.
La réglementation européenne se répercute par contrat. La directive NIS2 impose aux organisations européennes qu’elle vise de maîtriser les risques liés à leur chaîne d’approvisionnement, et de faire figurer des exigences de sécurité dans leurs contrats fournisseurs. Elle ne s’applique pas à votre PME suisse, mais votre client, lui, doit démontrer qu’il vous a évalué. Le questionnaire est sa preuve. Ce mécanisme est détaillé dans notre article sur NIS2 et les PME suisses.
Les assureurs ont durci leurs conditions. Une entreprise qui souscrit une cyberassurance doit décrire son dispositif, et de plus en plus souvent celui de ses prestataires critiques. Vos réponses alimentent parfois directement le dossier d’assurance de votre client.
Les acheteurs ont été échaudés. Les attaques par la chaîne d’approvisionnement sont devenues un mode opératoire courant, et les grands donneurs d’ordre en ont fait l’expérience. Ils ne demandent plus si vous êtes sérieux, ils demandent de le documenter. Le raisonnement complet figure dans notre article sur les attaques par la chaîne d’approvisionnement.
Les thèmes qui reviennent dans presque tous ces documents
Les formats varient, du fichier maison de vingt lignes au référentiel standardisé de plusieurs centaines de questions. Les thèmes, eux, se répètent d’un document à l’autre.
| Thème | Ce qui est réellement demandé |
|---|---|
| Gouvernance | Qui est responsable de la sécurité chez vous, existe-t-il des règles écrites |
| Accès et identités | Double authentification, gestion des départs, comptes à privilèges |
| Protection des postes | Antivirus, mises à jour, chiffrement des ordinateurs portables |
| Sauvegardes | Fréquence, copie hors ligne, test de restauration |
| Incidents | Existe-t-il une procédure, dans quel délai notifiez-vous votre client |
| Sous-traitants | À qui confiez-vous des données, avec quels contrats |
| Données personnelles | Quelles données du client détenez-vous, où sont-elles hébergées |
| Continuité | Combien de temps pour reprendre l’activité après un arrêt |
Un point rassure souvent les dirigeants quand on le leur montre : ces thèmes recouvrent presque exactement les mesures décrites dans notre article sur les 10 mesures essentielles. Le questionnaire ne vous demande pas d’être une banque. Il vérifie les fondamentaux.
Faut-il cocher oui partout pour ne pas perdre le marché ?
C’est la tentation immédiate, et c’est l’erreur la plus coûteuse.
Vos réponses ne restent pas dans un tiroir. Elles sont généralement annexées au contrat, ou visées par lui, et deviennent des déclarations sur lesquelles votre client s’appuiera. Le jour où un incident survient, la première chose que fera son service juridique sera de relire ce que vous aviez affirmé.
Déclarer une sauvegarde hors site testée chaque année alors qu'elle n'existe pas ne vous fait pas gagner un marché : cela transforme un futur incident technique en manquement contractuel démontrable, avec la perte de confiance et les conséquences financières qui suivent. Un non honnête ferme rarement une porte. Un oui faux la fait claquer au pire moment.
Il existe une raison plus pratique encore. Ces questionnaires sont lus par des personnes qui en traitent des dizaines. Une PME de douze salariés qui répond favorablement à cent pour cent des questions, y compris sur la surveillance permanente et les tests d’intrusion trimestriels, ne paraît pas exemplaire. Elle paraît peu fiable.
Comment répondre honnêtement sans se disqualifier ?
La bonne réponse à une lacune n’est pas un non sec. C’est une réponse en trois temps, que les évaluateurs reconnaissent immédiatement et qui les rassure.
Plutôt que « non », écrivez : « Pas encore en place sous cette forme. Nos accès distants sont aujourd'hui limités à trois personnes nommées et la double authentification y est active. Le déploiement complet est planifié avec notre prestataire pour le premier trimestre. » Vous démontrez trois choses en trois lignes : vous avez compris la question, vous connaissez votre situation réelle, et vous avez un plan. C'est exactement ce que cherche l'évaluateur.
Quelques principes complètent cette formule. Répondez à la question posée, pas à celle que vous auriez préféré. Si une question ne s’applique pas à votre activité, écrivez-le et dites pourquoi, plutôt que de laisser une case vide. Faites relire l’ensemble par votre prestataire informatique pour les éléments techniques, mais gardez la main sur les questions d’organisation, de contrat et de données : elles engagent la direction.
Deux sous-traitants romands reçoivent le même questionnaire d'un industriel allemand. Le premier coche oui sur les soixante-douze questions en une heure. Le second répond oui à quarante-cinq, non à dix-huit avec une échéance pour chacune, et sans objet à neuf, avec une justification. C'est le second qui obtient le contrat, parce que son dossier est le seul crédible et qu'il ne fait courir aucun risque juridique à l'acheteur. Le premier reçoit une demande de justificatifs à laquelle il ne peut pas répondre.
Ce qu’il ne faut jamais faire
Quatre erreurs reviennent, et elles se corrigent facilement une fois nommées.
Mentir ou embellir. Le point a été traité, il mérite d’être répété : c’est le seul risque réellement grave de tout l’exercice.
Renvoyer le document sans le lire. Certains questionnaires contiennent des engagements glissés dans les questions, notamment des délais de notification d’incident de vingt-quatre ou quarante-huit heures, ou un droit d’audit de vos locaux. Vous les acceptez en les cochant.
Déléguer entièrement à un tiers. Confier la totalité de la réponse à votre informaticien ou à un consultant, sans relecture, vous fait signer des affirmations que vous ne pouvez ni expliquer ni tenir lors de l’entretien de suivi.
Traiter chaque questionnaire comme un événement isolé. C’est l’erreur la plus répandue et la plus fatigante : repartir de zéro à chaque demande, en cherchant les mêmes informations dans les mêmes courriels de l’an dernier.
Comment en faire un avantage commercial ?
Renversez la perspective. Votre client vient de vous fournir gratuitement la liste exacte de ce qu’il considère comme important, et de ce que vos concurrents vont devoir démontrer aussi.
Deux usages en découlent. D’abord, le questionnaire devient votre feuille de route : les questions auxquelles vous répondez non, classées par effort et par importance, forment un plan d’action bien plus pertinent qu’une liste générique trouvée en ligne. Ensuite, la capacité à répondre vite et proprement devient un argument. Dans un appel d’offres où deux fournisseurs se valent, celui qui transmet un dossier de sécurité clair en quarante-huit heures se distingue immédiatement de celui qui demande un report de délai.
Certaines PME romandes en ont fait un élément de leur argumentaire commercial, en joignant spontanément une note de deux pages sur leur dispositif de sécurité aux offres destinées aux grands comptes.
Le dossier à préparer une fois pour toutes
L’objectif est de constituer un dossier réutilisable, que vous mettez à jour deux fois par an plutôt que de le reconstruire à chaque demande. Sept éléments suffisent.
- Une fiche d’identité de votre système d’information. Vos outils principaux, vos hébergeurs, où sont vos données et dans quel pays.
- La liste de vos prestataires critiques, avec ce à quoi chacun accède.
- Le nom du responsable de la sécurité chez vous, même si c’est le directeur lui-même. Une case sans nom inquiète toujours.
- Votre charte informatique et la preuve qu’elle a été portée à la connaissance du personnel.
- Votre dispositif de sauvegarde et la date du dernier test de restauration, décrit dans la règle 3-2-1.
- Votre procédure d’incident, y compris le délai dans lequel vous vous engagez à prévenir un client concerné. Une page suffit, comme l’explique notre article sur le plan de réponse aux incidents.
- Votre traitement des données personnelles : quelles données de vos clients vous détenez, sur quelle base et où elles sont hébergées, en cohérence avec vos obligations sous la nLPD.
Constituer ce dossier prend quelques jours la première fois. Il sert ensuite pour tous vos clients, pour votre assureur, et le jour où un incident survient.
Reste une limite qu’il faut énoncer clairement. Remplir honnêtement un questionnaire vous dit ce que vous déclarez, pas ce qui protège réellement votre entreprise. Les deux questions sont différentes. Une sauvegarde déclarée peut échouer en silence, un accès prestataire oublié peut rester ouvert des années, et aucun formulaire ne détecte cela. Vérifier que vos réponses correspondent à la réalité demande un contrôle par quelqu’un qui sait où regarder, et cette vérification a autant de valeur pour vous que pour votre client.
Pour une première mesure de votre situation avant de vous lancer, le check-up cyber couvre la plupart des thèmes que vous retrouverez dans ces documents. Les autres exigences qui peuvent atteindre une PME suisse sont regroupées dans le pilier Réglementations.