Un grand compte vous envoie un questionnaire de sécurité ? Comment y répondre

Le questionnaire de sécurité fournisseur est la liste de questions qu’un grand compte envoie à un prestataire avant de signer ou de renouveler un contrat. Il vérifie que vous ne deviendrez pas la porte d’entrée vers ses systèmes ou ses données : qui accède à quoi, comment vos ordinateurs sont protégés, où se trouvent vos sauvegardes et ce qui se passe en cas d’incident.

Le recevoir est plutôt bon signe : un acheteur l’envoie rarement à un fournisseur déjà écarté. Quand je conçois un site, je veux que les prospects de mes clients les prennent au sérieux dès le premier écran, parce que cela change la façon dont un acheteur négocie. Un questionnaire clair et honnête joue le même rôle face à un service achats. Si vous partez de zéro, commencez par mon guide de la cybersécurité des petites équipes.

Pourquoi un grand compte envoie un questionnaire de sécurité fournisseur

Un attaquant peut atteindre un grand groupe par un fournisseur qui y a déjà accès : prestataire informatique, agence qui détient des identifiants, développeur qui garde une copie de la base clients. Plusieurs textes et une norme poussent désormais le client à vous évaluer.

• NIS2 (directive (UE) 2022/2555). Son article 21, paragraphe 2, point d), impose aux entités concernées de gérer « la sécurité de la chaîne d’approvisionnement », y compris leurs relations avec leurs fournisseurs directs, et l’article 21, paragraphe 3, leur demande de tenir compte des pratiques de cybersécurité de chacun. La plupart des petites équipes restent sous les seuils de taille, mais un client concerné vous répercute l’obligation par le questionnaire et le contrat. Au 19 octobre 2026, la France n’a toujours pas adopté sa loi de transposition, attendue pour le 17 octobre 2024. Mon article sur NIS2 et ce que vos clients vont vous demander détaille qui est concerné.
• DORA (règlement (UE) 2022/2554), applicable depuis le 17 janvier 2025 aux banques, assureurs, entreprises d’investissement et autres entités financières. Ses articles 28 à 30 les obligent à gérer le risque lié à leurs prestataires TIC, à tenir un registre de ces contrats et à y inscrire des clauses précises, du lieu de traitement des données à l’assistance en cas d’incident. Si vous fournissez un service numérique dans la durée à une banque ou à un assureur, attendez-vous à la version longue.
• RGPD (règlement (UE) 2016/679). L’article 28, paragraphe 1, impose au responsable du traitement de ne faire appel qu’à des sous-traitants « qui présentent des garanties suffisantes » quant aux mesures techniques et organisationnelles appropriées. Le questionnaire vérifie ces garanties ; le contrat de sous-traitance RGPD vous engage à les tenir. La CNIL détaille ces obligations dans son guide du sous-traitant.
• ISO/IEC 27001. Un client certifié doit encadrer la sécurité dans ses relations fournisseurs (mesures 5.19 à 5.22 de l’annexe A de la version 2022), et son auditeur lui demandera comment ses fournisseurs ont été évalués.

Cet article présente les textes et les pratiques courantes ; il ne constitue pas un conseil juridique.

À quoi ressemble un questionnaire de sécurité

Le format change davantage que le fond :

Certains grands comptes demandent aussi un plan d’assurance sécurité (PAS), rédigé avant la signature ou dans la réponse à un appel d’offres : il décrit vos mesures et devient un engagement contractuel. Pour vous préparer, les 42 mesures du guide d’hygiène informatique de l’ANSSI font une bonne grille de lecture.

Avant de répondre : périmètre, délai et questions sans objet

1. Demandez ce que couvre le questionnaire : quelle prestation, quelles données, et si vous vous connecterez aux systèmes du client. Quand je construis une automatisation, par exemple, j’ai parfois besoin d’accéder à la boîte mail du client : toutes les questions sur les accès deviennent alors pertinentes.
2. Demandez le délai et un interlocuteur. Un court échange peut régler les questions écrites pour un groupe de 5 000 salariés.
3. Demandez si « sans objet » est accepté pour un datacenter, un centre de supervision de la sécurité ouvert 24 h/24 ou un service sécurité dédié.
4. Lisez tout une fois, puis classez chaque question : oui (avec preuve), en partie, non, sans objet.

Les questions que toute petite équipe reçoit, et les bonnes réponses

Les mêmes thèmes reviennent, quel que soit le format :

Mon plan de la première heure en cas d’incident est une bonne base pour ce plan d’une page.

Quand la réponse honnête est non

Ne cochez jamais « oui » pour une mesure que vous n’appliquez pas. Les clients vérifient les réponses lors des audits et après un incident, certains les annexent au contrat ou les reprennent dans un PAS, et un « oui » inexact découvert plus tard coûte plus cher que le marché. Un acheteur sensé s’attend à quelques « non » d’un fournisseur de cinq personnes ; il évalue surtout si vous comprenez et maîtrisez le risque.

Trois façons honnêtes d’écrire « non » :

1. Non, avec la mesure qui compense, comme dans le premier exemple ci-dessous.
2. Non, avec une date. « Prévu pour mars 2027 » ne fonctionne que si vous tenez la date : le client peut vérifier.
3. Sans objet, avec la raison. « Nous n’exploitons pas de datacenter » suffit dès lors que vous dites qui le fait.

Dans la colonne commentaires, cela donne :

Q : Faites-vous réaliser un test d'intrusion annuel ?
R : Non. Nous n'hébergeons pas les données clients sur nos propres serveurs :
    les fichiers sont stockés chez [hébergeur], qui publie ses certifications
    sur [lien]. Tous les comptes sont protégés par la double authentification,
    les ordinateurs sont chiffrés et les mises à jour automatiques.

Q : Êtes-vous certifiés ISO 27001 ?
R : Pas à ce jour. Nous avons réalisé le diagnostic MonAideCyber de l'ANSSI
    en [mois] et appliqué les mesures recommandées ; notre politique de
    sécurité figure en annexe 2.

ISO 27001, SOC 2 ou Cyber Essentials : quelle certification vaut le coup

• ISO/IEC 27001. La norme internationale des systèmes de management de la sécurité de l’information. La certification, délivrée pour trois ans par un organisme accrédité par le COFRAC, prévoit des audits de surveillance entre-temps. Comptez des mois de préparation : elle se justifie quand de grands clients en font une condition, ou quand les données sensibles sont votre métier.
• SOC 2. Un rapport d’attestation américain (critères de l’AICPA), pas un certificat, demandé surtout par les clients américains et les acheteurs de logiciels ; une petite équipe européenne en a rarement besoin en premier.
• Cyber Essentials (Royaume-Uni). Le dispositif du gouvernement britannique, piloté par le NCSC avec l’IASME, vérifie cinq mesures (pare-feu, configuration sécurisée, mises à jour, contrôle des accès, protection contre les logiciels malveillants) ; il ne vous concerne que si vous travaillez avec des clients britanniques.

Pour une petite équipe française, le premier pas crédible n’est souvent pas une certification : le diagnostic gratuit MonAideCyber de l’ANSSI, mené par un « Aidant cyber » en une heure et demie environ, débouche sur six mesures à appliquer en six mois. Ce n’est pas un certificat, mais un diagnostic daté et les mesures appliquées font une réponse sérieuse. Mon guide des aides gratuites en cybersécurité détaille le dispositif.

Constituer une fois pour toutes un dossier sécurité

Le premier questionnaire est le plus long. Rangez ce que vous produisez dans un dossier sécurité, prêt pour le client suivant :

1. Une note de sécurité de deux pages : votre activité, les données que vous traitez, leur lieu de stockage, vos principales mesures et un contact sécurité.
2. Votre politique de sécurité, ou sa synthèse.
3. Votre contrat de sous-traitance RGPD, ou la confirmation que vous signerez celui du client.
4. La liste de vos sous-traitants : chaque outil, son usage, les données qu’il contient et sa localisation.
5. Vos justificatifs : diagnostic MonAideCyber daté, certification éventuelle, liens vers les pages de certification de vos principaux fournisseurs.
6. Votre attestation d’assurance, si vous avez souscrit une assurance cyber : certains questionnaires demandent l’assureur et le montant de la garantie.
7. Une bibliothèque de réponses : chaque question déjà traitée, avec la formulation validée.

Datez et numérotez chaque version. La note de sécurité peut partir à tout le monde ; gardez la politique complète et la bibliothèque de réponses pour les clients qui ont signé un accord de confidentialité.

La marche à suivre, et quand passer la main

1. Demandez le périmètre, le délai et un interlocuteur.
2. Réglez d’abord les gains rapides : double authentification, gestionnaire de mots de passe, ordinateurs chiffrés et mises à jour automatiques peuvent transformer plusieurs « non » en « oui » en quelques jours.
3. Rédigez la politique et la liste des sous-traitants, répondez à chaque question, puis rangez les réponses dans votre dossier sécurité.

Certaines tâches ne vous reviennent pas. Un avocat doit relire les clauses de sécurité qui prévoient des pénalités, une responsabilité illimitée ou des droits d’audit ; un DPO ou un conseil en protection des données est utile quand les données sensibles sont au cœur de votre activité ; le test d’intrusion se confie à un prestataire d’audit, de préférence qualifié PASSI par l’ANSSI, et l’audit ISO 27001 à un organisme certificateur accrédité, car un fournisseur ne peut pas corriger sa propre copie. Enfin, si le questionnaire révèle un logiciel obsolète sur votre site ou l’absence d’enregistrements d’authentification email sur votre domaine, réglez-le avant que le score de sécurité utilisé par le client ne parle à votre place.