Qu'est-ce qu'un Plan d'Assurance Sécurité (PAS) ?

Un client vous réclame un « PAS » et vous ne savez pas de quoi il parle ? Voici ce qu'est un Plan d'Assurance Sécurité et comment en produire un.

Le PAS, c'est quoi ?

Le Plan d'Assurance Sécurité (PAS) est un document par lequel un prestataire décrit les mesures de sécurité qu'il s'engage à respecter dans le cadre d'une prestation, vis-à-vis d'un client. C'est en quelque sorte votre engagement écrit sur la façon dont vous protégez les données et les systèmes du client.

Il accompagne souvent un contrat ou un appel d'offres, en particulier avec les grands donneurs d'ordre et le secteur public.

Qui vous le demande, et pourquoi ?

Avec NIS2, les entreprises régulées doivent s'assurer que leurs fournisseurs présentent un niveau de sécurité suffisant. Le PAS est l'un des outils qu'elles utilisent : plutôt qu'un simple questionnaire, elles vous demandent un document formalisé et signé, qui les engage contractuellement avec vous.

Vous croiserez le PAS surtout si vous travaillez avec de grands comptes, des administrations, ou des acteurs de secteurs sensibles.

Ce que contient un PAS

Un PAS couvre généralement :

• l'identification du prestataire et le périmètre de la prestation ;
• l'organisation de la sécurité (responsable, politique) ;
• les mesures techniques et organisationnelles mises en place (accès, chiffrement, sauvegardes, gestion des incidents) ;
• les engagements de notification en cas d'incident ;
• les modalités de réversibilité et de fin de contrat ;
• les modalités de suivi et de révision.

Comment en rédiger un sans partir de zéro

La bonne nouvelle : un PAS repose sur les mêmes fondations que le reste de vos obligations de sécurité (les dix mesures de l'article 21 de NIS2). Si vous avez déjà constitué votre base de réponses de sécurité, rédiger un PAS revient surtout à la mettre en forme dans un document contractuel.

Le plus simple est de partir d'un modèle pré-structuré et de le compléter avec vos informations, plutôt que de rédiger une page blanche.

En résumé

Le PAS est votre engagement de sécurité écrit vis-à-vis d'un client. Il n'est pas plus difficile à produire qu'un questionnaire, à condition d'avoir déjà formalisé vos mesures. Un bon modèle vous fait gagner l'essentiel du temps.

FAQ

PAS et questionnaire de sécurité, quelle différence ? Le questionnaire est une série de questions auxquelles vous répondez. Le PAS est un document d'engagement, plus formel, souvent contractuel.

Faut-il un PAS différent par client ? La base est la même ; vous adaptez le périmètre et quelques éléments propres à chaque client.

Existe-t-il des modèles ? Oui. Partir d'un modèle pré-structuré est la façon la plus rapide de produire un PAS sérieux.