Répondre à un questionnaire de sécurité client : le guide pour les PME sous-traitantes

Un de vos clients vous envoie un fichier Excel intitulé « Évaluation de la sécurité fournisseur ». 180 questions, réparties sur douze onglets, à retourner sous quinze jours. Vous n'avez ni RSSI, ni service conformité, et le fichier atterrit sur le bureau du dirigeant ou du responsable informatique — en plus du reste.

Si cette scène vous parle, vous n'êtes pas seul, et le phénomène ne fait que s'amplifier. Voici pourquoi ces questionnaires se multiplient, ce qu'ils contiennent réellement, et surtout une méthode pour y répondre vite et bien — sans tout recommencer à chaque nouveau client.

Pourquoi vous recevez de plus en plus de ces questionnaires

La cause principale a un nom : la directive européenne NIS2, transposée en France avec une échéance de mise en conformité au 17 octobre 2026. Elle impose à des milliers de grandes entreprises et d'administrations (les « entités essentielles et importantes ») de sécuriser non seulement leur propre système d'information, mais aussi toute leur chaîne d'approvisionnement.

Concrètement, ces entités régulées ont l'obligation d'évaluer le niveau de sécurité de leurs fournisseurs. Résultat : elles envoient des questionnaires, imposent des clauses contractuelles, demandent des preuves. C'est ce qu'on appelle l'effet cascade : même si votre entreprise de 30 personnes n'est pas directement soumise à NIS2, votre client, lui, l'est — et il vous demande donc de démontrer votre sérieux. Un mauvais questionnaire, ou pas de réponse du tout, et c'est le contrat qui peut être remis en cause.

Les trois niveaux de questionnaires

Tous les questionnaires ne se valent pas. En pratique, on en rencontre trois types, selon la criticité que le client vous attribue :

• Le questionnaire simplifié — 5 à 15 questions de base, sans preuve documentaire à fournir. Réservé aux fournisseurs à faible risque, avec peu d'accès aux données ou aux systèmes du client.
• Le questionnaire standard — 30 à 60 questions, avec demande de politiques de sécurité et de preuves de mise en œuvre (par exemple : la couverture de l'authentification multifacteur). C'est le cas le plus courant pour un prestataire ayant un accès limité au système d'information du client.
• L'audit approfondi — pour les fournisseurs critiques : questionnaire long, preuves détaillées, parfois audit sur site.

Savoir dans quelle catégorie votre client vous range vous évite de sur-répondre. Un fournisseur à faible risque n'a pas besoin de rédiger vingt pages de politique.

Ce que couvrent réellement les questions

Derrière la diversité des formats, le fond est étonnamment stable. La quasi-totalité des questionnaires de sécurité se répartit sur les dix familles de mesures de l'article 21 de NIS2 :

1. Analyse des risques et politiques de sécurité du système d'information
2. Gestion des incidents (détection, réponse, notification)
3. Continuité d'activité : sauvegardes, reprise après sinistre, gestion de crise
4. Sécurité de la chaîne d'approvisionnement
5. Sécurité du développement et de la maintenance, gestion des vulnérabilités
6. Évaluation de l'efficacité des mesures (audits, contrôles)
7. Hygiène informatique de base et formation des équipes
8. Cryptographie et chiffrement
9. Ressources humaines, contrôle d'accès, gestion des actifs
10. Authentification multifacteur et communications sécurisées

Bonne nouvelle : cela signifie que d'un questionnaire à l'autre, vous répondez à peu près aux mêmes choses, formulées différemment. C'est la clé de la méthode qui suit.

La méthode pour répondre vite et bien

L'erreur classique consiste à repartir de zéro à chaque questionnaire, en fouillant dans ses vieux fichiers. Les entreprises qui s'en sortent bien font l'inverse : elles capitalisent.

1. Constituez une base de réponses réutilisable

La première fois, prenez le temps de rédiger des réponses propres, organisées par thème (les dix familles ci-dessus). Une politique de mots de passe, une procédure de sauvegarde, une description de votre gestion des accès : vous ne les écrivez qu'une seule fois. Cette base devient votre actif : chaque questionnaire suivant consiste à y piocher, pas à réinventer.

2. Ne traitez que le delta

Une fois la base constituée, un nouveau questionnaire se résume à deux gestes : réutiliser les réponses que vous avez déjà, et ne travailler réellement que sur les quelques questions spécifiques au client ou à son secteur. Vous passez ainsi de plusieurs jours à quelques heures.

3. Préparez vos preuves à l'avance

Les questionnaires « standard » demandent souvent des justificatifs : politique de sécurité, attestation d'assurance cyber, capture d'écran de la configuration MFA, certificat le cas échéant. Rassemblez-les dans un dossier unique, à jour. Une preuve prête à l'emploi vaut mieux qu'une belle réponse sans document.

4. Soignez la cohérence

Si vous affirmez à un client que vous chiffrez vos sauvegardes et à un autre que vous ne le faites pas, vous vous exposez. Une base de réponses centralisée garantit que vous dites la même chose à tout le monde — un atout de crédibilité autant qu'un gain de temps.

Les erreurs à éviter

• Sur-promettre. N'affirmez jamais une mesure que vous n'avez pas réellement en place. Un contrôle ou un incident révélerait l'écart, avec des conséquences bien pires qu'un « non, mais nous prévoyons de le mettre en place au T3 ».
• Laisser des cases vides. Une question sans réponse inquiète plus qu'un « non » assumé. Répondez toujours, quitte à expliquer.
• Recommencer à chaque fois. C'est le vrai gouffre de temps. Sans base réutilisable, vous repayez le même effort à chaque client.
• Négliger la date. Une réponse rédigée il y a dix-huit mois peut être fausse aujourd'hui. Datez vos réponses et revoyez-les périodiquement.

En résumé

Répondre à un questionnaire de sécurité n'est pénible qu'une seule fois : la première. Le secret n'est pas de répondre plus vite sous la pression, mais de construire une base de réponses réutilisable, de ne traiter ensuite que les nouveautés, et de garder vos preuves à jour. Ce qui ressemble aujourd'hui à une corvée imposée par NIS2 devient, une fois structuré, une simple formalité — et un argument commercial : montrer à vos clients que vous prenez la sécurité au sérieux.

FAQ

Mon entreprise n'est pas soumise à NIS2, dois-je quand même répondre ? Oui, si l'un de vos clients l'est. Il a l'obligation d'évaluer ses fournisseurs et vous transmettra ses exigences par contrat. Refuser de répondre revient souvent à renoncer au contrat.

Combien de temps faut-il pour répondre à un questionnaire de sécurité ? De quelques heures à plusieurs jours la première fois, selon la longueur. Avec une base de réponses réutilisable, les fois suivantes se comptent en heures.

Faut-il être certifié ISO 27001 pour répondre ? Non. La certification aide, mais la plupart des questionnaires acceptent des réponses documentées sans certification formelle. L'important est d'être honnête et cohérent.

Qu'est-ce qu'un PAS (Plan d'Assurance Sécurité) ? C'est un document contractuel décrivant les mesures de sécurité que vous vous engagez à respecter vis-à-vis d'un client. Il va souvent de pair avec le questionnaire.