Questionnaire NIS 2 fournisseur : comment répondre

Un de vos clients vous envoie un document de plusieurs pages sur votre sécurité informatique. Il faut le remplir pour continuer à travailler ensemble. Voici ce que ces questionnaires contiennent et comment s'y préparer sans paniquer.

Le courriel arrive du service achats ou de la direction des systèmes d'information de votre client. Il demande de décrire vos mesures de sécurité, parfois avec une date de retour courte.

Le vocabulaire est celui d'une grande organisation. On vous parle de gestion des accès, de politique de correctifs, de plan de continuité, de journalisation, de gestion des incidents. Vous faites peut-être une partie de ces choses, mais vous ne les appelez pas ainsi.

Deux réflexes se présentent, et les deux sont mauvais. Cocher tout pour ne pas perdre le client, ce qui vous engage sur des mesures inexistantes. Ou répondre à moitié, ce qui vous fait passer pour un risque.

Le fond du problème est réel, mais il faut distinguer la réglementation du contrat commercial. L'article 21 de la directive NIS 2 prévoit que les futures entités régulées prennent en compte la sécurité de leur chaîne d'approvisionnement et de leurs fournisseurs directs. En France, la transposition est encore en cours au 31 juillet 2026. Un questionnaire fournisseur n'est pas imposé comme mécanisme unique par la directive ; c'est l'un des outils utilisés par les donneurs d'ordre pour évaluer et documenter leurs risques.

Pour suivre l'état du texte, consultez la page NIS 2 de l'ANSSI et le texte officiel de la directive européenne.

Nous partons du questionnaire réel que vous avez reçu, pas d'un modèle générique. Chaque grand donneur d'ordre a le sien.

Nous traduisons les questions dans votre réalité. Derrière la formulation, on vous demande le plus souvent des choses concrètes : qui a accès à quoi, comment les mots de passe sont gérés, si les postes reçoivent les correctifs, si les sauvegardes existent et si elles ont été testées, ce qui se passe en cas d'incident.

Nous faisons ensuite l'état des lieux honnête. Ce que vous faites déjà, ce que vous faites sans l'avoir formalisé, et ce qui manque vraiment. Beaucoup d'entreprises sont plus proches qu'elles ne le croient : il leur manque l'écrit, pas la pratique.

Puis nous comblons les écarts, dans l'ordre de ce qui pèse le plus dans la réponse et dans votre risque réel.

Nous lisons le questionnaire avec vous et nous repérons les questions qui portent sur la technique, celles qui portent sur l'organisation, et celles qui demandent un document.

Nous auditons votre parc sur les points concernés : accès et comptes, postes et correctifs, sauvegardes et restauration, réseau et accès distants, traitement des incidents.

Nous mettons à niveau ce qui doit l'être. Certaines mesures se déploient en quelques jours, comme la double authentification sur la messagerie ou la centralisation des mots de passe. D'autres demandent un chantier, comme une chaîne de sauvegarde complète.

Nous vous aidons enfin à formaliser les réponses, en restant exacts. Une réponse juste et documentée vaut mieux qu'une case cochée que vous ne pourriez pas justifier.

Sur les accès, nous déployons un gestionnaire de mots de passe d'entreprise et la double authentification, deux points présents dans presque tous les questionnaires.

Sur les postes, la supervision via NinjaOne permet de démontrer l'application des correctifs et l'existence d'un inventaire à jour, ce que ces documents demandent régulièrement.

Sur les données, nous appliquons la règle 3-2-1 : trois copies, deux supports, une hors site, avec contrôle des restaurations. La question posée est rarement l'existence d'une sauvegarde, mais la preuve qu'elle a été testée.

Sur le réseau, nous mettons en place le filtrage et les accès distants sécurisés, avec les équipements Cisco, Ubiquiti et TP-Link Omada.

Nous ne vendons pas une attestation de conformité. Nous mettons en place des mesures réelles et nous vous aidons à les décrire correctement.

Nous restons dans notre domaine. Nous traitons la partie technique et organisationnelle du système d'information. Sur l'interprétation juridique de vos obligations, nous vous invitons à consulter un professionnel du sujet, et nous le disons plutôt que de faire semblant.

Nous sommes à Montpellier et nous intervenons en Occitanie, avec la possibilité de venir sur site pour l'audit comme pour la mise en oeuvre.

Si un questionnaire est sur votre bureau, le plus efficace est de le regarder ensemble ligne à ligne. Prenez rendez-vous avec un spécialiste WiFeel : nous faisons l'état des lieux de votre parc et nous identifions les écarts à combler en priorité.