Le questionnaire cybersécurité de votre client

Vous n'êtes probablement pas soumis à NIS2. Votre client, lui, l'est ou s'y prépare. Et la directive lui impose d'évaluer les pratiques de sécurité de ses fournisseurs directs.

C'est pour cela que le questionnaire arrive chez vous alors que la loi ne vous vise pas. La contrainte ne descend pas par le droit, elle descend par le contrat.

Bonne nouvelle : les questions posées sont presque toujours les mêmes, et les réponses attendues sont à la portée d'une entreprise de dix personnes.

La directive européenne NIS2 impose aux entités concernées des mesures minimales de gestion des risques. Parmi elles figure explicitement la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs.

Le paragraphe suivant est celui qui vous concerne directement. Il prévoit que les entités tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct, et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs.

Lisez bien : l'obligation pèse sur votre client. Mais elle ne peut être remplie qu'en vous posant des questions. C'est le mécanisme, et il est écrit noir sur blanc dans un texte en vigueur.

Il faut être précis sur ce point, parce que beaucoup d'articles annoncent des dates qui n'existent pas.

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2 en droit français, a été adopté par le Sénat en mars 2025. Il n'est pas allé au bout du parcours parlementaire.

L'ANSSI l'écrivait encore en mars 2026 : tant que les travaux législatifs et réglementaires relatifs à la transposition n'ont pas eu lieu, et tant qu'il n'a pas fait l'objet d'une consultation, aucune version définitive n'est publiée par l'Agence.

Conséquence pratique : aucun décret n'est paru, aucune date d'enregistrement obligatoire n'existe, et aucune sanction française n'est applicable aujourd'hui. Si vous lisez un calendrier daté d'obligations françaises, demandez-vous d'où il sort.

En revanche, l'ANSSI a ouvert un pré-enregistrement volontaire pour les entreprises, et diffuse depuis le 17 mars 2026 un Référentiel Cyber France, en version de travail et non obligatoire, qui intègre un principe de proportionnalité selon lequel le niveau d'effort attendu est adapté à la maturité des entités et aux ressources dont elles disposent.

Les seuils reposent sur la définition européenne des PME. Une entité essentielle emploie au moins 250 personnes, ou dépasse 50 millions d'euros de chiffre d'affaires et 43 millions de bilan. Une entité importante emploie au moins 50 personnes, ou dépasse 10 millions d'euros de chiffre d'affaires ou de bilan, dans l'un des secteurs listés.

En dessous, vous êtes hors du champ par défaut, sauf cas particuliers limitativement énumérés : opérateur de communications électroniques, prestataire de services de confiance, registre de noms de domaine, entité seule à fournir un service essentiel dans son État, entité dont l'interruption aurait un impact important sur la sécurité ou la santé publique, entité critique au niveau national ou régional, ou administration publique.

Le Sénat estimait en mars 2025 qu'environ 15 000 entités seraient concernées en France, contre environ 500 sous la première directive NIS. Une TPE de huit personnes n'en fait pas partie. Son client de 400 salariés, si.

Les questionnaires varient dans la forme. Sur le fond, ils vérifient à peu près toujours la même chose.

Avez-vous une sauvegarde, et l'avez-vous testée ? La deuxième moitié de la question est celle qui compte. Une sauvegarde jamais restaurée n'est pas une sauvegarde. C'est le sujet du plan de reprise d'activité et de la sauvegarde et de la continuité.

Vos accès sont-ils protégés par une double authentification ? Sur la messagerie et sur les accès distants au minimum. Voir la double authentification et la gestion des mots de passe.

Vos postes sont-ils à jour et protégés ? Un antivirus administré, avec une console qui montre l'état réel du parc, pas une licence achetée en 2021. Voir l'antivirus managé.

Qui a accès à quoi ? Une liste des comptes, des droits, et surtout une procédure de retrait quand quelqu'un part.

Votre réseau est-il segmenté ? Le Wi-Fi des visiteurs ne doit pas voir la comptabilité. C'est l'objet d'un pare-feu professionnel et de la segmentation réseau.

Vos équipes sont-elles sensibilisées ? Le phishing reste la porte d'entrée la plus fréquente. Voir la sensibilisation au phishing.

Que faites-vous en cas d'incident ? Qui appelle qui, dans quel ordre, avec quels numéros. Une page suffit, à condition qu'elle existe avant l'incident.

Sous-traitez-vous une partie de votre informatique, et à qui ? Votre client veut savoir où s'arrête votre responsabilité et où commence celle de votre prestataire.

Trois règles simples.

Ne mentez pas. Une réponse fausse dans un questionnaire contractuel devient une faute en cas d'incident. Répondre « non, pas encore, prévu au premier trimestre » est mieux reçu qu'un « oui » invérifiable.

Répondez avec des preuves. Une capture de la console de sauvegarde, la date du dernier test de restauration, l'export des comptes utilisateurs. Les questionnaires les plus sérieux demandent des éléments, pas des cases cochées.

Traitez d'abord ce qui est demandé partout. Sauvegarde testée, double authentification, mises à jour, retrait des comptes. Ces quatre points reviennent dans presque tous les questionnaires et représentent l'essentiel du gain de sécurité réel.

Si vous voulez aller plus loin, nous avons deux pages dédiées à ce cas de figure : le questionnaire NIS2 envoyé aux fournisseurs et la mise en conformité des sous-traitants en Occitanie.

Vous n'avez pas besoin d'acheter un audit pour commencer.

La plateforme MesServicesCyber regroupe les ressources officielles. Le parcours CyberDépart propose un diagnostic accompagné qui débouche sur six recommandations prioritaires. Le guide « La cybersécurité pour les TPE et PME en 13 questions » est téléchargeable librement, tout comme le guide d'hygiène informatique.

Ces documents ont un avantage sur les offres commerciales : quand vous répondez à un questionnaire, citer un référentiel public reconnu vaut mieux qu'une méthode maison.

Pour information, si votre entreprise franchit les seuils, trois obligations arrivent.

Des mesures de gestion des risques, dont l'analyse des risques, la gestion des incidents, la continuité d'activité, la sécurité de la chaîne d'approvisionnement, la cryptographie, le contrôle d'accès et l'authentification à plusieurs facteurs.

Des délais de notification stricts : une alerte précoce dans les 24 heures suivant la connaissance d'un incident important, une notification dans les 72 heures, un rapport final au plus tard un mois après.

Et une responsabilité de la direction. La directive prévoit que les organes de direction approuvent les mesures, supervisent leur mise en œuvre et puissent être tenus responsables de leur manquement. Elle prévoit aussi que leurs membres soient tenus de suivre une formation.

Les plafonds de sanction prévus par la directive sont d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et d'au moins 7 millions ou 1,4 % pour les entités importantes. Les montants qui s'appliqueront en France dépendront du texte de transposition, qui n'existe pas encore.

Cet article présente le cadre général. Il ne remplace pas l'avis d'un conseil juridique sur votre situation particulière.

WiFeel fait l'état des lieux de vos sauvegardes, de vos accès, de votre réseau et de vos postes, puis vous remet les éléments qui répondent aux questions posées par vos donneurs d'ordre.

Prenez rendez-vous. L'audit est gratuit et sans engagement, à Montpellier, Nîmes, Perpignan et partout en Occitanie.