La sécurité informatique dans le questionnaire destiné aux fournisseurs : ce que vérifient les grands clients et quels documents sont importants

Un client envoie un questionnaire de 90 questions avec un délai de deux semaines… et personne dans l’entreprise ne sait qui est censé y répondre

Le fichier s’intitule « Évaluation de la sécurité des fournisseurs » ou « Auto-évaluation des fournisseurs en matière de sécurité de l’information ». Il provient d’un client avec lequel vous travaillez depuis des années, et le texte d’accompagnement contient une phrase qui rend la situation grave : sans réponse complète, le contrat-cadre ne sera pas renouvelé. Un tableau est joint, contenant des questions sur l’authentification multifactorielle, l’état des correctifs, le chiffrement, les durées de conservation des données de journalisation et les délais de signalement des incidents.

Pour les petites et moyennes entreprises, il s’agit là de la forme la plus désagréable d’exigence de sécurité : elle émane de l’extérieur de l’organisation, n’est pas négociable, est assortie d’une date limite et les réponses ont des implications juridiques. Cet article explique d’où proviennent ces questionnaires, comment y répondre sans s’exposer à des risques ultérieurs, quelles lacunes peuvent être comblées à l’aide de logiciels et lesquelles ne le peuvent pas.

Pourquoi recevons-nous soudainement ces questionnaires ?

Parce que votre client en a reçu l’ordre et qu’il répercute cette obligation en aval de la chaîne. Ce n’est pas un signe de méfiance à votre égard, mais plutôt une réaction en chaîne découlant de trois sources.

En Suisse, la norme minimale en matière de TIC de la Confédération comprend une section distincte consacrée à la chaîne d’approvisionnement. Elle exige que les fournisseurs et prestataires de services soient identifiés, classés par ordre de priorité et évalués au moyen d’un processus d’évaluation des risques ; que les contrats les obligent à prendre les mesures appropriées ; et que la conformité soit régulièrement vérifiée au moyen de rapports d’audit. Quiconque met en œuvre cette norme — et c’est de plus en plus le cas des services publics, des hôpitaux, des organismes publics et de leurs fournisseurs — ne peut se soustraire à l’obligation de procéder à une évaluation des fournisseurs.

Au sein de l’Union européenne, l’article 21, paragraphe 2, point d), de la directive NIS 2 impose une politique de sécurité de la chaîne d’approvisionnement régissant les relations avec les fournisseurs et prestataires de services directs, y compris les critères de sélection de ces derniers. Les organisations concernées répercutent ces exigences par voie contractuelle sur les fournisseurs qui ne sont pas eux-mêmes soumis à la directive.

Et dans l’industrie automobile, le TISAX — un système d’audit dédié — existe depuis des années ; il a remplacé les audits individuels des constructeurs, et ses exigences sont répercutées par ces derniers sur les fournisseurs de deuxième et troisième rangs.

Sommes-nous même tenus de remplir le questionnaire ?

Un fournisseur non soumis à la réglementation n’est généralement pas légalement tenu de le faire. Sur le plan contractuel, cependant, la situation est différente : le client peut subordonner la relation commerciale à la fourniture de ces informations — et c’est exactement ce qu’il fait. La question n’est donc pas d’ordre juridique, mais commercial.

Ce que vous pouvez toutefois négocier, c’est la portée de ce questionnaire. De nombreux questionnaires sont des documents standard qu’une grande entreprise envoie à tous ses fournisseurs — de l’opérateur du centre de données au menuisier qui a fabriqué le comptoir d’accueil. Les questions concernant l’accès au centre de données ou les processus de développement logiciel ne s’appliquent tout simplement pas à une entreprise qui ne dispose pas de son propre service de développement. Une réponse directe du type « sans objet, car nous ne disposons pas de notre propre service de développement logiciel » est tout à fait valable et préférable à un « oui » inventé de toutes pièces.

Demandez également quelles données du client vous traitez réellement. Cela permet de déterminer quelle partie du questionnaire vous concerne réellement — et souvent, cela peut réduire la portée de moitié.

Les réponses ont-elles une valeur juridiquement contraignante ?

En règle générale, oui, et c’est là le point le plus important de toute cette question. Les questionnaires remplis sont généralement joints en annexe au contrat ou mentionnés dans l’accord-cadre en tant que caractéristique garantie. Une simple case cochée dans un tableau devient ainsi une garantie contractuelle.

Les implications pratiques n’apparaissent qu’en cas de faille de sécurité. Si, à la suite d’un incident, une enquête est menée pour déterminer comment l’attaquant a pu accéder au système et qu’il s’avère que l’authentification multifactorielle garantie pour l’accès à distance n’était pas du tout active, la situation est totalement différente de celle d’une entreprise qui avait déclaré ouvertement : « Non, prévue d’ici la fin du trimestre. » Dans le premier cas, il s’agit d’une fausse assurance ; dans le second, d’un risque connu et accepté.

Cela nous amène à la seule règle qui compte vraiment : pas de « oui » sans preuve. Si vous ne pouvez pas répondre à une question avec certitude, clarifiez-la avant de cocher la case. Pour les accords-cadres de grande envergure, il est judicieux de faire examiner le questionnaire rempli par un conseiller juridique avant de le soumettre, car il fait partie intégrante du contrat.

Quelles sections de questions reviennent presque systématiquement ?

La structure des questionnaires varie, mais les mêmes dix à douze thèmes reviennent systématiquement en termes de contenu. Une fois que vous y avez répondu de manière exhaustive, vous pouvez réutiliser la plupart de vos réponses pour le client suivant.

Parmi les thèmes typiques, on trouve : la gestion des accès et l’authentification multifactorielle, en particulier pour l’accès à distance et les comptes administrateurs ; la protection des terminaux et des serveurs ; l’état des mises à jour logicielles et la gestion des vulnérabilités ; le chiffrement des ordinateurs portables et des supports de stockage amovibles ; la sauvegarde des données, y compris les tests de restauration ; la journalisation et la durée de conservation des journaux ; La détection des incidents et le délai de signalement au client. La formation des employés. La gestion des sous-traitants. Et enfin, le lieu de traitement des données.

Ce qui frappe, c’est ce qui est rarement inclus dans cette liste : les certifications. La plupart des questionnaires portent sur les mesures mises en œuvre, et non sur la paperasserie. Une certification permet de réduire l’effort requis, mais elle ne remplace pas automatiquement les réponses.

À quelles questions un logiciel peut-il répondre, et à lesquelles ne le peut-il pas ?

L’aperçu suivant classe les domaines les plus courants selon qu’un produit apporte la réponse ou qu’un travail organisationnel est nécessaire. Cette distinction est cruciale lors du remplissage du questionnaire : pour le premier groupe, l’achat d’une solution suffit ; pour le second, un processus documenté est nécessaire — un processus que personne ne peut acheter.

Catégorie de questions	Peut être traitée par un logiciel	Autres éléments requis
Authentification multifactorielle	✓	Liste des points d’accès couverts
Protection des terminaux et des serveurs	✓	Preuve d'exhaustivité
État des mises à jour	✓	Délais pour les vulnérabilités critiques
Chiffrement des ordinateurs portables	✓	Procédure en cas de perte de clé
Enregistrement et conservation	Partielle	Période de conservation spécifiée
Sauvegarde des données	Partiellement	Journal des tests de restauration
Détection des incidents	Partiellement	Responsabilité désignée
Délai de notification au client	✕	Chaîne de reporting répétée
Formation du personnel	✓	Justificatif de participation
Sous-traitants	✕	Liste et contrats en vigueur
Lieu du traitement des données	✕	Informations sur le prestataire

Concernant les trois points notés «Partiellement» : un produit peut générer des journaux, mais il ne peut pas déterminer la durée pendant laquelle vous souhaitez les conserver ; la durée de conservation est une décision que vous devez prendre et consigner par écrit. Un logiciel de sauvegarde sauvegarde les données, mais ne remplace pas le test de restauration documenté, qui fait l’objet d’une question explicite dans le questionnaire. De même, une solution de détection émet des alertes, mais ne remplace pas la personne chargée d’y répondre.

Que dois-je répondre si nous ne répondons pas à une exigence ?

« Non », accompagné d’une explication, d’une mesure alternative et d’une date butoir. Cette réponse en trois parties est presque toujours acceptée dans la pratique et vaut en tout cas mieux qu’un « oui » de façade.

Exemple de réponse pertinente : « Non mis en œuvre à l’heure actuelle. L’accès à distance est actuellement limité à trois comptes d’administrateur spécifiquement désignés et fait l’objet d’un journal d’événements. La mise en œuvre de l’authentification multifactorielle est prévue pour le troisième trimestre. » Cela montre trois choses au client : vous êtes conscient de cette lacune, celle-ci n’est pas laissée sans protection et un calendrier a été établi. C’est exactement ce que recherche un acheteur qui doit rendre des comptes à ses propres supérieurs.

En revanche, évitez deux écueils courants. Premièrement, un « oui » sans fondement que vous ne pourrez pas étayer au moment crucial. Deuxièmement, la référence vague à l’avenir sans date précise : « est en cours de planification » est perçue par le destinataire comme « n’aura jamais lieu » et entraîne régulièrement des questions de suivi qui prennent plus de temps que le simple fait de fournir une échéance honnête.

Qu’est-ce qui constitue une preuve ?

Une preuve provenant directement du système lui-même, datée et indiquant la portée de la mesure. Une capture d’écran d’une page de paramètres prouve qu’une fonctionnalité est activée — mais pas qu’elle fonctionne sur tous les appareils. Or, c’est précisément ce qui est demandé.

Les rapports issus de la console de gestion centrale sont donc utiles : la liste de tous les appareils gérés avec leur état de protection, l’état du chiffrement pour chaque appareil, le rapport sur les vulnérabilités ouvertes avec leur ancienneté, le journal du dernier test de restauration, et la liste de présence aux formations. Tous ces rapports comportent une date et une portée, et ce sont ces deux éléments qui comptent vraiment.

C’est également là qu’une console centrale fait toute la différence. Une entreprise qui a installé des logiciels de sécurité individuellement sur chaque appareil ne peut pas apporter de réponse fiable à la question de la couverture : elle ne peut que compter ce qu’elle pense savoir. Une entreprise dotée d’une gestion centralisée exporte un rapport.

Quels sont les produits qui comblent les lacunes les plus courantes ?

Quatre domaines sont systématiquement jugés insuffisants dans les enquêtes, et pour chacun d’entre eux, il existe une solution immédiatement disponible.

L’authentification multifactorielle. C’est le point le plus souvent critiqué, car il concerne directement le point d’entrée le plus probable. ESET Secure Authentication ⧉ prend en charge le deuxième facteur pour l’accès à distance et les connexions. Lorsque vous remplissez le questionnaire, veillez à préciser pour quels points d’accès vous cochez « Oui » : les questionnaires font la distinction entre l’accès à distance, les comptes administrateur et les connexions classiques.

Chiffrement des ordinateurs portables. Ce qui importe ici, ce n’est pas tant le chiffrement en soi que la vérification centralisée de son activation partout, ainsi qu’une procédure de gestion en cas de perte de clés. ESET Full Disk Encryption ⧉ et SOPHOS Central Device Encryption ⧉ gèrent ces deux aspects depuis la console. Si le chiffrement des supports amovibles est également requis, ESET Endpoint Encryption Pro ⧉ couvre également cet aspect.

Chiffrement des ordinateurs portables : ce qui compte dans la gestion centralisée.
Ce document explique l’authentification avant démarrage, la gestion centralisée des clés et la récupération en cas de mot de passe perdu.

État des mises à jour et vulnérabilités. La question n’est pas de savoir si vous effectuez des mises à jour, mais dans quels délais les vulnérabilités critiques sont corrigées et comment vous pouvez le prouver. Bitdefender GravityZone Patch Management ⧉ et Kaspersky Vulnerability and Patch Management ⧉ fournissent les rapports nécessaires pour documenter ce délai, y compris pour les applications tierces, qui sont explicitement mentionnées dans les questionnaires.

Formation des employés. Une preuve de participation est requise, et non une simple présentation ponctuelle. Kaspersky Automated Security Awareness Platform ⧉ génère précisément ce type de rapport pour chaque individu et chaque période.

Gestion des correctifs et justificatifs à l’intention des tiers :
explique comment documenter l’état des mises à jour afin qu’il résiste aux audits et aux questionnaires des clients.

Comment répondre aux questions concernant la sauvegarde des données et la journalisation ?

En matière de sauvegarde des données, la question ne porte presque jamais sur la sauvegarde elle-même, mais plutôt sur la restauration. La formulation type est du genre : « À quand remonte le dernier test de restauration complète documenté ? » Si vous ne pouvez pas fournir de date, vous n’avez pas répondu à la question, quel que soit le bon fonctionnement de la sauvegarde. Acronis Cyber Protect Advanced Server ⧉ se charge de la sauvegarde ; vous devez tenir à jour le journal des tests de restauration, en précisant la date, la portée et le nom de la personne qui les a effectués.

La journalisation implique deux éléments clés : ce qui est enregistré et la durée pendant laquelle ces informations restent disponibles. Ceux qui s’appuient uniquement sur une protection antivirus traditionnelle peuvent répondre brièvement à la première question — et pas du tout à la seconde. Une solution avec journalisation continue, telle que Bitdefender GravityZone Business Security Enterprise ⧉, répond à ces deux exigences, car les durées de conservation peuvent y être définies explicitement.

S’il existe des exigences supplémentaires en matière de conservation des e-mails — ce qui est courant chez les clients des secteurs réglementés —, celles-ci doivent être gérées par un système distinct. MailStore Server ⧉ archive les e-mails indépendamment de la boîte aux lettres, ce qui permet de vérifier la durée de conservation.

Qui doit remplir et signer le questionnaire ?

Il doit être rempli par une personne connaissant bien les systèmes. Il doit être signé par une personne habilitée à représenter l’organisation. Il s’agit rarement des mêmes personnes, et cette distinction est importante car la signature constitue une garantie formelle.

Dans la pratique, un processus en trois étapes s’est avéré efficace : le responsable informatique ou le prestataire de services en charge du dossier remplit le formulaire et classe les pièces justificatives pour chaque réponse. La direction examine les réponses « non » et les délais engagés, car c’est elle qui sera en dernier ressort responsable du financement de ces délais. Ce n’est qu’ensuite que le document est envoyé.

Si un prestataire de services informatiques externe remplit le formulaire, précisez à l’avance qui est responsable de son exactitude. Le prestataire connaît les réponses techniques, mais ne peut pas prendre d’engagement au nom de votre entreprise.

Comment éviter que chaque client ne parte de zéro ?

En tenant à jour votre propre base de données de réponses au lieu de traiter chaque questionnaire individuellement. Pour chaque sujet récurrent, créez une réponse en deux formats : deux phrases pour les champs de tableau, un paragraphe pour les champs de texte libre. Joignez le document justificatif correspondant avec la date pour chacun.

Trois éléments permettent de garantir que cette base de données reste à jour. Premièrement, indiquez une date de révision pour chaque réponse afin de repérer celles qui ne sont plus d’actualité. Deuxièmement, procédez à une révision régulière — idéalement une fois par an et, en outre, après tout changement majeur. Troisièmement, faites la distinction entre les réponses documentées et les déclarations d’intention : dès qu’un délai promis est dépassé sans que la mesure ait été mise en œuvre, la réponse doit être mise à jour avant d’être renvoyée.

L’effort requis pour le premier questionnaire est donc nettement plus important, tandis que celui nécessaire pour les deuxième et troisième est nettement moindre. Les entreprises qui reçoivent régulièrement ce type de demandes s’épargnent ainsi l’essentiel du travail.

La certification vaut-elle la peine plutôt que des questionnaires individuels ?

Oui, dès lors que vous atteignez un certain nombre de demandes, et le calcul est simple : dès que vous consacrez plus de temps aux questionnaires qu’il n’en faudrait pour la certification, le rapport s’inverse. Les trois approches diffèrent considérablement en termes de portée et d’effort.

Critère	ISO/IEC 27001	TISAX	Label PME suisse
À qui s'adresse-t-elle ?	Tous les secteurs d’activité	Secteur automobile	Clients suisses
Base	Système de gestion	Catalogue VDA-ISA	Adapté aux PME
Résultat	Certificat	Un label, pas un certificat	Label
Durée de validité	Voir la remarque	Trois ans	Voir la remarque
Les résultats peuvent être réutilisés plusieurs fois	✓	✓	✓
Remplace entièrement les questionnaires individuels	✕	Dans le secteur	✕
Coût pour une petite entreprise	Élevé	Élevé	Moyen

Concernant les champs vides : la durée de validité d’un certificat ISO 27001 et des labels suisses pour les PME dépend de l’organisme de certification concerné et de la fréquence des audits de surveillance ; elle n’est donc pas précisée ici de manière générale. La seule information fiable concerne TISAX, dont le label est valable trois ans. Les labels suisses pour PME les plus courants sont Cyber-Safe et, pour les prestataires de services informatiques, CyberSeal ; ils s’adressent spécifiquement aux entreprises qui ne souhaitent pas obtenir la certification ISO.

Qu’est-ce que TISAX exactement, et quand en a-t-on besoin ?

TISAX est le système d’audit et d’échange de l’industrie automobile, géré par l’association ENX pour le compte de l’Association allemande de l’industrie automobile (VDA). Il repose sur le questionnaire VDA-ISA, dont le contenu recoupe largement celui de la norme ISO 27001, mais qu’il complète par des thèmes spécifiques au secteur, tels que la protection des prototypes.

L’avantage pratique réside dans le nom même du système : le résultat est déterminé une seule fois par un prestataire d’audit accrédité, puis partagé de manière ciblée avec plusieurs clients via la plateforme ENX. Au lieu de subir un audit distinct pour chaque constructeur, vous partagez un résultat unique. Le label est valable trois ans, après quoi une réévaluation est requise. D’un point de vue formel, il ne s’agit pas d’un certificat mais d’un label — une distinction qui prête parfois à confusion dans les appels d’offres.

Vous en aurez besoin si vous travaillez en tant que fournisseur, partenaire de développement ou prestataire de services informatiques pour des constructeurs automobiles. Cette exigence s’étend de plus en plus aux fournisseurs de deuxième et troisième rangs. Pour tous les autres secteurs, TISAX n’est pas la solution adaptée.

Quel est le lien avec la norme minimale suisse en matière de TIC ?

La norme minimale TIC de la Confédération est la source la plus courante de ce type de questionnaires en Suisse. Elle s’articule autour des cinq fonctions suivantes : identifier, protéger, détecter, réagir et rétablir ; elle s’adresse principalement aux exploitants d’infrastructures critiques et à leurs fournisseurs ; et elle prend la forme d’un ensemble de recommandations.

Elle présente un intérêt pour les fournisseurs pour deux raisons. Premièrement, sa section consacrée à la chaîne d’approvisionnement explique pourquoi ces questions sont posées et sous quelle forme le client attend des preuves — à savoir, de manière régulière et sous forme de rapport. Deuxièmement, il constitue un outil d’auto-évaluation utile : il évalue chaque mesure sur une échelle de maturité plutôt que de se contenter d’exiger une réponse par « oui » ou par « non ». Quiconque le parcourt une fois pour sa propre organisation disposera déjà de la plupart des réponses au questionnaire et aura également une compréhension claire de ses lacunes, classées par ordre de priorité.

Ce qu’il n’est pas : un certificat. Vous ne pouvez pas vous y fier en tant que tel ; vous ne pouvez l’utiliser que pour démontrer la mise en œuvre.

Qu’exige de nous la directive NIS 2 si nous ne sommes pas directement concernés ?

Rien de manière directe, mais pas mal de choses de manière indirecte. La directive impose aux organisations concernées de mettre en place une politique de sécurité de la chaîne d’approvisionnement qui régit leurs relations avec leurs fournisseurs directs et définit les critères de sélection de ces derniers. Ces organisations s’acquittent de leur obligation en répercutant contractuellement ces exigences… sur vous.

Pour vous, en tant que fournisseur, cela signifie que vous n’êtes soumis à aucune obligation d’enregistrement ou de déclaration auprès d’une agence gouvernementale, mais que vous êtes lié par des engagements contractuels envers votre client. Les délais de déclaration sont particulièrement courants : le client doit signaler les incidents dans des délais très courts et a donc besoin de vos informations plus rapidement. Examinez attentivement ces clauses : un engagement à signaler un incident dans les douze heures suppose que vous le remarquiez dans ce délai.

La question de savoir si votre propre entreprise pourrait être concernée en raison de son secteur d’activité et de sa taille relève d’une évaluation distincte qui n’est pas abordée ici.

Quelles sont les obligations applicables, et à partir de quelle taille d’entreprise ?
Déterminez à partir de quel moment les obligations de signalement, les exigences des clients et les obligations de documentation s’appliquent effectivement à une entreprise.

Qu’en est-il des clients du secteur financier ?

Les exigences y sont nettement plus précises. Le règlement européen sur la résilience opérationnelle numérique impose aux établissements financiers de tenir un registre complet de toutes leurs relations contractuelles avec les fournisseurs de technologies de l’information et de la communication, et d’inclure certaines dispositions minimales dans ces contrats.

Concrètement, cela signifie pour vous, en tant que prestataire : attendez-vous à des clauses relatives aux droits d’inspection et d’audit, à l’obligation de divulguer les sous-traitants et à des scénarios de résiliation définis. Cela va au-delà du questionnaire habituel et concerne le contrat lui-même. Si un client du secteur financier vous présente un contrat contenant de telles clauses, il ne s’agit pas d’une question de négociation, mais bien de son obligation légale.

Ceux qui servent à la fois des clients suisses et européens sont régulièrement confrontés à deux ensembles de réglementations parallèles. Une comparaison détaillée dépasse le cadre du présent article.

Comparaison des obligations en matière de cybersécurité en Suisse et dans l’UE
Elle compare les obligations de déclaration suisses avec celles de la directive NIS 2 et met en évidence leurs différences.

Comment puis-je me protéger lorsque je réponds ?

En étant précis quant au champ d’application. La plupart des litiges ne surviennent pas parce que quelqu’un a menti, mais parce qu’une réponse a été interprétée de manière plus large que prévu.

Quatre habitudes peuvent vous y aider. Dans chaque réponse, précisez exactement à quoi elle se réfère — « tous les ordinateurs portables Windows », et non simplement « oui ». Datez le questionnaire et indiquez à quelle version il se réfère, afin que des informations datant d’il y a deux ans ne soient pas considérées comme une assurance actuelle. Ne prenez pas d’engagements au nom de tiers sur lesquels vous n’avez aucun contrôle ; en ce qui concerne les sous-traitants, indiquez ce qui a été convenu contractuellement, et non ce que vous supposez. Et conservez une trace de qui a fourni quelle réponse en interne, afin de pouvoir retracer ultérieurement la source d’une déclaration.

Un dernier point souvent négligé : les délais promis doivent faire l’objet d’un suivi. Un questionnaire comportant trois actions ouvertes et trois délais crée trois engagements — si vous ne les incluez pas dans un rapport de suivi, vous serez confronté aux mêmes lacunes et à un engagement non tenu lors du prochain audit. C’est pire que la lacune initiale.

Comment s’y prendre concrètement ?

Pas en le remplissant. Commencez par parcourir l’intégralité du questionnaire et marquez chaque question avec l’une des quatre couleurs suivantes : « Oui » catégorique avec pièces justificatives, « Non » catégorique, ambigu ou sans objet. Ce processus de tri prend une heure et met immédiatement en évidence où se situe le véritable travail.

Travailler ensuite sur deux piles. Clarifiez les questions « incertaines » d’un point de vue technique avant de cocher quoi que ce soit. Triez les réponses « Non » en fonction de ce qui peut être obtenu et documenté à court terme — l’authentification multifactorielle, le chiffrement, la gestion des correctifs et les certificats de formation entrent généralement dans cette catégorie — et de ce qui nécessite un processus organisationnel, comme la chaîne hiérarchique ou le test de reproduction. Pour le premier groupe, un bon de commande suffit ; pour le second, vous aurez besoin d’une personne désignée et d’une date butoir.

Et gardez l’objectif à l’esprit : le client ne souhaite pas voir une opération irréprochable, mais une opération qui tient compte de sa situation. Un questionnaire honnête comportant quatre réponses « non » et quatre dates prévues inspire bien davantage confiance qu’une colonne remplie de cases cochées qui s’effondre dès le premier suivi.

 

 

---