Qu'est-ce qui change cette année dans le questionnaire de cybersécurité de votre client ?
Les questionnaires sur la cybersécurité que les clients envoient à leurs fournisseurs changent sur deux points. Premièrement, les questions deviennent plus précises : au lieu d'une question générale oui/non sur la politique de sécurité, un nombre croissant de clients demandent une courte justification ou une pièce justificative par sujet. Deuxièmement, ces listes touchent un groupe plus large d'entreprises, y compris les entreprises qui ne relèvent pas elles-mêmes directement de la directive NIS2.
La raison en est simple. Les entreprises qui relèvent de la directive doivent, selon le texte de la NIS2, également examiner la sécurité de leurs fournisseurs. Elles le répercutent dans leurs propres questionnaires, de sorte que la question atteint les entreprises situées plus loin dans la chaîne. Le fait que cela s'applique également à votre entreprise dépend de qui sont vos clients et ce qu'ils vous demandent ; il est préférable de vous renseigner auprès du client lui-même ou de vérifier avec quelques questions qui vous donnent rapidement une vue d'ensemble.
Pourquoi les questions deviennent-elles plus détaillées
La directive NIS2 européenne décrit dix catégories de mesures auxquelles les organisations relevant de la directive doivent travailler, telles que la gestion des risques, la politique d'accès et la gestion des incidents. Les clients qui doivent eux-mêmes rendre compte de ces mesures ne peuvent le faire que s'ils savent aussi comment leurs fournisseurs les gèrent. Cela explique pourquoi les listes qui posaient d'abord une question large posent maintenant une question distincte par catégorie, souvent avec la demande d'envoyer une courte pièce justificative.
Ce passage de questions générales à des questions spécifiques par mesure n'est pas un ajustement unique. Les clients adaptent leur propre portail et format à mesure qu'ils obtiennent eux-mêmes une plus grande clarté sur ce qu'on attend d'eux. Pour vous en tant que fournisseur, cela signifie que le même client peut envoyer une liste légèrement différente l'année suivante, même si rien n'a changé chez vous.
Qui cela affecte cette année
La directive elle-même s'adresse aux organisations de secteurs spécifiques et d'une certaine taille. Le fait qu'une entreprise en relève est décrit dans la directive et dans la loi nationale qui la transpose ; c'est quelque chose à vérifier auprès d'un juriste ou de l'autorité de surveillance, pas quelque chose qu'on peut déduire d'un questionnaire seul. Ce qui est observable dans la pratique : les entreprises qui ne relèvent pas elles-mêmes de la directive reçoivent également des questions parce que leurs clients le doivent.
Cet effet de cascade est le principal changement pratique de cette année. Une entreprise d'installation qui assure la maintenance du logiciel pour un fournisseur d'énergie, ou un prestataire informatique qui travaille pour un hôpital, peut recevoir un questionnaire plus détaillé sans que l'entreprise elle-même relève de la directive. Le contexte des dix mesures et ce qu'elles signifient exactement est développé dans le base de connaissances avec explications par sujet.
Ce qui n'est pas encore établi
La directive devait être transposée en droit national des États membres en octobre 2024. Aux Pays-Bas, ce processus législatif est toujours en cours, et la forme précise et le moment où la loi nationale entrera pleinement en vigueur n'étaient pas définitivement établis au moment de la rédaction. Cela signifie que les obligations exactes pour les organisations qui relèvent de la loi, et les délais qui s'y rapportent, peuvent encore changer. Pour l'état actuel, le texte de la directive lui-même et les informations de l'autorité de surveillance sont la source appropriée, et non un questionnaire ou un article d'actualité.
Comment procéder sans recommencer chaque année
Parce que les questions peuvent varier légèrement selon le client et d'une année à l'autre, il est utile de consigner une seule fois correctement les informations sous-jacentes et de remplir chaque nouvelle liste à partir de là. Cela évite de recommencer de zéro à chaque nouvelle liste de questions, même si la formulation des questions est légèrement différente de l'année précédente. Le fonctionnement pratique est décrit sur la page d'où vient l'information.
Si vous avez des doutes ou si vous ne savez pas si une question spécifique d'une liste s'applique à votre entreprise, c'est une question à discuter directement avec le client ou avec un conseiller. Un aperçu des questions fréquemment posées sur ce type de listes est disponible sur la page questions fréquemment posées sur les listes de questions.
Enfin
L'essence du changement cette année n'est pas qu'une nouvelle obligation apparaît, mais que les obligations existantes s'étendent davantage dans la chaîne et sont demandées de manière plus concrète. Si vous voulez savoir rapidement où en est votre entreprise actuellement, effectuez l'auto-évaluation gratuite ou lisez les autres sujets dans la base de connaissances.