[Exigence client]

Un client vous demande si vous êtes sécurisé

Cinquante à cent questions, quinze à trente jours pour répondre, et un contrat au bout. Je remplis le document avec vous, honnêtement, et on traite d’abord ce qui pourrait bloquer le marché.

07 45 08 28 00

Appel direct, sans standard

Envoyer le questionnaire

Envoyez-moi le document, je vous dis en une journée ce qui est déjà bon chez vous et ce qui demande du travail. Premier échange gratuit.

  • Réponse sous 24 à 48h
    Prise de contact rapide, urgences comprises
  • Référencé Cybermalveillance.gouv.fr
    Prestataire du dispositif national ACYMA
  • 15+ ans d'expérience
    Cybersécurité et infrastructure IT
  • Audit sans engagement
    Premier échange et cadrage gratuits

Pourquoi vous le recevez maintenant

La directive européenne NIS2 ne s’applique pas directement à la plupart des TPE et PME. Mais elle impose aux entreprises qu’elle concerne — grands groupes, énergie, santé, transports, administrations — de maîtriser la sécurité de leur chaîne d’approvisionnement. Elles répercutent donc leurs obligations sur leurs fournisseurs, par le seul moyen dont elles disposent : le contrat.

C’est pour cette raison que le sujet arrive par votre commercial plutôt que par un courrier officiel, et qu’il arrive avec une date limite. Ce n’est pas une formalité : un fournisseur qui ne répond pas, ou qui répond de façon manifestement fantaisiste, sort des listes de référencement.

La bonne nouvelle, c’est qu’un questionnaire n’attend pas de vous la perfection. Il attend que vous sachiez où vous en êtes, et que vous puissiez le dire clairement.

Ce qu’il y a dedans, en clair

Vos sauvegardes

À quelle fréquence, où sont-elles stockées, et surtout : les avez-vous déjà restaurées pour vérifier qu'elles fonctionnent ? C'est la question qui met le plus d'entreprises en difficulté.

Qui a accès à quoi

Comment sont gérés les comptes, que se passe-t-il quand quelqu'un quitte l'entreprise, avez-vous une double vérification à la connexion sur la messagerie.

Vos prestataires

Qui intervient sur votre informatique, avec quels droits, et ce qui est prévu contractuellement avec eux.

La réaction en cas d’incident

Qui prévient qui, dans quel ordre, et sous quel délai. Beaucoup de PME découvrent à cette question qu'elles n'ont aucune procédure écrite.

Vos données personnelles

Ce que vous conservez, combien de temps, et ce que vous faites en cas de fuite. Le RGPD revient toujours dans ces documents.

L’erreur à ne pas commettre : répondre « oui » partout

C’est tentant, et c’est la pire option. Ces réponses sont contractuelles. En cas d’incident, un audit ou une expertise d’assurance ira vérifier ce que vous avez déclaré, et une déclaration inexacte peut coûter bien plus cher que le marché qu’elle visait à décrocher.

Un « non, mais voici sous quel délai nous le mettrons en place » est infiniment mieux reçu qu’un « oui » qui se révèle faux au pire moment. Les grands comptes savent parfaitement qu’une entreprise de vingt personnes n’a pas de centre de supervision : ce qu’ils cherchent, c’est un fournisseur lucide.

Questions fréquentes

Mon client m’envoie un questionnaire de sécurité, suis-je obligé d’y répondre ?

Contractuellement, oui, dans la quasi-totalité des cas : le questionnaire est rattaché à une clause de votre contrat ou à une condition de renouvellement. Commercialement, c'est encore plus net — un fournisseur qui ne répond pas, ou qui répond n'importe quoi, sort des listes de référencement. La bonne nouvelle est qu'un questionnaire n'attend pas que vous soyez parfait : il attend que vous sachiez où vous en êtes.

Combien de temps ai-je pour répondre ?

Le plus souvent quinze à trente jours. C'est court quand on découvre le document, et c'est la raison pour laquelle beaucoup de dirigeants nous appellent la semaine où ils le reçoivent. En pratique, un questionnaire de cinquante à cent questions se traite en quelques jours si l'on s'y prend dans le bon ordre.

Puis-je répondre « oui » partout pour ne pas perdre le marché ?

C'est la pire option. Ces déclarations sont contractuelles : en cas d'incident, un audit ou une expertise d'assurance ira vérifier ce que vous avez affirmé. Un « non, mais voici sous quel délai nous le mettrons en place » est infiniment mieux reçu qu'un « oui » qui se révèle faux au pire moment. Les grands comptes savent parfaitement qu'une PME de vingt personnes n'a pas de SOC.

Pourquoi mes clients me demandent-ils cela maintenant ?

À cause de NIS2. La directive ne s'applique pas directement à la plupart des TPE et PME, mais elle impose aux entreprises concernées de maîtriser la sécurité de leur chaîne d'approvisionnement. Elles répercutent donc leurs obligations sur leurs fournisseurs, par contrat. C'est pour cela que le sujet arrive par le commerce plutôt que par la réglementation.

Concrètement, comment se passe votre accompagnement ?

On parcourt le questionnaire ensemble, question par question. Je vous dis ce qui est déjà en place chez vous, ce qui ne l'est pas, et ce qui coûterait trois fois rien à mettre en place avant de renvoyer le document. Vous repartez avec le questionnaire rempli, honnête et défendable, et un plan pour les points restants.

Et si le questionnaire révèle de vrais trous ?

C'est plutôt une bonne nouvelle : vous les découvrez à cause d'un client, pas à cause d'une attaque. On les classe par ce qu'ils coûtent et par ce qu'ils évitent, et on traite d'abord ce qui bloquerait le contrat. La plupart des points relevés dans ces questionnaires se règlent en quelques jours.

Envoyez-moi le questionnaire

Je le parcours et je vous rappelle avec un avis franc : ce qui passe, ce qui ne passe pas, et ce qu’on peut corriger avant la date limite.

07 45 08 28 00Écrire

Voir aussi

Cybersécurité près de chez vous

Nos autres services