Vous avez reçu un questionnaire NIS2 ?
Votre client est soumis à NIS2 et doit maîtriser les risques liés à ses fournisseurs. Il vous demande donc de montrer comment vous protégez ses données et vos systèmes. Ce guide explique pourquoi, ce qu’on va vous demander, et comment y répondre une seule fois.
Pourquoi vous le recevez
La directive NIS2 impose aux entités qu’elle vise de sécuriser leur chaîne d’approvisionnement (article 21, paragraphe 2, point d). Elles doivent tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité de ses pratiques de cybersécurité (article 21, paragraphe 3). Le questionnaire est la façon dont votre client s’en acquitte. Le recevoir ne signifie pas que vous êtes vous-même soumis à la directive.
Ce qu’on va vous demander
Les questionnaires suivent presque toujours les dix mesures de l’article 21, paragraphe 2. Pour chacune, voici ce qui y répond le mieux.
Analyse des risques et politiques de sécurité
Une politique de sécurité de l’information et une analyse de risques, même courtes.
Traitement des incidents
Une procédure : qui détecte un incident, qui décide, qui prévient le client et dans quel délai.
Continuité, sauvegardes et gestion de crise
Votre politique de sauvegarde et votre plan de reprise, avec la date du dernier test.
Fournisseurs et chaîne d’approvisionnement
La liste de vos sous-traitants, avec leur finalité et leur région.
Construction et maintenance des systèmes, y compris les vulnérabilités
Comment vous appliquez les correctifs, et comment on peut vous signaler une vulnérabilité.
Comment vous vérifiez que les mesures fonctionnent
Ce que vous contrôlez et à quelle fréquence : revue annuelle, audit, test d’intrusion.
Hygiène de base et formation
Vos règles de base (mises à jour, mots de passe, hameçonnage) et la formation du personnel.
Cryptographie
Ce qui est chiffré, en transit et au repos, et comment.
Personnes, accès et actifs
Qui a accès à quoi, comment les accès sont ouverts et retirés, et l’inventaire de vos actifs.
Authentification et communications sécurisées
Où l’authentification multifacteur est imposée, et quels outils de communication vous utilisez.
Le modèle de réponses suit ces dix mesures, une section par mesure. Partir du modèle de réponses
Répondre une fois, pas à chaque client
Le même questionnaire reviendra, d’un autre client et dans un autre format. Publiez vos réponses et vos documents sur un trust center : vous envoyez un lien au lieu de remplir un tableur. Ce qui ne doit pas être public ne s’ouvre que sur demande, et chaque version reste datée.
Êtes-vous vous-même soumis à NIS2 ?
Cela dépend de votre secteur et de votre taille, et chaque État membre transpose la directive à sa façon. En Belgique, le Centre pour la Cybersécurité Belgique (CCB) propose un test d’applicabilité NIS2 : c’est la source à consulter.
Site du CCB (ouvre un nouvel onglet)Questions fréquentes
- Faut-il une certification pour répondre ?
- Non. Un client peut en demander une, mais la directive ne l’impose pas à ses fournisseurs. Ce qui compte, c’est de pouvoir montrer ce que vous faites, documents à l’appui.
- Et CyberFundamentals ?
- En Belgique, beaucoup de clients s’appuient sur le cadre CyberFundamentals du CCB et peuvent vous demander un niveau : Basic, Important ou Essential. CyberFundamentals expliqué
- Mes réponses doivent-elles être publiques ?
- Non. Une politique de confidentialité ou une liste de sous-traitants peut l’être ; un test d’intrusion ou un plan de continuité ne s’ouvre qu’aux personnes à qui vous en donnez l’accès.