Questionnaire cybersécurité client : comment y répondre

Un questionnaire cybersécurité client vérifie que vous êtes un fournisseur sûr : authentification multifacteur, sauvegardes, réponse à incident, sensibilisation du personnel, gestion des accès, RGPD. Pour y répondre vite et juste, constituez votre dossier de preuves avant de le recevoir, répondez question par question avec une pièce à l’appui, et datez ce qui est en cours plutôt que de cocher « oui ».

Ce guide explique pourquoi ces questionnaires arrivent, les formats que vous rencontrerez, les dix questions les plus fréquentes avec une réponse type à adapter, puis comment traiter honnêtement vos lacunes.

Pourquoi vos clients vous envoient des questionnaires de sécurité

Trois mécanismes poussent vos clients à évaluer leurs fournisseurs.

NIS2 et la chaîne d’approvisionnement. L’article 21.2.d de la directive NIS2 demande aux entités concernées de gérer « la sécurité de la chaîne d’approvisionnement ». Un client soumis à NIS2 (hôpital, collectivité, énergéticien, et beaucoup d’entreprises des secteurs listés) doit donc évaluer ses prestataires. S’il juge votre niveau insuffisant, il peut cesser de travailler avec vous. Notre guide NIS2 pour les PME précise qui est concerné.

ISO 27001 et les relations fournisseurs. Les mesures A.5.19 à A.5.23 de l’annexe A d’ISO/IEC 27001:2022 couvrent la sécurité des relations avec les fournisseurs : risques liés aux tiers, clauses contractuelles, suivi, services cloud. Un client certifié ISO 27001 qui n’évalue pas ses fournisseurs serait lui-même en écart lors de son audit.

L’assurance cyber. Les assureurs examinent aussi la façon dont leurs assurés gèrent leurs prestataires, et posent à vos clients les mêmes questions que celles qu’ils vous posent. Voir assurance cyber : les preuves à fournir.

Les formats que vous allez rencontrer

CyberVadis. La plateforme mène des évaluations fondées sur des preuves : vous remplissez une évaluation standardisée, joignez vos justificatifs, et obtenez une fiche de notation validée par des experts, que vous partagez avec vos clients. Une note élevée sans preuves solides ne tient pas : documentez chaque réponse.

SecurityScorecard. La note, de A à F, est calculée à partir de données que la plateforme collecte elle-même sur ce qui est visible de votre système d’information depuis Internet : certificats, ports exposés, configuration de la messagerie, réputation des adresses IP. Vous pouvez être noté sans avoir rien rempli. Consultez votre propre note (SecurityScorecard propose une évaluation gratuite), corrigez ce qui relève de vous et signalez les éléments mal attribués. Notre test de sécurité email repère les défauts de configuration de messagerie qui pèsent sur ce type de note.

Les questionnaires internes. La majorité des PME reçoivent un document maison : Word, Excel ou formulaire en ligne envoyé par les achats ou l’équipe sécurité du client. De quinze questions génériques à quarante pages de contrôles, la qualité varie. Quand une question est floue, demandez une précision par écrit : la réponse vous dit souvent ce que le client cherche.

Les formulaires d’assurance cyber. Ce sont les plus engageants, car vos réponses valent déclaration du risque. Une question du type « la MFA est-elle déployée sur l’ensemble de vos systèmes critiques ? » appelle une réponse exacte : répondre « oui » quand c’est vrai pour 80 % des comptes est une fausse déclaration.

Les 10 questions les plus fréquentes, avec une réponse type

Quel que soit le format, dix sujets reviennent presque toujours. Pour chacun : ce que l’évaluateur cherche, une formulation à adapter (remplacez les passages entre crochets) et la preuve à joindre.

1. Authentification multifacteur (MFA)

L’évaluateur veut savoir si la MFA protège les accès distants, la messagerie et les applications critiques, au-delà du seul compte de l’administrateur.

Réponse type : « La MFA est activée pour tous les comptes Microsoft 365 et pour l’accès VPN depuis [mois année], par application d’authentification. Les comptes d’administration utilisent une clé de sécurité FIDO2. Couverture : [X] comptes sur [Y]. »

Preuve : capture de la stratégie d’accès conditionnel ou de la console d’administration. Notre guide déployer la MFA en entreprise détaille la mise en place.

2. Plan de réponse à incident

L’évaluateur cherche une procédure écrite, approuvée par la direction, avec des délais de notification.

Réponse type : « Notre procédure de réponse aux incidents (version [X], approuvée le [date]) couvre les rançongiciels, la compromission de messagerie et la fuite de données. Elle prévoit la notification à la CNIL sous 72 heures en cas de violation de données personnelles. Dernier exercice : [date]. »

Preuve : page de garde de la procédure, avec date et approbation. La fiche réflexe cyberattaque fournit une base.

3. Sensibilisation et formation

L’évaluateur attend un programme structuré et des indicateurs mesurés. C’est souvent la section la plus faible des réponses de PME, faute de chiffres.

Réponse type : « Chaque salarié suit un module de sensibilisation à son arrivée, puis [fréquence]. Nous menons une simulation de phishing [mensuelle ou trimestrielle] ; les personnes qui cliquent suivent un module court. Sur les 12 derniers mois : [N] campagnes, [X] % des formations assignées terminées. Rapport joint. »

Preuve : rapport de la dernière campagne de simulation et historique des formations (voir la section dédiée plus bas).

4. Chiffrement des données

L’évaluateur distingue le chiffrement au repos (postes, sauvegardes) et en transit.

Réponse type : « Les disques des postes sont chiffrés (BitLocker ou FileVault) par une stratégie centrale. Les échanges passent en TLS 1.2 ou plus. Les sauvegardes sont chiffrées. »

Preuve : extrait de la PSSI ou de la console de gestion des postes.

5. Sauvegardes et tests de restauration

L’évaluateur attend la règle 3-2-1 et, surtout, la preuve d’un test de restauration récent.

Réponse type : « Sauvegarde quotidienne selon la règle 3-2-1, dont une copie hors ligne. Dernier test de restauration complet : [date], durée [X] heures. »

Preuve : compte rendu du dernier test, daté.

6. Conformité RGPD

L’évaluateur cherche le registre des traitements (article 30), la procédure de notification des violations (articles 33 et 34) et les clauses de sous-traitance (article 28).

Réponse type : « Registre des traitements à jour au [date], DPO désigné : [nom ou prestataire]. Procédure de notification des violations en place. Clauses de l’article 28 intégrées à nos contrats de sous-traitance. »

Preuve : page de garde du registre ou attestation du DPO. Voir RGPD et phishing.

7. Gestion des accès et révocation

L’évaluateur attend un processus d’arrivée et de départ, avec un délai de révocation défini.

Réponse type : « Les accès sont attribués sur demande du manager et validés par [rôle]. Ils sont révoqués le jour du départ. Revue des droits [semestrielle]. »

Preuve : procédure d’arrivée et de départ extraite de la PSSI.

8. Gestion des vulnérabilités

L’évaluateur cherche des délais d’application des correctifs selon la criticité, et une veille.

Réponse type : « Correctifs critiques appliqués sous [X] jours, correctifs importants sous [Y] jours. Veille sur les bulletins du CERT-FR et des éditeurs. »

Preuve : politique de gestion des correctifs.

9. Risques liés aux tiers

Vous êtes évalué sur votre propre façon d’évaluer vos fournisseurs.

Réponse type : « Les prestataires qui accèdent à notre système d’information signent des clauses de sécurité : confidentialité, notification des incidents, droit d’audit. [Processus de qualification en cours de formalisation, fin prévue le [date].] »

Preuve : modèle de clause ou extrait de la politique de gestion des tiers.

10. Continuité d’activité

L’évaluateur cherche les systèmes prioritaires, les délais de reprise et le mode dégradé.

Réponse type : « Plan de reprise documenté pour [systèmes critiques] : reprise en [X] heures, perte de données maximale de [Y] heures. Dernier test : [date]. »

Preuve : page de garde du plan, avec date et approbation. Notre guide PRA et PCA pour PME donne la structure.

La section sensibilisation : des chiffres plutôt qu’une phrase

Beaucoup d’entreprises savent qu’elles ont fait « une formation l’an dernier », sans pouvoir dire combien de personnes l’ont suivie ni si elle a changé quelque chose. Un évaluateur lit cette réponse comme une absence de programme, même quand le reste du dossier est solide.

Les simulations de phishing de nophi.sh produisent les chiffres attendus :

• Un rapport d’audit PDF : synthèse, tendances des ouvertures, clics et saisies d’identifiants mois par mois, répartition du risque, résultats par département, suivi des formations.
• Des exports CSV : une ligne par campagne pour l’organisation, une ligne par personne pour chaque campagne.
• Le suivi des formations : après un clic, un module court est assigné automatiquement, avec relances avant l’échéance puis alerte au manager ; vous voyez qui l’a terminé, à quelle date et avec quel score au quiz.

Pour une plateforme d’évaluation, joignez le rapport PDF le plus récent. Pour un questionnaire qui demande douze mois d’historique, les exports CSV donnent le détail. Ces pièces couvrent la sensibilisation ; les autres sections demandent leurs propres preuves. La page preuves de sensibilisation pour vos audits détaille chaque export.

Constituer votre dossier de preuves

Un dossier prêt à l’avance permet de répondre en deux jours plutôt qu’en deux semaines.

Gouvernance :

• PSSI validée par la direction, avec sa date de révision (notre modèle de PSSI pour PME donne une base)
• Organisation de la sécurité : qui est responsable de quoi
• Page de garde du registre des traitements RGPD

Opérations :

• Politique de sauvegarde et compte rendu du dernier test de restauration
• Procédure de gestion des accès, arrivées et départs
• Politique de gestion des correctifs
• Procédure de réponse aux incidents

Sensibilisation :

• Rapports des trois à six dernières campagnes de simulation de phishing
• Historique des formations suivies
• Évolution sur 12 mois des taux de clic et des signalements

Technique :

• Capture de la configuration MFA
• Preuve du chiffrement des postes
• Extrait de la politique de mise à jour

Rangez ces pièces dans un dossier partagé sécurisé avec deux sous-dossiers, « Documents courants » et « Archives » datées, et confiez sa mise à jour à une personne nommée. Sans responsable, le dossier est périmé en douze mois.

Vos lacunes : répondre honnêtement

Un évaluateur expérimenté sait qu’une PME de 50 personnes n’a pas le niveau de sécurité d’une ETI de 500. Il évalue votre maturité réelle et la lucidité avec laquelle vous la décrivez. « Nous n’avons pas encore de PSSI validée ; la rédaction est en cours, validation prévue en juin » inspire plus confiance qu’un document intitulé PSSI sans lien avec vos pratiques.

« En cours de déploiement » est une réponse légitime à condition de la compléter : périmètre restant, date prévue, responsable. Les plateformes d’évaluation proposent souvent un statut « prévu » avec une date : utilisez-le plutôt que de cocher « oui ».

Une réponse inexacte coûte cher. Côté client, la découverte d’une fausse réponse lors d’un incident ou d’un audit rompt la confiance et peut conduire à la résiliation du contrat. Côté assurance, la fausse déclaration intentionnelle entraîne la nullité du contrat, les primes restant acquises à l’assureur (article L113-8 du code des assurances). Si vous n’êtes pas certain qu’une mesure est appliquée partout, décrivez la situation réelle.

Questions fréquentes

Un client peut-il m’imposer un questionnaire de sécurité ?

Il peut en faire une condition pour travailler avec vous. Un client soumis à NIS2 doit gérer la sécurité de sa chaîne d’approvisionnement (article 21.2.d), et un client certifié ISO 27001 doit évaluer ses fournisseurs (mesures A.5.19 à A.5.23). Refuser ou répondre vaguement peut vous coûter le référencement.

Quelle est la différence entre CyberVadis et SecurityScorecard ?

CyberVadis repose sur votre participation : vous répondez à une évaluation standardisée, joignez des preuves, et obtenez une note validée par des experts que vous partagez avec vos clients. SecurityScorecard note les entreprises de A à F à partir de données qu’il collecte lui-même sur ce qui est visible de l’extérieur : vous pouvez être noté sans avoir rempli quoi que ce soit.

Que se passe-t-il si ma réponse révèle des lacunes ?

C’est moins grave qu’une réponse inexacte. Un client professionnel sait qu’aucune PME n’est parfaite : il évalue votre connaissance de vos failles et la crédibilité de votre plan. « En cours de déploiement sur les 20 postes restants, fin prévue en mars, responsable désigné » est bien reçu ; un « oui » démenti par un incident rompt la confiance.

Un questionnaire d’assurance cyber est-il différent d’un questionnaire client ?

Les questions se ressemblent, l’engagement diffère. Le questionnaire client mesure si vous êtes un partenaire fiable. Le questionnaire d’assurance est une déclaration du risque : une fausse déclaration intentionnelle entraîne la nullité du contrat (article L113-8 du code des assurances), et une inexactitude de bonne foi réduit l’indemnité (article L113-9).

Combien de temps prévoir pour répondre ?

Avec un dossier de preuves déjà constitué, quelques jours suffisent pour un questionnaire détaillé. Sans PSSI, sans politique de sauvegarde écrite ni rapport de sensibilisation, comptez nettement plus : une partie du temps sert à rédiger les documents manquants.

Mon client peut-il partager les résultats de mon évaluation ?

Cela dépend du contrat et de la plateforme. Pour un questionnaire interne, vérifiez les clauses de confidentialité de votre contrat. Sur une plateforme d’évaluation, lisez les conditions de partage avant de répondre. Une note externe de type SecurityScorecard est consultable par les abonnés de la plateforme.

nophi.sh peut-il m’aider à répondre à la section sensibilisation ?

Oui. nophi.sh produit un rapport d’audit PDF (synthèse, tendances, répartition du risque, départements, suivi des formations) et des exports CSV. Ils répondent aux questions habituelles : fréquence des tests, couverture du personnel, formations terminées, évolution des résultats. Joignez-les à votre réponse.

Pour la section sensibilisation de votre prochain questionnaire, lancez une première campagne pendant l’essai gratuit de 14 jours : environ 15 minutes de configuration, hors liste blanche dans votre messagerie, et la première campagne part le jour même.