Répondre à un questionnaire NIS2 sans faire de promesses excessives

Un questionnaire NIS2 découle de l'obligation de votre client concernant sa chaîne d'approvisionnement au titre de l'article 21, paragraphe 2, point d), de NIS2, la directive européenne sur la cybersécurité que chaque État membre transpose dans son droit national, et qui vous est répercutée en tant que fournisseur. Vos réponses sur la notification des incidents, les audits, les vulnérabilités, les sous-traitants et la sortie peuvent être intégrées à votre contrat, car un considérant de la directive encourage les clients concernés à inscrire des mesures de sécurité dans leurs contrats fournisseurs. Répondez au regard de l'obligation de votre client, et non comme si vous deviez prouver votre propre conformité. Repérez les réponses qui vous engageront. Un même ensemble de preuves peut servir à tous vos clients sans vous amener à prendre des engagements excessifs. Le travail se déroule en six étapes : identifier l'obligation, constituer l'ensemble de preuves, repérer les clauses contractuelles, limiter ce qui dépasse le risque que vous acceptez, faire valider les réponses et tenir les preuves à jour.

Ce qu’il vous faut avant de commencer

Rassemblez les documents qui accompagneront vos réponses avant que quiconque ne commence à les rédiger, car plusieurs de ces réponses deviendront des engagements dans le contrat qui suivra.

• Le questionnaire, accompagné de toute note précisant le motif de son envoi : un nouveau contrat, un renouvellement ou un examen périodique.
• Le projet de contrat, le SLA ou l’annexe de sécurité qui l’accompagne.
• Une brève description du service concerné et les coordonnées d’un contact sécurité désigné.
• Éléments de preuve à jour : certificats et leur périmètre, politiques de sécurité qui les sous-tendent, rapports d’audit indépendant récents et synthèses des tests de sécurité que vous communiquez à l’extérieur.
• Les sous-traitants qui interviennent dans ce service et le rôle de chacun.

La description du service et le point de contact sont plus importants qu’il n’y paraît. Les clients soumis au règlement d’exécution (UE) 2024/2690, qui établit les règles applicables aux fournisseurs de services numériques décrites ci-dessous, doivent tenir un registre de leurs fournisseurs directs indiquant, pour chacun, son point de contact ainsi que les produits, services et processus TIC qu’il fournit. Les informations que vous saisissez ici figureront dans leur registre.

Trois personnes sont responsables de la réponse. En tant que bid manager, vous la pilotez, la validez et assumez la responsabilité des engagements qu’elle contient. Votre responsable de la sécurité est responsable de chaque réponse décrivant une mesure de contrôle. Un approbateur juridique est responsable de chaque réponse appelée à devenir une clause contractuelle et doit examiner le projet de contrat dès le départ, et non une fois le questionnaire rédigé.

Identifiez l’obligation du client derrière les questions

Considérez le questionnaire comme relevant de l'obligation de votre client, et non de la vôtre. L'article 21(2)(d) impose aux entités essentielles et importantes de gérer la sécurité de leur chaîne d'approvisionnement, notamment leurs relations avec les fournisseurs directs et les prestataires de services. Le questionnaire leur permet de s'acquitter de cette obligation. C'est précisément ce qu'est un questionnaire NIS2 : le questionnaire de sécurité qu'un tel client envoie à un fournisseur avant de signer ou de renouveler un contrat, ou lors d'un examen périodique. Le travail de réponse est le même que pour toute autre réponse à un questionnaire de sécurité ; ce qui change, c'est l'obligation à laquelle il répond et les réponses qui vous engagent.

L’article 21, paragraphe 3, explique un deuxième groupe de questions. Lorsqu’il choisit ses mesures, le client doit tenir compte de la qualité globale des produits de ses fournisseurs et de leurs pratiques en matière de cybersécurité, notamment de leurs procédures de développement sécurisé. Si votre service comprend un logiciel, attendez-vous à des questions sur la manière dont vous le développez et répondez-y en apportant des preuves de vos pratiques plutôt qu’en reformulant votre politique.

Pourquoi un fournisseur hors périmètre en reçoit un

Vous en recevez un parce que votre client entre dans le champ d’application, que ce soit ou non votre cas. NIS2 couvre les entités essentielles et importantes dans des secteurs tels que l’énergie, les transports, la santé, les infrastructures numériques, la gestion des services TIC et l’industrie manufacturière. Leurs obligations relatives à la chaîne d’approvisionnement vous concernent en tant que fournisseur direct. Le client évalue le risque fournisseur lié à NIS2 que présente votre service, et non votre conformité à la directive. Ne répondez donc pas comme si vous certifiiez votre propre conformité à NIS2. Indiquez plutôt les éléments dont le client a besoin pour documenter et prendre une décision concernant votre service. Si votre entreprise entre elle-même dans le champ d’application, les mesures que vous prenez au titre de l’article 21 s’appliquent en parallèle, mais elles ne changent pas la nature de la demande de ce client.

Fournisseurs numériques relevant du règlement d’exécution 2024/2690

Le règlement d’exécution 2024/2690 encadre vos réponses lorsque votre client est un fournisseur de services d’informatique en nuage, de centres de données, de réseaux de diffusion de contenu, de services gérés ou de services de sécurité gérés, ou une autre entité numérique visée par le règlement. Pour ces clients, ce règlement adopté au titre de NIS2 définit les mesures en détail, notamment les éléments que leurs contrats avec les fournisseurs doivent couvrir. Vous disposez ainsi d’une formulation précise à laquelle confronter chaque question et que vous pouvez invoquer pour demander d’en restreindre la portée.

Constituez un référentiel de preuves unique et adaptez-le à chaque format

Conservez un seul ensemble de preuves et associez-y les questions de chaque client, plutôt que de répondre à chaque formulaire en repartant de zéro. L'ENISA, dans ses orientations techniques de mise en œuvre relatives au règlement d'exécution, indique qu'une même preuve peut étayer plusieurs exigences. La même logique s'applique à tous les clients : leurs formulaires diffèrent, tout comme peut différer la législation nationale à laquelle chacun est soumis, mais une même preuve peut répondre à la même question dans plusieurs formulaires.

Les considérants du règlement indiquent que ses mesures reposent sur des normes européennes et internationales, notamment ISO/IEC 27001 et ISO/IEC 27002. C'est pourquoi les clients demandent des éléments de preuve fondés sur les normes ISO et qu'un certificat en cours de validité permet de répondre à bon nombre de leurs questions sur vos contrôles, mais pas à toutes.

Les questions récurrentes

Les questions récurrentes découlent des obligations du client : le développement sécurisé prévu à l’article 21, paragraphe 3, et les clauses applicables aux fournisseurs que le règlement d’exécution prévoit pour les contrats. Associez chaque sujet aux éléments de preuve dont vous disposez déjà.

Les cinq dernières lignes décrivent ce que vous ferez, et pas seulement ce dont vous disposez. C'est pourquoi l'étape suivante les considère comme des clauses contractuelles.

Formats standard réutilisables

Certains clients envoient leur propre formulaire
; d’autres élaborent le leur à partir d’un ensemble de questions standard. Shared Assessments décrit le SIG comme un ensemble de questions validées par le secteur, destiné aux entreprises qui évaluent les contrôles d’un prestataire de services externalisé. L’article consacré au questionnaire SIG détaille les questions posées. La Cloud Security Alliance publie le CAIQ, un questionnaire de sécurité à réponses oui/non sur les contrôles, désormais en version 4.1. Dans le cadre de l’autoévaluation STAR, proposée gratuitement, un fournisseur de services cloud peut déposer son CAIQ rempli afin que ses clients puissent le consulter.

Tenez à jour un CAIQ ou un SIG rempli dans votre dossier de preuves. Proposez-le lorsque le formulaire d’un client recoupe son contenu et demandez, dans une question de clarification, s’il peut couvrir une partie du formulaire. Rattachez ensuite les questions restantes aux mêmes preuves, afin qu’un même fait ne donne jamais lieu à deux réponses différentes. Comment répondre une fois et réutiliser les réponses dans différents formats explique le mapping lui-même.

Identifiez les réponses qui deviennent des clauses contractuelles

Identifiez chaque réponse qui vous engage à agir ultérieurement, car votre client peut intégrer ces réponses au contrat. Un critère simple : une réponse constitue une future clause contractuelle si elle fixe un délai, accorde un droit au client, vous oblige à agir lorsqu’un événement survient ou impose des exigences à vos sous-traitants. Une réponse qui décrit uniquement un contrôle que vous appliquez aujourd’hui constitue un élément de preuve. Elle peut toujours être vérifiée, mais elle décrit un fait plutôt qu’elle ne formule une promesse.

Pour un client soumis au règlement d’exécution, le point 5.1.4 de l’annexe prévoit que ses contrats avec les fournisseurs précisent, le cas échéant au moyen de SLA, un ensemble de conditions, notamment celles relatives à la notification des incidents, à l’audit, aux vulnérabilités, à la sous-traitance et à la sortie, qui figurent dans les cinq dernières lignes du tableau ci-dessus.

Les clients qui ne relèvent pas du règlement peuvent néanmoins inclure des clauses de sécurité dans le contrat, comme le préconise la directive. Analysez donc leurs questions au regard de ces cinq mêmes thèmes.

Lisez attentivement la question sur les incidents. Le règlement impose au fournisseur d'agir « sans retard injustifié ». Il ne fixe aucun délai en heures. Pour un client auquel il s'applique, un délai de 24 heures, par exemple, indiqué dans un questionnaire ou un projet de contrat relève donc des propres conditions du client, et non du règlement. Avant de l'accepter, vérifiez sa compatibilité avec votre propre processus de gestion des incidents : qui décide qu'un événement constitue un incident dont le client doit être informé, combien de temps prend cette décision et quel événement déclenche le délai. Si le délai ne convient pas, proposez la formulation du règlement ou un délai en heures qui commence à courir à partir d'un déclencheur défini, par exemple lorsque vous confirmez l'incident.

Transmettez chaque réponse signalée au service juridique, avec le projet de contrat ouvert à côté. C'est maintenant, tant qu'il ne s'agit encore que d'un projet, qu'il faut repérer toute réponse qui contredit le contrat ou promet davantage que celui-ci.

Recadrez les questions qui dépassent le niveau de risque de votre service

Demandez à restreindre la portée d'une question lorsqu'elle va au-delà de ce que justifie le niveau de risque de votre service, et donnez une raison que le client pourra consigner. Restreindre la portée ne signifie pas refuser de répondre. Le client a toujours besoin d'une réponse pour remplir ses obligations relatives à la chaîne d'approvisionnement. Une réponse plus ciblée et motivée lui en fournit une
; un refus catégorique ne lui donne rien à consigner.

Pour les clients soumis au règlement d’exécution, vous pouvez vous appuyer sur une formulation précise. Le point 5.1.4 de l’annexe assortit les conditions applicables aux fournisseurs de la mention « le cas échéant ». Le règlement permet donc d’adapter chaque condition au fournisseur concerné. Dans une demande de clarification, demandez au client comment il a évalué le risque lié à votre service et quelles questions s’y appliquent.

La clause d’audit montre comment cette adaptation fonctionne en pratique. Le règlement accorde au client un droit d’audit ou le droit de recevoir des rapports d’audit. Un fournisseur peut donc proposer des rapports d’audit à la place d’un audit sur site. Lorsqu’un audit sur site est disproportionné par rapport à votre service, proposez plutôt vos rapports d’audit indépendants, en précisant leur périmètre. Par exemple, si votre service n’a pas accès au réseau ni aux données du client, vous pouvez répondre à une question sur l’audit sur site en proposant vos derniers rapports d’audit indépendants et en demandant s’ils satisfont à la clause d’audit applicable à votre service.

Avec les clients qui ne sont pas soumis à la réglementation, formulez la même demande sans pouvoir citer de règle. Décrivez les éléments auxquels votre service accède, proposez une réponse plus ciblée et laissez le client décider. Consignez ce qu'il a accepté, car son prochain examen partira de là.

Transmettez chaque réponse à la personne qui en est responsable

Transmettez chaque réponse relative aux contrôles à votre responsable de la sécurité et chaque réponse relative aux clauses contractuelles au service juridique, tout en conservant la validation finale en tant que bid manager. Cette répartition dépend de la nature de chaque réponse. Une réponse relative aux contrôles décrit la manière dont vous gérez actuellement la sécurité, et votre responsable de la sécurité est la personne qui sait si elle est toujours exacte. Une réponse relative aux clauses contractuelles constitue un engagement que l’entreprise devra respecter, et le service juridique décide si elle peut le prendre.

Vous êtes responsable de l’ensemble de la réponse. Votre validation finale porte donc sur ce qu’aucun des deux ne peut vérifier seul. Les réponses doivent être cohérentes entre elles, avec l’ensemble des éléments de preuve et avec le projet de contrat. Aucune restriction apportée dans une réponse ne peut être abandonnée dans une autre. Par exemple, répondre à une question d’audit en fournissant des rapports d’audit ne sert à rien si une question ultérieure sur les sous-traitants accorde un accès sur site.

Consignez qui a approuvé chaque réponse et sur quelle version des éléments probants cette approbation s’appuyait. Lors du prochain examen par le client, ce registre vous indique quelles réponses restent valables et qui doit réexaminer les autres.

Dans SEQUESTO : dans SEQUESTO aOS, chaque question peut avoir son propre réviseur et son propre approbateur. Le service juridique approuve ainsi les réponses relatives aux clauses contractuelles, et votre responsable de la sécurité approuve celles relatives aux contrôles avant que vous ne validiez la réponse.

Maintenez les éléments de preuve à jour pour le prochain examen

Attribuez un responsable et une date de révision à chaque élément du dossier de preuves, car le questionnaire vous sera de nouveau adressé. Les clients concernés par le règlement d’exécution doivent surveiller et évaluer les pratiques de cybersécurité de leurs fournisseurs à intervalles planifiés, ainsi qu’après tout changement ou incident significatif, et prendre les mesures nécessaires en fonction de leurs constatations. À quelle fréquence devrez-vous donc répondre de nouveau ? Selon l’intervalle prévu par votre client, et plus tôt après un changement ou un incident significatif. Demandez cet intervalle lors de la signature et consignez-le avec les réponses destinées à ce client.

Le second déclencheur est le plus important pour votre ensemble de preuves. Si un incident modifie vos procédures de notification, d’application des correctifs ou de sous-traitance, toute réponse décrivant les anciennes pratiques devient obsolète, et le prochain contrôle du client peut avoir lieu avant le renouvellement. Actualisez les preuves concernées après un incident, et pas seulement lors du renouvellement. Il en va de même pour votre point de contact : les clients concernés doivent tenir à jour leur registre des fournisseurs. Informez-les donc de tout changement.

Attribuer un responsable et une date de révision à chaque élément transforme une gestion dans l'urgence en maintenance courante. Créer une bibliothèque auditable explique comment définir ces deux informations dans la bibliothèque qui contient l'ensemble des preuves.

Dans SEQUESTO : chaque élément du Knowledge Hub conserve le nom de son responsable, son cycle de révision et sa date d’expiration. La mise à jour d’une politique signale pour révision chaque réponse qui en est issue, avec la version de la politique dont elle provient.

Checklist pour chaque questionnaire NIS2

Copiez ceci dans le plan de réponse et cochez chaque ligne avant de donner votre validation.

• L’obligation du client est identifiée, notamment en précisant si le règlement d’exécution 2024/2690 s’applique au client. Le service concerné et votre point de contact sont indiqués.
• Chaque question correspond à un élément du dossier de preuves, et aucun fait ne donne lieu à deux réponses différentes.
• Toute réponse qui engage sur un délai, un droit, une action ou une exigence applicable à un sous-traitant est signalée et examinée par le service juridique au regard du projet de contrat, et tout délai exprimé en heures est vérifié par rapport à votre processus de gestion des incidents.
• Chaque question qui dépasse le niveau de risque de votre service fait l’objet d’une demande de restriction motivée, et la décision du client est consignée.
• Pour chaque réponse, l'approbateur est enregistré avec la version du justificatif utilisée, et l'ensemble de la réponse est validé.
• Chaque élément de preuve étayant la réponse est associé à un responsable et à une date de révision, et la fréquence de révision du client est consignée.

Utilisez-le pour le prochain questionnaire NIS2 reçu, en commençant par les réponses qui seront intégrées au contrat.