Pourquoi ces questionnaires pleuvent depuis deux ans
Trois forces convergent : la directive NIS2, qui oblige les grands donneurs d'ordres à évaluer la sécurité de leur chaîne de sous-traitance ; les assureurs cyber, qui conditionnent leurs contrats aux mêmes exigences ; et les référentiels sectoriels (TISAX dans l'automobile, exigences des chantiers navals et de l'aéronautique). Résultat : être bon techniquement ne suffit plus — il faut le prouver par écrit. Et un questionnaire mal renseigné peut coûter un contrat.
Les 6 familles de questions qui reviennent toujours
Les questionnaires varient, leur squelette non. Vous retrouverez systématiquement :
- Gouvernance : qui est responsable de la sécurité chez vous ? Existe-t-il une politique écrite, une charte utilisateurs ?
- Accès : MFA généralisé ? Gestion des arrivées/départs ? Comptes administrateurs séparés ?
- Sauvegarde et continuité : sauvegarde externalisée ? Immuable ? Testée ? Plan de reprise documenté, avec des délais chiffrés ?
- Protection et détection : EDR sur les postes ? Qui réagit aux alertes, et en combien de temps ?
- Gestion des incidents : procédure écrite ? Qui prévenir, dans quel délai ?
- Vos propres fournisseurs : oui, on vous demande d'évaluer… votre prestataire informatique. La boucle est bouclée.
Les 3 erreurs qui coûtent cher
1. Répondre « oui » partout sans preuve. Les donneurs d'ordres auditent par échantillon : un « oui » démenti lors d'un contrôle vaut pire qu'un « non, planifié pour T1 2027 » honnête. 2. Ignorer le questionnaire en espérant que ça passe — c'est désormais un critère d'attribution, au même titre que le prix. 3. Promettre des dates intenables : le questionnaire revient chaque année, et vos réponses précédentes aussi.
La méthode : préparer une fois, répondre dix fois
Notre approche avec les sous-traitants industriels du bassin tient en quatre temps : un audit interne de cybersécurité qui fait l'état des lieux réel ; la correction des écarts prioritaires (souvent MFA, sauvegarde immuable, EDR — couverts par notre offre cybersécurité) ; la rédaction des réponses avec les preuves jointes, dans le vocabulaire attendu par l'auditeur ; et la constitution d'un dossier de sécurité réutilisable — le questionnaire suivant se remplit alors en deux heures au lieu de deux semaines.
Du vécu, pas de la théorie : c'est exactement le chemin parcouru par cet équipementier aéronautique de Montoir, mis en conformité à trois semaines d'une échéance contractuelle — avec un test de reprise réel à 3h15, désormais cité dans ses réponses aux questionnaires.
Et si le questionnaire est déjà sur votre bureau ?
Appelez avant de répondre — pas après. Un pré-audit express permet de savoir ce que vous pouvez cocher honnêtement, ce qui se corrige en quinze jours, et ce qui se négocie avec une date d'engagement. L'appel est décroché en 15 minutes, et le premier rendez-vous de cadrage est gratuit : mieux vaut une heure de préparation que douze mois à porter une réponse approximative.