nous ne sommes pas certifiés mais le questionnaire demande si nous le sommes

Ne pas remplir de certificat sans inventer de justification

Sans certificat ISO 27001, vous répondez « non » à la question de certification, et ce n'est pas un problème — un certificat n'est pas obligatoire, même en vertu de la NIS2. Ce qui compte, c'est que les mesures sous-jacentes sont en place. La liste de questions de votre client demande généralement le certificat comme moyen le plus rapide de vérifier que votre gestion des risques est en ordre ; sans certificat, vous devez le démontrer d'une autre manière.

C'est pourquoi vous ne devez pas vous concentrer uniquement sur la question oui/non, mais sur ce qui se cache derrière. Souvent, une question de suivi suit, portant sur des mesures concrètes : contrôle d'accès, réponse aux incidents, continuité. Ce sont les mêmes sujets que les mesures de contrôle de l'Annexe A d'ISO 27001, et aussi les mêmes sujets que les dix mesures énoncées à l'article 21, paragraphe 2 de la NIS2. Si votre dossier de chaîne contient des réponses concernant l'existence d'une politique pour l'analyse des risques et la sécurité des systèmes d'information et sur l'existence d'une procédure pour les incidents de sécurité, vous remplissez bien ces questions de suivi avec une réponse justifiée, même s'il n'y a pas de certificat derrière. Le système propose cette réponse à partir de votre dossier ; vous la confirmez par question avec oui ou non avant qu'elle n'aille au portail de votre client.

La certification et les mesures sont deux questions distinctes

La norme ISO/IEC 27001 délivre le certificat sur la base d'un audit par rapport aux mesures de contrôle de l'Annexe A ; la NIS2 (Directive (UE) 2022/2555, article 21, paragraphe 2) impose ces dix mesures elles-mêmes, indépendamment de la certification. La loi néerlandaise sur la cybersécurité transpose cette obligation et entrera en vigueur le 15 août 2026. Un client qui demande le certificat teste donc en réalité si vous satisfaisez aux mesures sous-jacentes — le certificat est le moyen de preuve, non l'exigence elle-même. Que vous-même soyez soumis à cette obligation dépend de si l'entreprise relève de la directive NIS2 ou de sa transposition nationale; cela détermine le poids des questions de suivi, même sans certificat.