le questionnaire demande si la direction est impliquée dans la cybersécurité

L'implication de la direction est une obligation NIS2 distincte, séparée des dix mesures

Cette question ne porte pas sur la technique mais sur la gouvernance : la direction elle-même est-elle impliquée dans la cybersécurité, ou cela a-t-il été entièrement délégué à l'informatique. L'article 21, paragraphe 2, de la directive NIS2 énumère les dix mesures elles-mêmes, mais l'article 20 de la directive exige en outre que les organes directeurs approuvent les mesures de gestion des risques et supervisent leur mise en œuvre, et que les membres de la direction reçoivent une formation leur permettant d'évaluer les risques de cybersécurité. Il s'agit donc d'un point distinct du questionnaire : non pas « quelles mesures avez-vous mises en place », mais « la direction sait-elle et approuve-t-elle cela ».

Les pièces justificatives incluent généralement un extrait de procès-verbal montrant que la direction a adopté ou évalué la politique de sécurité, un organigramme montrant les lignes de rapport à la direction, ou un point à l'ordre du jour d'une réunion régulière de la direction traitant des risques de cybersécurité. En l'absence de ces éléments, « non » est la réponse honnête ici — un fournisseur qui remplit ce champ sans justificatif risque que le client ne revienne dessus ultérieurement. Cette question est souvent liée à la question l'efficacité des mesures de sécurité est-elle testée régulièrement, car un test sans suivi de la direction constitue pour un client une réponse incomplète. Il est également pertinent de vérifier si votre entreprise est soumise à la directive NIS2, car il ne s'agit alors pas seulement d'une question de votre client mais d'une obligation légale qui vous est propre à partir du 15 août 2026, date à laquelle la Loi sur la cybersécurité entre en vigueur.

Source : article 20 aux côtés de l'article 21 de la directive NIS2

L'article 20 de la Directive (UE) 2022/2555 traite de la responsabilité et de l'implication des organes directeurs, en dehors des dix mesures substantielles énumérées à l'article 21, paragraphe 2 ; ISO/IEC 27001 n'a pas d'équivalent littéral dans l'Annexe A, mais exige via les exigences fondamentales de la norme (clause 5, leadership) une implication démontrable de la direction, qui est souvent fournie comme pièce justificative distincte à côté des mesures de l'Annexe A.