le questionnaire demande si les ordinateurs portables sont chiffrés, comment en être certain

Le chiffrement de disque fait partie de la politique de cryptographie, ce n'est pas une case à cocher isolée

La question des ordinateurs portables chiffrés est une sous-question du domaine plus large de la politique de cryptographie et de chiffrement. S'assurer qu'un ordinateur portable est vraiment chiffré signifie en pratique : BitLocker (Windows) ou FileVault (macOS) est appliqué de manière centralisée via la politique MDM ou Intune, et non comme un paramètre isolé que l'utilisateur peut activer ou désactiver. La preuve qui compte le plus ici est une export de cet environnement de gestion avec le statut de chiffrement par appareil — et non une capture d'écran d'un seul ordinateur portable. Si vous n'avez pas cet export, « non » ou « inconnu » est la réponse honnête ; un document de politique informatique isolé sans données d'appareil ne couvre pas la question.

Attention à la distinction que de nombreuses listes font entre « politique » et « appliquée » : une règle de politique qui dit que le chiffrement est obligatoire est différente d'un contrôle technique qui bloque les appareils non chiffrés lors de la connexion. Si votre client demande spécifiquement le « chiffrement complet du disque », un dossier conteneur chiffré ou seulement un mot de passe du système d'exploitation ne compte pas. Cela touche aussi la politique d'accès et la gestion des actifs informatiques: sans un inventaire à jour des ordinateurs portables existants (gestion des actifs), vous ne pouvez pas démontrer qu'ils sont tous chiffrés — vous ne pouvez dire que la politique existe, non que la couverture est complète.

Où cela revient dans NIS2 et ISO 27001

La cryptographie est mentionnée comme mesure distincte à l'article 21, paragraphe 2 de la directive NIS2, dans le cadre de la politique d'utilisation de la cryptographie et, le cas échéant, du chiffrement — l'une des dix mesures énumérées par la directive. Dans ISO/IEC 27001, cela relève des mesures de contrôle de l'Annexe A qui portent spécifiquement sur les contrôles cryptographiques. Les deux cadres exigent une politique établie plus son application démontrable ; le seul document de politique n'est donc pas suffisant comme preuve, l'application technique compte tout aussi lourd.