je ne comprends pas une question technique du questionnaire, qui peut y répondre

Rattacher la question à l'une des dix mesures

Une question technique d'un questionnaire est presque toujours une traduction de l'une des dix mesures de l'article 21, paragraphe 2 de la Directive (UE) 2022/2555, ou d'une mesure de contrôle figurant à l'Annexe A de la norme ISO/IEC 27001. Le portail du client utilise souvent une formulation propre — « comment votre segmentation réseau est-elle configurée » ou « quel est le standard de chiffrement que vous utilisez pour les données au repos » — mais la question sous-jacente est connue. Il est utile de d'abord déterminer sous quelle catégorie la question relève : s'agit-il d'accès, de chiffrement, de vulnérabilités, ou de la chaîne d'approvisionnement. Une fois cette catégorie établie, la question peut généralement être répondue avec une documentation existante, même si le terme exact est nouveau.

En cas de doute sur la mise en œuvre technique précise — quel protocole, quelle longueur de clé, quelle fréquence de balayage — le service informatique ou le gestionnaire externe est la partie compétente, non la personne de contact commerciale ou juridique qui reçoit la liste. Quiconque rencontre régulièrement les mêmes questions techniques sur le chiffrement peut le noter comme réponse fixe pour le sujet ou s'il existe une politique relative à la cryptographie et au chiffrement, de sorte que cette question ne soit pas réexaminée à chaque fois. Il en va de même pour les questions sur l'authentification multifacteur ou le contrôle d'accès : ce sont des questions distinctes dans la liste, mais elles traitent fondamentalement du même sujet, formulé chaque fois différemment.

D'où viennent les dix mesures

L'article 21, paragraphe 2 de la Directive (UE) 2022/2555 énumère dix catégories de mesures, de l'analyse des risques à la cryptographie en passant par le comportement humain au sein de l'organisation. L'Annexe A de la norme ISO/IEC 27001 développe davantage des sujets comparables sous la forme de mesures de contrôle concrètes, ce qui explique pourquoi une question d'audit et une question de client aboutissent souvent au même résultat, même si les formulations diffèrent. La Loi sur la cybersécurité transpose l'article 21 dans le droit néerlandais et devrait entrer en vigueur le 15 août 2026 ; jusqu'à cette date, la directive elle-même est le point de référence pour déterminer sous quelle mesure une question relève.