le client demande comment nous réagissons à un incident de cybersécurité, comment remplir cela

Plan de réponse aux incidents : processus, pas seulement document

La question relative au plan de réponse aux incidents porte sur la manière dont l'organisation réagit dès qu'un incident de sécurité est détecté : qui est alerté, qui décide de l'escalade, comment la restauration est lancée et comment la notification est effectuée auprès des clients ou des autorités de contrôle. Un format demande souvent la pièce justificative elle-même — le plan de réponse aux incidents ou la description de la procédure — mais la plupart des parties demandeuses évaluent implicitement aussi si le plan a jamais été utilisé ou testé. Une réponse « oui, il existe un plan » sans qu'aucun exercice ou incident réel n'ait eu lieu est factuellement correcte mais faible ; mentionnez qu'une procédure existe et ce que vous pouvez en démontrer, comme un rapport de test ou une évaluation suite à un incident antérieur.

L'absence d'un plan formellement testé rend un « non » assorti d'une brève explication préférable à un « oui » rempli sans document justificatif. Certains clients demandent spécifiquement les délais de notification à leur égard en tant que fournisseur — c'est un accord contractuel, pas automatiquement le même délai qu'une obligation légale de notification. Ne confondez pas ces deux éléments dans la réponse : ce que vous vous engagez envers votre client dans un SLA est indépendant de ce qui doit éventuellement être notifié à une autorité de contrôle. Cette question est souvent liée à la procédure de traitement des incidents de cybersécurité, et à la question de savoir si la restauration et la relocalisation sont bien organisées via les sauvegardes et une solution de secours — un format peut diviser cela sur plusieurs questions qui appartiennent ensemble dans le dossier.

Fondement : article 21 paragraphe 2 de la NIS2 et Annexe A

Le traitement des incidents est mentionné comme mesure distincte à l'article 21 paragraphe 2 de la directive NIS2, aux côtés de l'analyse des risques et de la continuité d'activité — c'est l'une des dix mesures que la directive distingue. ISO/IEC 27001 développe cela dans les mesures de contrôle de l'Annexe A, où la gestion des incidents forme une catégorie propre avec des exigences en matière de détection, réponse et évaluation. La Loi sur la cybersécurité transpose cette obligation en droit néerlandais et devrait entrer en vigueur le 15 août 2026 ; jusqu'à cette date, l'alignement sur la directive elle-même est le point de départ pour soutenir une réponse.