chaque client envoie son propre questionnaire de cybersécurité, comment dois-je aborder cela intelligemment

Un dossier de chaîne, dix catégories fixes

La bonne approche n'est pas : remplir chaque liste séparément. C'est : ordonner une seule fois vos réponses selon les dix mesures de l'article 21, paragraphe 2, de la directive NIS2, et les réutiliser par client. La banque, l'assureur et le client industriel posent presque exactement la même question — seulement dans un ordre différent et avec des libellés différents. La banque l'appelle « sécurité d'accès », le client industriel l'appelle « identity & access management », mais la réponse provient de la même partie du dossier : la politique d'accès est-elle documentée, y compris la gestion des actifs de l'entreprise.

Dès que votre dossier est complet pour les dix catégories — politique de risque, traitement des incidents, continuité, gestion des vulnérabilités, sécurité de la chaîne, audit, sensibilisation, cryptographie, accès/MFA, et votre propre statut NIS2 — chaque nouvelle liste est surtout une question de reconnaissance : quelle question appartient à quelle catégorie. Certaines questions couvrent deux catégories en une seule phrase, par exemple politique d'accès et l'authentification multifacteur. Divisez cela dans votre dossier, pas dans votre tête à chaque nouvelle liste.

Pourquoi ces dix catégories sont le cadre

L'article 21, paragraphe 2, de la directive NIS2 énonce dix mesures qu'une entité doit prendre : de la politique d'analyse des risques à la cryptographie en passant par le contrôle d'accès. Presque chaque liste de questions client — formulaire de cybersécurité d'une banque, questionnaire de sécurité d'un fournisseur de technologie, partie cyber ESG d'un assureur — est sa propre traduction de ces mêmes dix points, parfois complétée par la terminologie de l'Annexe A de la norme ISO/IEC 27001 parce que le rédacteur a utilisé cette norme comme cadre. Celui qui construit son dossier selon l'article 21, paragraphe 2, reconnaît donc très rapidement quel numéro de contrôle de l'Annexe A ou quelle question client correspond à quelle partie du dossier. La loi néerlandaise sur la cybersécurité transpose ces dix mesures à partir du 15 août 2026 dans la législation nationale, donc le cadre ne change pas — seul le titre juridique auquel un client fait ensuite référence change.