le questionnaire demande où et comment nous stockons les données du client

Localisation et méthode de stockage : partie de l'article 21, pas seulement du RGPD

La question de savoir où et comment vous stockez les données de votre client arrive souvent comme une question de confidentialité, mais dans un questionnaire NIS2, elle figure parmi les dix mesures de l'article 21, paragraphe 2, de la Directive (UE) 2022/2555. En particulier, la mesure h (sécurité lors de l'acquisition, du développement et de la maintenance des systèmes) et la mesure i (politique du personnel et politique d'accès) touchent directement au stockage : où les données se trouvent physiquement ou virtuellement, qui peut y accéder, et ce stockage est-il chiffré. Une réponse complète mentionne donc trois choses : la localisation (centre de données propre, prestataire cloud, quelle région), la séparation entre les environnements de clients si vous fonctionnez en mode multi-client, et le chiffrement des données au repos et en transit.

Si vous n'avez pas le dernier point à disposition, la réponse n'est pas de cocher « oui » mais d'abord vérifier ce la politique sur la cryptographie et le chiffrement que l'entreprise consigne effectivement. Beaucoup d'entreprises chiffrent bien les données en transit (TLS) mais pas toujours au repos, et cette différence est souvent demandée séparément par le client. Si vous travaillez avec un prestataire cloud externe, cela relève également de la question de savoir si des exigences de sécurité sont imposées à ses propres fournisseurs — la localisation du stockage est alors en réalité un accord de chaîne avec ce prestataire, et votre réponse peut renvoyer au contrat ou au SLA avec cette partie plutôt qu'à une infrastructure interne.

Où ceci est évalué dans la norme ISO 27001

Qui est certifié ISO/IEC 27001 a déjà établi la localisation du stockage et le chiffrement dans les mesures de l'Annexe A concernant la cryptographie et la gestion des actifs ; la réponse à cette question peut alors simplement renvoyer au certificat et à la Déclaration d'applicabilité qui l'accompagne. Sans ce certificat ISO 27001 la réponse doit provenir de la documentation interne : un aperçu architectural, un accord de traitement avec le prestataire cloud, ou une note interne sur la résidence des données.