le questionnaire demande si nous avons subi un incident de cybersécurité au cours des dernières années

Une question d'incident porte sur les faits, non sur l'image

La question de savoir si vous avez connu un incident de cybersécurité au cours des dernières années demande une réponse factuelle : oui ou non, et en cas de oui, généralement avec une brève explication sur la nature, l'impact et la gestion de l'incident. Il n'y a pas de bonne ou de mauvaise réponse — un « oui » avec une gestion convenable est souvent plus crédible pour de nombreux clients qu'un « non » sans justification d'un fournisseur qui ne peut rien montrer d'autre sur sa sécurité. Ce qui compte : pouvez-vous justifier votre réponse ?

S'il y a eu un incident, la pièce justificative n'est pas l'incident lui-même mais sa gestion : a-t-il été signalé, enquêté et suivi selon une procédure établie ? C'est précisément ce que la procédure de traitement des incidents de cybersécurité demande, et les clients combinent souvent cette question avec les deux autres. S'il n'y a pas eu d'incident, alors « non » est la réponse, éventuellement avec une référence aux mesures de détection qui le démontrent — voir le processus d'identification et de correction des vulnérabilités. Sans registre d'incidents ou journal d'incidents, « non » reste une réponse valable, mais sans document justificatif ; vous pouvez le mentionner dans l'explication au lieu d'inventer une preuve qui n'existe pas.

Pourquoi ceci figure parmi les dix mesures

La gestion des incidents (« incident handling ») est l'une des dix mesures concrètes que l'article 21, paragraphe 2, de la directive NIS2 (Directive (UE) 2022/2555) mentionne comme faisant partie de la politique de sécurité d'une entité. Dans la transposition néerlandaise via la Cybersecurity Act — qui entre en vigueur le 15 août 2026 — la même exigence s'applique aux entités relevant de cette loi. De ce fait, une question sur les incidents antérieurs est souvent en pratique un test indirect pour vérifier si l'organisation dispose d'un processus d'incident, et pas seulement sur l'incident lui-même. Les organisations appliquant ISO/IEC 27001 reconnaissent le même thème dans l'Annexe A, parmi les mesures de contrôle pour la « gestion des incidents de sécurité de l'information ».