le client demande des pièces justificatives pour chaque réponse au questionnaire qu'est-ce que j'envoie

La preuve est généralement un document que vous possédez déjà, pas une nouvelle pièce

Pour la plupart des questions, vous pouvez fournir un document existant au lieu d'en rédiger un nouveau. Pour les questions d'identité, il s'agit d'un extrait du registre du commerce; pour une question de certification, le certificat lui-même, avec le domaine d'application et la date d'expiration; pour une question NIS2 sur les dix mesures de l'article 21, paragraphe 2, souvent un document de politique, une analyse des risques ou le dernier rapport de test de pénétration. Pour les questions de durabilité basées sur le modèle de base VSME, la preuve est généralement le calcul sous-jacent ou le document politique d'où provient le chiffre — pas la réponse elle-même, mais ce qui se cache derrière.

Le point difficile survient lorsque vous ne disposez pas de la pièce justificative demandée, par exemple un certificat ISO 27001 alors que vous avez bien mis en place les mesures correspondantes de l'Annexe A mais ne les avez pas certifiées. Répondez alors factuellement: énoncez ce que vous possédez réellement (la politique, la mesure, la date de mise en œuvre) et ce que vous ne possédez pas (le certificat en tant que document formel). Un client peut progresser avec cela; une réponse "oui" devinée avec un certificat qui n'existe pas causera davantage de dommages lors d'un contrôle ultérieur qu'un honnête "non, mais bien la mesure sous-jacente". Demandez-vous aussi si la preuve demandée est véritablement applicable — ou si l'entreprise déploie des systèmes d'IA dans le cadre de sa prestation de services par exemple une question où "non applicable" est une réponse aussi valide qu'une pièce justificative, si cela correspond aux faits.

D'où provient la demande de preuve

Pour les dix mesures de l'article 21, paragraphe 2 de la Directive NIS2, une preuve de mise en œuvre est fonctionnellement attendue, même si la directive elle-même ne prescrit pas de forme de preuve fixe. ISO/IEC 27001 Annexe A fonctionne différemment: les mesures de contrôle ne constituent une preuve que si elles sont incluses dans un système de gestion certifié, d'où le fait qu'un certificat sans mention du domaine d'application ne dit pas grand-chose. Pour les données d'identité, la base repose sur la Loi de 2007 sur le registre du commerce, qui établit les données d'une entreprise qui sont enregistrées — comparez également l'adresse d'établissement de l'entreprise, qui provient directement de ce registre. Pour les chiffres de durabilité, le modèle de base VSME d'EFRAG est la norme volontaire vers laquelle les PME sont souvent orientées si elles ne sont pas soumises à l'obligation de rapport complète de la Directive (UE) 2022/2464 relative à la CSRD.