le questionnaire demande une personne de contact pour la sécurité, qui doit-ce être chez nous

La personne de contact est un rôle, non un nom sur le questionnaire

Désignez la personne qui est responsable en interne des mesures de sécurité, pas nécessairement le propriétaire ou le directeur. En pratique, c'est la personne qui est également impliquée dans le processus d'identification et de correction des vulnérabilités et dans la procédure de traitement des incidents de cybersécurité — souvent donc la même personne qui est le point de contact interne en cas de problème. Dans une petite entreprise, il s'agit souvent de l'entrepreneur lui-même ou de l'administrateur informatique ; dans une plus grande entreprise, d'un responsable de la sécurité ou de quelqu'un ayant un titre de fonction comparable. Plus important que le titre est que cette personne soit joignable et sache de quoi il retourne, car le client utilise ce contact surtout en cas d'incident ou d'audit.

Préférez une boîte postale de rôle ou de fonction plutôt qu'un nom privé, si possible : cela évite que le questionnaire devienne obsolète dès qu'une personne change de fonction. Une adresse comme « security@ » ou « ciso@ » fonctionne tout aussi bien pour le client qu'un nom, et elle est plus stable. Si l'entreprise n'a pas encore de fonction distincte à cet effet, il est courant de désigner la personne responsable globalement de l'informatique ou de la gestion de l'entreprise — à condition que cette personne soit vraiment joignable sur le contenu, pas seulement sur le nom.

D'où cela vient : article 21 et le rôle de la gouvernance

L'article 21, paragraphe 2, de la directive NIS2 ne mentionne pas une personne de contact comme exigence distincte, mais les dix mesures qui s'y trouvent — y compris la gestion des risques, le traitement des incidents et la continuité de l'activité — présupposent que quelqu'un en soit responsable en interne et soit joignable. Les clients qui posent cette question évaluent donc en réalité si il existe une politique pour l'analyse des risques et la protection des systèmes d'information et si cette politique a un responsable. ISO/IEC 27001 le précise davantage : l'Annexe A contient des mesures concernant les rôles et les responsabilités dans la sécurité de l'information, et une personne de contact désignée en est souvent la preuve visible. La Loi néerlandaise sur la cybersécurité, qui transpose la directive NIS2 et entrera en vigueur le 15 août 2026, n'ajoute pas d'exigence distincte à ce sujet au-delà de ce qui figure déjà dans la directive.