chaque client a un questionnaire de sécurité différent dois-je recommencer à chaque fois

Chaque liste est un ordre différent des mêmes dix mesures

Non, dans la plupart des cas, pas besoin de recommencer — les questions diffèrent dans leur formulation, mais couvrent chez presque chaque client les mêmes points sous-jacents. Une banque demande une « incident response procedure », une autre comment sont « traitées les incidents de sécurité », et une troisième comment se font la « détection et signalement des incidents de cybersécurité ». C'est trois fois la procédure de traitement des incidents de cybersécuritétrois fois la même réponse du même dossier. Il en va de même pour l'accès, les sauvegardes, la gestion des vulnérabilités et la sécurité de la chaîne chez les fournisseurs : presque chaque questionnaire se réduit à un sous-ensemble des dix mesures de l'article 21 paragraphe 2 de la NIS2, même si le client lui-même ne se réfère pas à la NIS2.

Le travail ne consiste donc pas à reformuler sans cesse les réponses, mais à reconnaître quelle question correspond à quel point sous-jacent. Une question sur la « politique de mots de passe et l'authentification multifacteur » est simplement l'authentification multifacteur en d'autres termes. Une question sur le « risque fournisseur » ou le « risque tiers » est exigences de sécurité imposées aux propres fournisseurs. Une fois ce dossier constitué, chaque liste suivante consiste surtout à faire correspondre et confirmer, pas à réécrire.

Sur lequel cela se fonde : article 21 paragraphe 2 et Annex A

L'article 21 paragraphe 2 de la directive NIS2 (2022/2555) énumère dix catégories de mesures — analyse de risque, traitement des incidents, continuité d'activité, sécurité de la chaîne, politique de vulnérabilités, cryptographie, politique d'accès, authentification multifacteur, sensibilisation et test des mesures. Presque chaque questionnaire de sécurité d'une banque, d'un assureur ou d'un grand client est une traduction propre de (une partie de) ces mêmes dix points, souvent complétée par des questions qui proviennent littéralement de l'Annex A de l'ISO/IEC 27001. Cela explique pourquoi la formulation varie mais le contenu sous-jacent ne change pas : ce sont deux cadres fixes, pas mille souhaits de clients différents.