le remplissage de ce questionnaire de sécurité me prend beaucoup trop de temps à chaque fois

Toujours les mêmes dix sujets, présentés différemment

Cela vient presque toujours d'une seule chose : chaque client traduit les mêmes dix mesures de l'article 21 paragraphe 2 NIS2 dans ses propres termes et son propre ordre. Un portail demande « disposez-vous d'un processus de réponse aux incidents », un autre « décrivez votre procédure en cas d'incidents de sécurité » — c'est la même question que existe-t-il une procédure pour traiter les incidents de sécurité ?. Sans un dossier central unique, vous devez donc rechercher cette réponse dix fois par an, dans dix formulations différentes.

Le temps ne se passe pas à répondre, il se passe à retrouver les preuves. Quel document politique, quelle version, quel certificat — chercher tout cela et reformuler la réponse selon le format de ce client spécifique, c'est toute la journée. Les questions sur l'authentification multifacteur, sur la politique d'accès et la gestion des actifs et sur les les exigences de sécurité imposées à vos propres fournisseurs reviennent dans presque chaque liste, seulement organisées différemment. Celui qui établit une fois par type de question quelle est la réponse réelle et où se trouve la preuve n'a plus qu'à reconnaître lequel de ces dix sujets est concerné — et c'est du travail de quelques minutes, pas une journée.

Réductible aux mêmes dix mesures

L'article 21 paragraphe 2 de la Directive (UE) 2022/2555 énumère les dix mesures auxquelles presque chaque questionnaire de sécurité — qu'il provienne d'une banque, d'un assureur ou d'un grand client — se réfère directement ou indirectement : de la gestion des risques et du traitement des incidents à la cryptographie et la gestion des accès. Celui qui applique ISO/IEC 27001 reconnaît ces mêmes sujets dans les mesures de maîtrise de l'Annexe A, ce qui explique pourquoi un questionnaire sur la « sécurité de l'information » et un sur la « conformité NIS2 » posent pour l'essentiel des questions sur les mêmes faits. La loi néerlandaise sur la cybersécurité, qui transpose cette directive à compter du 15 août 2026, ne change pas cette organisation fondamentale — les questions que les clients posent déjà resteront donc largement les mêmes questions après cette date.