ils demandent qui a accès à leurs données

Politique d'accès, pas une liste de noms

Le client ne veut généralement pas savoir ici quelle personne individuelle se connecte, mais s'il existe un système qui détermine qui a accès à quoi. Cela relève de la gestion d'accès : qui a accès à quels systèmes et données, selon quel rôle, et comment cet accès est-il accordé et révoqué. La réponse comprend donc deux parties : la politique (comment l'accès est accordé, examiné, révoqué lors de la cessation d'emploi) et la pratique (travaille-t-on avec des droits basés sur les rôles, le privilège minimum, un contrôle périodique de qui a encore accès).

S'il n'y a pas de document de politique d'accès distinct mais que la pratique est bien organisée — par exemple des rôles dans un système, un processus fixe lors de l'embauche et du départ — cela suffit souvent pour répondre par « oui », à condition que ce soit réellement démontrable. Si les deux manquent, alors « non » est la réponse honnête ; une question à ce sujet ne sera pas proposée comme « oui » s'il n'y a pas de source dans le dossier de la chaîne. Les questions connexes sur la même liste portent souvent sur authentification multifacteur pour les systèmes d'entreprise et sur les la politique d'analyse des risques et de sécurité des systèmes d'information — ces deux éléments vont ensemble sur le plan du contenu, car l'accès est généralement l'une des mesures de contrôle qui découlent de l'analyse des risques.

À rapporter à l'article 21 alinéa 2 et à l'Annexe A

La gestion d'accès est l'une des dix mesures de l'article 21, paragraphe 2, de la directive NIS2 (Directive (UE) 2022/2555) : elle mentionne explicitement la politique de contrôle d'accès et la gestion des actifs comme élément obligatoire de la gestion des risques. Dans la norme ISO/IEC 27001, cela se retrouve dans les mesures de contrôle de l'Annexe A, sous la catégorie contrôle d'accès. Les clients qui seront eux-mêmes soumis à la Loi sur la cybersécurité — la transposition néerlandaise de la NIS2, qui entre en vigueur le 15 août 2026 — posent donc de plus en plus souvent cette question en standard à leurs fournisseurs, même s'ils ne sont pas eux-mêmes désignés comme entité en vertu de la directive.