ils demandent notre politique de sécurité complète sous forme de document

Partager le document de politique complet n'est généralement pas nécessaire

Non, dans la plupart des cas, ce n'est pas nécessaire, et ce n'est pas non plus ce que le client veut vraiment savoir. Une question comme « envoyez votre politique de sécurité » est presque toujours une traduction de quelque chose de plus spécifique : le client veut savoir s'il existe une politique pour l'analyse des risques, s'il y a une procédure d'incident, ou si l'accès est bien réglementé. Ce sont les dix mesures de l'article 21, paragraphe 2 de NIS2, et vous retrouvez la même subdivision dans les mesures de maîtrise de l'Annexe A de la norme ISO/IEC 27001. Un questionnaire qui demande une « politique complète » la divise généralement quand même en sous-questions — vérifiez donc d'abord si c'est le cas avant de télécharger un document complet.

Le risque d'envoyer un document de politique complet n'est pas juridique mais pratique : il contient souvent plus que ce dont le client a besoin — noms d'outils, procédures internes, coordonnées du personnel. Celui qui préfère répondre question par question plutôt que de partager un document peut limiter cela avec le bouton de confidentialité à ce qui est vraiment demandé. Si la question porte précisément sur un sujet particulier, la réponse se trouve souvent ailleurs : ou la politique d'accès est établieou s'il existe une procédure pour les incidents, ou si des tests sont effectués périodiquement. C'est généralement plus concret à répondre qu'avec un document complet.

D'où cela découle : article 21 paragraphe 2 et Annexe A

L'article 21, paragraphe 2 de NIS2 énumère dix mesures concrètes — analyse des risques, gestion des incidents, continuité des activités, gestion des vulnérabilités, politique d'accès et autres — sans exiger qu'un tiers consulte lui-même le document sous-jacent. La norme ISO/IEC 27001 Annexe A fonctionne selon la même logique : les mesures de maîtrise sont auditables par domaine, non comme un seul document politique indivisible. Songez aussi que la question de savoir si l'entreprise elle-même est couverte par NIS2 ou sa transposition nationale est indépendante de ce qu'un client demande dans un questionnaire — ces deux choses sont souvent confondues.