le client veut savoir comment notre fournisseur cloud est sécurisé, que remplir là

Cette question relève de la surveillance de la chaîne d'approvisionnement, non de votre propre sécurité

Cela relève de l'article 21(2) point d) de la NIS2 : sécurité dans la chaîne d'approvisionnement, y compris la relation avec vos propres fournisseurs. Le client ne demande pas ici si vos systèmes sont sécurisés, mais si vous savez et pouvez démontrer que votre fournisseur de cloud l'est. C'est une pièce justificative différente de, par exemple, votre propre politique d'accès ou votre propre politique de chiffrement.

La réponse comprend généralement deux niveaux. D'abord : avez-vous vous-même imposé des exigences de sécurité à ce fournisseur, contractuellement ou lors de la sélection ? Vous répondez sur la base de votre propre dossier d'approvisionnement, pas sur la base de ce que le fournisseur prétend. Ensuite : qu'est-ce que le fournisseur lui-même démontre ? Demandez la pièce justificative qu'il partage normalement déjà avec les clients — un certificat ISO 27001 avec déclaration de portée, un rapport SOC 2, ou un résumé de ses mesures NIS2 s'il relève lui-même de la directive. Si vous n'avez pas ce certificat dans votre dossier, alors « non » ou « inconnu » est la bonne réponse — pas « oui » sur la base d'une hypothèse. Cela s'aligne sur exigences de sécurité que l'entreprise impose à ses propres fournisseurs : cette preuve doit s'y trouver en standard, même s'il s'agit d'un seul grand partenaire cloud plutôt que d'une longue chaîne de sous-traitants.

D'où vient la preuve : Annexe A par rapport au contrat

L'ISO/IEC 27001 Annexe A ne dispose pas d'une section distincte « sécurité du cloud » ; la preuve est dispersée dans les mesures de contrôle relatives aux relations avec les fournisseurs et à l'accès. Concrètement, cela signifie : vérifiez d'abord si vous avez vous-même défini quelle politique d'accès et gestion des actifs s'applique, car cela indique souvent également comment l'accès à l'environnement cloud est réglementé. Pour le fournisseur lui-même, le certificat ou le rapport d'audit est la source, non une déclaration de votre part sur ses systèmes — vous ne pouvez en effet pas confirmer au nom du fournisseur ce qu'il fait en interne.