le questionnaire demande la sécurité de notre fournisseur cloud

Le fournisseur cloud relève de la sécurité de la chaîne d'approvisionnement, non de vos propres mesures

Cette question ne porte pas sur vos propres systèmes, mais sur un fournisseur dans votre chaîne. L'article 21, paragraphe 2, point d) de la directive NIS2 mentionne explicitement « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité des relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». Votre fournisseur cloud est un tel prestataire de services direct. Le client ne souhaite donc pas savoir si le cloud en tant que tel est sûr — personne ne peut le garantir — mais si vous en tant que client avez évalué si ce fournisseur dispose d'un niveau de sécurité suffisant, et si cela a été documenté quelque part.

La preuve généralement demandée ici n'est pas votre propre certificat ISO, mais celui du fournisseur cloud lui-même : une déclaration ISO/IEC 27001, un rapport SOC 2, ou une référence aux accords contractuels relatifs à la protection des données. Si vous ne l'avez pas à disposition, alors « non, pas encore documenté » est une réponse plus honnête qu'une promesse bâclée — d'autant plus que les exigences de sécurité imposées aux propres fournisseurs souvent dans la même questionnaire cela ressurgit une nouvelle fois de manière plus large, et l'incohérence entre deux réponses saute aux yeux. Vérifiez également si la question porte réellement sur le chiffrement des données dans le cloud — c'est assez souvent présenté en même temps que « la sécurité du cloud », mais c'est une mesure sous-jacente différente.

Fondement : article 21, paragraphe 2, point d), complété par l'Annexe A de la norme ISO 27001

L'obligation d'évaluer les fournisseurs et prestataires de services figure à l'article 21, paragraphe 2, point d) de la directive NIS2 et réapparaît dans la Loi néerlandaise sur la cybersécurité dès son entrée en vigueur le 15 août 2026. L'Annexe A de la norme ISO/IEC 27001 l'approfondit dans les mesures de gestion des relations avec les fournisseurs (catégories A.5.19 à A.5.23), qui portent spécifiquement sur l'évaluation et le suivi des fournisseurs de services cloud et informatiques.