nous n'avons pas de département IT, qui doit remplir ce questionnaire de sécurité

Pas de département ICT n'est pas une exemption

La liste de questions ne porte pas sur qui figure sur la masse salariale, mais sur la présence des dix mesures de l'article 21 paragraphe 2 NIS2 — même avec cinq employés. Un client qui envoie cette liste veut savoir si l'analyse des risques, la gestion des incidents, la continuité et le contrôle d'accès sont organisés, non s'il existe un département portant ce nom. Dans une petite entreprise, la réponse se trouve souvent chez le propriétaire ou chez un fournisseur informatique externe, et c'est une réponse valide : qui le fait ne figure pas dans la liste de questions, seulement si c'est fait.

Concrètement, cela signifie que celui qui gère l'hébergement, les ordinateurs portables ou le logiciel de comptabilité — souvent un bureau externe — détient les réponses concrètes aux questions sur les sauvegardes et les mesures de secours et sur les l'authentification multifacteur. Ce fournisseur n'a pas à remplir la liste de questions, mais fournit la pièce justificative ou la confirmation au moyen de laquelle l'entrepreneur répond lui-même. Pour les questions qui portent non pas sur la technique mais sur la politique — qui peut accéder où, que se passe-t-il en cas d'incident — les connaissances se trouvent généralement chez le propriétaire lui-même, même sans formation en informatique.

L'article 21 paragraphe 2 demande des mesures, non un titre de fonction

L'article 21 paragraphe 2 de la directive NIS2 énumère les dix mesures comme une obligation de résultat pour l'entité, sans imposer d'exigences quant à la structure organisationnelle permettant d'atteindre ce résultat. L'annexe A de la norme ISO/IEC 27001 détaille les mêmes mesures en mesures de contrôle qui peuvent tout aussi bien être mises en œuvre par une partie externe que par du personnel interne. La question de savoir si l'entreprise elle-même relève de la directive est d'ailleurs une question distincte, indépendante de qui remplit la liste de questions — cela peut être déterminé à partir de votre propre statut NIS2.