nous n'avons pas de politique de sécurité formelle puis-je quand même répondre oui au questionnaire

Non, pas sans document attestant la politique

Non, répondre « oui » n'est pas possible ici, même si la pratique est largement en ordre. La question relative à la politique de sécurité ne demande pas si vous travaillez de manière sécurisée, mais si cela est formalisé : un document indiquant qui est responsable de quoi, quelles mesures s'appliquent et à quelle fréquence cela est réexaminé. Sans un tel document, il n'y a rien à présenter en cas de réponse « oui » si le client approfondit ou si un auditeur le demande. Supplia ne propose pas de oui si le dossier de chaîne n'a pas de fichier source — et cela s'applique intégralement ici, même si la question elle-même est reconnaissable pour un utilisateur expérimenté.

Ce qui est généralement possible : « oui, de manière informelle » ou « non, en développement » avec une brève explication, ainsi qu'une référence à ce qui est réellement documenté — une politique d'accès, une procédure d'incident, un contrat de fournisseur avec des exigences de sécurité. De nombreux clients apprécient cette honnêteté davantage qu'un « oui » qui ne résiste pas à la vérification. Si quelque chose est documenté mais qu'il n'existe pas un seul document central, il est souvent plus pertinent de se référer aux différents éléments : la politique d'accès et à la gestion des biens de l'entreprise, la procédure de traitement des incidents de sécurité, et la politique relative aux vulnérabilités. Ensemble, ces éléments forment souvent déjà le cœur de ce que la question signifie réellement, même sans qu'on l'appelle « politique de sécurité ».

D'où cela provient parmi les dix mesures

La politique en matière d'analyse des risques et de sécurité de l'information est la première des dix mesures de l'article 21, paragraphe 2, de la directive NIS2 (Directive (UE) 2022/2555) — voir aussi ce qu'un client entend par analyse des risques. Quiconque relève de la loi sur la cybersécurité doit pouvoir le démontrer dès l'entrée en vigueur de cette loi. ISO/IEC 27001 exige également dans l'annexe A une politique formalisée comme mesure de contrôle distincte, indépendamment de la question de savoir si l'entreprise elle-même est certifiée.