nous ne sommes pas certifiés ISO 27001, que dois-je alors écrire dans le questionnaire

Répondre en détail sans certificat

Sans ISO 27001, tu ne remplis pas « non » et tu ne t'arrêtes pas là — tu réponds à la question sous-jacente en détail, par mesure. Une liste de questions qui demande le certificat veut en réalité savoir si les dix mesures de l'article 21 paragraphe 2 de la directive NIS2 (analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne, gestion des vulnérabilités, politique de cryptographie, contrôle d'accès, authentification multifacteur, et le reste) sont en ordre. Le certificat est un moyen de le démontrer, pas le seul. Sans certificat, tu réponds donc par mesure ce que tu as effectivement : un document politique, une procédure, un outil, un accord contractuel avec un fournisseur.

En pratique, cela signifie que tu réponds à la question sur le certificat lui-même brièvement et factuellement — l'entreprise est-elle certifiée ISO 27001 ? décrit comment tu justifies cette question spécifique sans certificat — et que tu ne sautes pas ensuite les questions de suivi. Beaucoup de portails séparent le certificat et les mesures sous-jacentes en questions distinctes ; si tu remplis seulement « non » pour le certificat et laisses le reste vide, le client perd précisément l'information avec laquelle il fait sa propre évaluation des risques. Préfère remplir chaque élément avec ce qui existe factuellement, même si ce n'est pas un ensemble contrôlé en externe.

D'où ce lien découle : Annex A et article 21 paragraphe 2

L'annexe A de l'ISO/IEC 27001 décrit les mesures de maîtrise qu'un système de gestion doit couvrir, et ces mesures recoupent largement les dix catégories de l'article 21 paragraphe 2 de la directive NIS2. Un client qui demande le certificat teste en fait si ces mesures sous-jacentes existent ; le certificat est la confirmation par une tierce partie, mais la liste de questions elle-même demande souvent aussi séparément des éléments tels que la politique d'accès et de la gestion des actifs ou la procédure de traitement des incidents de sécuritéSans certificat, cette question sous-jacente persiste, et elle mérite toujours une réponse.