mon client demande des preuves à l'appui du questionnaire, que dois-je fournir

Le document justificatif appartient à la réponse, non à la question dans son ensemble

Il n'existe pas de liste fixe « preuve pour les réponses en cybersécurité » — la preuve dépend de laquelle des dix mesures de l'article 21 paragraphe 2 de la directive NIS2 le client demande. S'il pose des questions sur le contrôle d'accès, un extrait de la politique d'accès convient, et non l'ensemble de la politique de sécurité de l'information. S'il pose des questions sur la réaction aux incidents, une description du processus avec des lignes d'escalade suffit souvent, et non un journal des incidents avec des détails. Pensez à la classification selon les catégories qui apparaissent également dans la politique d'analyse des risques, la procédure en cas d'incident de sécurité et les exigences envers les propres fournisseurs reviennent : chacun demande un type de justification différent.

Si tu n'as pas le document justificatif — par exemple parce que la politique existe mais n'a jamais été documentée — alors « non » avec une brève explication est la réponse honnête, non une référence à un document qui n'existe pas. Un certificat ISO 27001 couvre plusieurs questions à la fois, mais seulement si le champ d'application de ce certificat couvre réellement les éléments que le client demande ; sinon, il crée une fausse certitude qui reviendra lors d'un audit. Vérifie donc d'abord si le certificat s'applique à la partie demandée, avant de l'invoquer comme preuve.

D'où cela découle : article 21 paragraphe 2 et Annexe A

L'article 21 paragraphe 2 de la directive NIS2 énumère les dix mesures sur lesquelles un client enquête généralement — de la gestion des risques à la politique d'accès à la sécurité des fournisseurs — et chaque mesure a son propre type de preuve, et non un seul document englobant. L'annexe A de l'ISO/IEC 27001 contient les mesures de contrôle souvent utilisées comme liste de contrôle pour déterminer quel document justificatif correspond à quelle question ; un certificat conforme à cette norme n'est donc pas un remplacement des documents sous-jacents, mais une confirmation qu'ils ont été vérifiés. La Loi sur la cybersécurité, la transposition néerlandaise de NIS2, entre en vigueur le 15 août 2026 et contient la même classification — pour ceux qui collectent déjà des preuves maintenant, s'aligner sur cette structure ne sera donc pas vain.