comment remplir le fait que les employés peuvent signaler un incident de sécurité

Le canal de signalement interne est la preuve, non pas une intention

Cette question porte sur le canal de signalement lui-même : les collaborateurs peuvent-ils signaler un incident en interne, et cela se fait-il réellement. C'est quelque chose de différent de la question de savoir si l'organisation enregistre ou traite les incidents — cela relève de la procédure de traitement des incidents de cybersécurité. Ici, le client veut savoir spécifiquement s'il existe un canal accessible et connu par lequel un collaborateur peut soulever une question : une adresse e-mail, un système de tickets, un nom sur l'intranet. La preuve n'est donc pas la procédure dans son ensemble, mais le canal concret plus quelque chose qui montre que les collaborateurs connaissent ce canal — une capture d'écran de l'intranet, un passage du document d'intégration, ou une diapositive de formation.

Si tu n'as pas documenté cela séparément, alors « non » ou « partiellement » est la réponse honnête, même s'il existe une procédure de traitement des incidents utilisée uniquement par l'équipe informatique. Ne mets pas « oui » sur la base de la procédure seule ; la question évalue la sensibilisation et l'accessibilité, pas seulement le processus. S'il existe une formation de sensibilisation qui traite du canal de signalement, c'est souvent la preuve la plus solide — vérifie cela par rapport à la formation aux pratiques fondamentales de cyberhygiène, car ces deux réponses doivent être mutuellement cohérentes. Si cela ne correspond pas, cela sera détecté plus rapidement dans un sondage d'audit qu'une seule preuve manquante.

D'où cela provient : article 21, paragraphe 2 et Annexe A

Cette obligation provient de l'article 21, paragraphe 2, de la directive NIS2, où le traitement des incidents est l'une des dix mesures obligatoires ; la loi sur la cybersécurité la transpose en droit néerlandais à partir du 15 août 2026. ISO/IEC 27001 développe cela dans l'Annexe A au niveau des canaux de signalement et de la sensibilisation, et les clients qui utilisent un questionnaire ISO demandent souvent littéralement ce point de contrôle de l'Annexe A. Si l'organisation elle-même est certifiée, cette preuve est généralement déjà disponible — voir la certification ISO 27001 pour savoir comment le rendre démontrable.