le questionnaire demande si nous procédons à un dépistage des employés avant l'embauche

Le contrôle du personnel relève de la sécurité RH, non de la gestion des accès

La question du contrôle avant l'embauche relève de la sécurité du personnel, l'une des dix mesures de l'article 21, paragraphe 2, de la directive NIS2 — mentionnée nommément au point (g), aux côtés des conditions de travail et des mesures disciplinaires en cas de violation. Il s'agit d'une autre catégorie que la gestion des accès : le contrôle porte sur qui vous embauchez, politique d'accès porte sur ce qu'une personne est autorisée à voir ou faire une fois qu'elle est à l'intérieur. Ne cochez donc pas automatiquement « oui » à cette question simplement parce qu'il existe déjà une matrice d'accès — c'est un autre document de preuve.

La preuve recevable dépend de ce qui se passe réellement en pratique. Une obligation de certification de bonne conduite (VOG) pour les fonctions ayant accès à des systèmes sensibles constitue la preuve la plus concrète. En l'absence de cela, une procédure établie dans le processus d'embauche compte également : vérification des références, vérification d'identité, et pour les entreprises certifiées ISO 27001, la clause de contrôle de la clause 6.1 de l'Annex A (avant la prise de fonction). Sans certification ISO et sans politique VOG, la réponse est généralement « non » ou « partiellement » — et il est tout à fait acceptable de le remplir ainsi. N'inventez pas un processus de contrôle qui n'existe pas ; si le client vous pose d'autres questions à ce sujet, un honnête « non, mais oui pour les fonctions X et Y » est plus solide qu'un oui qui ne tiendrait pas à un audit.

D'où cela vient : article 21, paragraphe 2, point g et clause 6.1 de l'Annex A

Les dix mesures de l'article 21, paragraphe 2, de la directive NIS2 mentionnent explicitement la sécurité du personnel au point (g), aux côtés de la gestion des accès et de la gestion des biens de l'entreprise. En pratique, cela est souvent évalué conjointement avec la formation à l'hygiène de la cybersécurité, car les deux relèvent de la même politique RH. Pour les entreprises disposant d'une certification ISO 27001, la mesure de contrôle correspondante se trouve dans l'Annex A, sous la clause relative au contrôle avant la prise de fonction — vérifiez donc si la certification ISO 27001 de l'entreprise couvre cette clause, car tous les certificats ne sont pas aussi largement scoped. Pour les entreprises qui ne relèveront de la Loi sur la cybersécurité que le 15 août 2026, ce n'est pas encore une obligation légale, mais les clients demandent souvent déjà en anticipation des obligations de chaîne.