dois-je envoyer notre plan de réponse au client sous forme de document

Généralement pas le document complet, mais les données essentielles

Non, dans la plupart des cas, le plan de réponse aux incidents complet n'a pas besoin d'être joint. Les portails qui posent des questions sur la réponse aux incidents — élément de la procédure de traitement des incidents de cybersécurité — veulent généralement savoir ou s'il existe une procédure, qui en est responsable, et dans quel délai un incident est escaladé et signalé. Ce sont des questions auxquelles vous répondez par oui/non et une brève explication, et non par le scénario complet comprenant les arbres de contacts et les noms de systèmes.

Il y a deux situations dans lesquelles une pièce jointe est effectivement demandée : si le client a explicitement « téléchargez votre plan de réponse aux incidents » comme type de question, ou s'il s'agit d'une liste de questions d'audit qui rend les pièces justificatives obligatoires. Dans ce cas, une version résumée — une page avec le champ d'application, les rôles, les délais de notification et les trajets d'escalade, sans détails techniques sensibles — est souvent suffisante. Que le plan complet ou un résumé soit nécessaire est clair dans le texte de la question lui-même ; si celui-ci dit « décrivez » au lieu de « téléchargez », une réponse textuelle est plus appropriée qu'une pièce jointe.

Pourquoi cette distinction existe : article 21, paragraphe 2, NIS2

L'article 21, paragraphe 2, de la directive NIS2 cite la gestion des incidents comme l'une des dix mesures obligatoires, mais ne prescrit pas de forme documentaire — la directive demande un processus, non un format de téléchargement spécifique. La norme ISO/IEC 27001 Annexe A l'élabore en mesures de contrôle autour de la réponse et de la récupération, et vous voyez le même schéma : la norme teste si le processus existe et fonctionne, non s'il existe un document unique et bien défini appelé « plan de réponse aux incidents ». Cela explique pourquoi la plupart des portails se contentent d'une description dans le champ de réponse, et pourquoi une pièce jointe n'est nécessaire que si la question l'exige explicitement. Si vous n'avez pas encore documenté le processus, il est souvent plus facile de d'abord la politique d'analyse des risques et de sécurité de l'information mettre en ordre — la réponse aux incidents s'appuie généralement sur cela.