chaque client envoie un questionnaire différent comment je me tiens au courant

Un dossier de chaîne unique, dix blocs de base fixes

La solution n'est pas de gérer davantage de formats, mais de maintenir une structure sous-jacente unique qui reste identique sous chaque format. Chaque client empaquette sa liste de questions différemment — l'un l'appelle « supplier security assessment », l'autre « third party risk questionnaire » — mais le contenu revient presque toujours aux dix mesures de l'article 21 paragraphe 2 de la NIS2, ou aux mesures de contrôle de l'annexe A de l'ISO/IEC 27001 si le client utilise cette norme comme référence. Politique de risque, réaction aux incidents, continuité, sécurité de la chaîne, gestion des vulnérabilités : ces dix sujets reviennent sous des en-têtes différents, dans un ordre différent, avec des notations différentes (oui/non, 1-5, champ de texte). Celui qui consigne ses réponses par sujet plutôt que par format client n'a besoin que de reconnaître, pour chaque nouvelle liste, quel en-tête correspond à quel sujet — sans devoir reformuler la réponse.

En pratique, cela signifie que tu rédiges une bonne réponse une seule fois par bloc, avec la pièce justificative à l'appui, et que tu réutilises cette réponse. Pour la politique d'accès et de la gestion des actifs c'est souvent un document de politique plus une capture d'écran de la structure des droits ; pour l'examen des procédures de mise en œuvre des mesures de sécurité c'est le dernier rapport d'audit interne. Une fois que ce dossier est complet, une nouvelle liste de questions client consiste essentiellement à reconnaître et copier, non à rechercher à nouveau.

Pourquoi les dix mesures sont le dénominateur commun

L'article 21 paragraphe 2 de la Directive (UE) 2022/2555 énumère dix catégories de mesures qu'une entité doit prendre — de la politique d'analyse de risque à la cryptographie en passant par le comportement humain — et cette liste est dans la pratique la base sur laquelle la plupart des listes de questions d'achat des clients sont construites, même si le client lui-même ne se réfère pas à la NIS2. L'annexe A de l'ISO/IEC 27001 couvre largement les mêmes sujets avec plus de détails par mesure, ce qui explique pourquoi un format qui se réfère à l'un de ces cadres peut être traduit sans grande difficulté vers l'autre.