qui est responsable du remplissage du questionnaire de sécurité

La répartition des rôles n'est pas elle-même une exigence normative, mais la vérification de la réponse l'est

Le questionnaire lui-même ne prescrit pas qui le remplit ; l'article 21, paragraphe 2, de la directive NIS2 et l'annexe A de l'ISO/IEC 27001 portent sur les mesures qu'une organisation prend, non sur le responsable qui signe le formulaire. En pratique, il s'agit généralement de la personne qui connaît la politique de sécurité de l'information : un responsable de la sécurité, un gestionnaire informatique ou, dans les petites entreprises, le directeur lui-même. En cas de certification ISO 27001, un responsable est souvent déjà désigné dans le système de management — ce nom est alors le point de contact logique pour cette liste.

Ce qui est certain : les réponses doivent être fondées quelque part. Si une question porte sur la sécurité d'accès, quelqu'un doit pouvoir désigner la politique ou la mesure sous-jacente — ne pas remplir de mémoire, mais lire à partir d'un dossier. Cela en fait moins une question de « qui peut le remplir » et plutôt de « qui dispose des faits sous-jacents ». Cette même personne est souvent aussi celle qui peut évaluer si l'entreprise utilise des systèmes d'IA dans le cadre de sa fourniture de services, car cela touche au même inventaire technique. En cas de doute sur qui au sein de l'organisation est responsable d'une réponse, il s'agit souvent de la même personne qui gère aussi le plan de continuité en cas de perturbation grave — les deux sujets se chevauchent en termes de matériel source.

D'où cela découle : article 21 paragraphe 2 et Annexe A

L'article 21, paragraphe 2, de la directive NIS2 énumère dix catégories de mesures, notamment la gestion des risques, le traitement des incidents et la politique d'accès — la directive réglemente le contenu de ces mesures, non la façon dont elles sont rapportées en interne. L'annexe A de l'ISO/IEC 27001 le détaille en mesures de contrôle concrètes, et les organisations certifiées ont généralement déjà désigné un responsable dans leur système de management. Cette répartition des rôles existante est la source la plus évidente sur laquelle s'appuyer lors du remplissage d'un questionnaire de sécurité.