qui est responsable du remplissage des questionnaires clients sur la sécurité

La responsabilité réside dans le rôle, non dans le département

Il n'existe pas de directive légale indiquant qui dans l'entreprise doit remplir le questionnaire de sécurité — c'est une politique interne, non une obligation découlant d'une réglementation. En pratique, c'est à celui qui peut justifier la réponse : souvent le responsable informatique ou l'agent de sécurité pour les mesures techniques, et les ressources humaines ou la direction pour la politique et la sensibilisation. En cas de certification ISO 27001, cela est généralement déjà défini dans la répartition des rôles autour du système de management de la sécurité de l'information, et le questionnaire est alors une question de consultation de ce système, non de réexamen.

Ce qui pose souvent problème, ce n'est pas la question de qui remplit le formulaire, mais celle de qui peut l'approuver. Une réponse technique peut être correcte, mais si la personne qui l'entre n'a pas une vue d'ensemble sur ce qui peut être transmis à une partie externe, des informations sont divulguées qui ne devraient pas l'être. C'est une raison de considérer le remplissage et la libération comme deux étapes distinctes : la première est factuelle, la deuxième est une évaluation de la confidentialité. Cette même distinction s'applique par exemple à la question si l'entreprise dispose d'un plan de continuité — là aussi, la réponse est souvent connue, mais pas toujours destinée à être partagée en détail.

Ce que le questionnaire évalue sur le plan du contenu

Les dix mesures de l'article 21, paragraphe 2, de la directive NIS2 (Directive (UE) 2022/2555) donnent une bonne image des catégories qui reviennent dans les questionnaires des clients : analyse des risques, gestion des incidents, continuité des activités, sécurité des fournisseurs, politique d'accès et autres. Ceux qui appliquent la norme ISO/IEC 27001 reconnaissent les mêmes sujets dans les mesures de maîtrise de l'Annexe A — cela rend la norme utile en tant que document de référence interne, même si le certificat lui-même n'est pas présenté au client. Pour la question si l'entreprise est certifiée ISO 9001 s'applique la même logique : il s'agit d'une norme distincte, mais la question de qui connaît et maîtrise la réponse se situe souvent organisationnellement chez la même personne.