Votre client vous pose des questions sur NIS2, même si vous n'y êtes pas vous-même soumis
Vous recevez un questionnaire de sécurité parce que votre client doit le poser, non pas parce que vous êtes vous-même soumis à la directive. Cela change ce qu'on attend de vous.
Pourquoi vous recevez cette liste
La directive (UE) 2022/2555 — NIS2 — oblige les organisations de certains secteurs à maîtriser la sécurité de leur chaîne d'approvisionnement. Elles doivent donc imposer des exigences à leurs fournisseurs, et ces exigences vous parviennent sous forme de questionnaire.
Vous n'êtes donc pas vous-même soumis à la directive. Mais vous ne pouvez pas contourner les questions : votre client doit pouvoir prouver qu'il les a posées.
Ce que demande la liste
S'il existe une politique pour l'analyse des risques et la sécurité des systèmes d'information. S'il existe une procédure de traitement des incidents. S'il existe des sauvegardes et un dispositif d'urgence pour rétablir la prestation de services.
Et — c'est la question qui est souvent sous-estimée — si vous-même imposez des exigences de sécurité à vos propres fournisseurs. La chaîne se poursuit, et cette question vous la transmet comme votre client vous l'a transmise.
Un « oui » sans justification ne compte pas
Dans ces questionnaires, on demande plus souvent un document que dans les deux autres : une politique, une procédure, un rapport de test du dispositif de rétablissement. Une case cochée sans document à l'appui reviendra au second tour.
Qui en est à l'origine
supplia.eu est un service de Point2Create BV, Energieweg 1, 3133 EB Vlaardingen (KvK 63324547). Les questions peuvent être adressées à office@supplia.eu.