Questionnaire fournisseur NIS2 (SAQ) : quoi demander, comment le noter, et un modèle gratuit

Quoi demander : les six domaines qui comptent

Un questionnaire mérite sa place en étant court et ciblé. Couvrez bien ces six domaines et arrêtez-vous là ; les cinquante cases supplémentaires que personne ne note apportent de la longueur, pas de l'assurance.

Comment noter les réponses. Ne vous contentez pas de les collecter

Un questionnaire classé et oublié vous a coûté du temps et n'a rien rapporté. La valeur est dans la notation :

• Pondérez selon la criticité : un « non » sur l'AMF d'un fournisseur qui détient vos données clients pèse bien plus qu'un document de politique manquant chez un prestataire de bas niveau. Fixez les pondérations avant l'envoi, pas après l'arrivée des réponses.
• Lisez « en cours » comme « non » : tant qu'un contrôle n'est pas en place et prouvé, c'est une lacune avec une date de remédiation, pas une réussite. Les bonnes intentions ne survivent pas à un audit.
• Soyez attentif aux non-réponses : des réponses vagues ou évasives sont elles-mêmes une réponse. Exigez du concret ou des preuves plutôt que d'accepter une case cochée au pied de la lettre.
• Refaites le point selon un calendrier : les réponses se périment. Un questionnaire rempli une fois par an décrit un jour, pas les onze mois qui suivent.

Que faire quand un fournisseur reste en deçà

Une lacune n'est pas automatiquement une raison d'écarter un fournisseur, mais elle doit mener quelque part. Convenez d'un plan de remédiation avec des responsables et des dates nommés, consignez-le, et rendez les lacunes importantes contractuelles : un droit à la preuve, une date de correction et une voie d'escalade en cas de dérapage.

Pour les fournisseurs critiques, liez la remédiation à la relation : réévaluation avant renouvellement, clauses de sécurité dans le contrat, et droit de demander des preuves plutôt que d'accepter des assurances sur parole. Dans tous les cas, consignez la décision. Accepter un risque résiduel est un choix parfaitement légitime, mais seulement quand c'est une décision écrite et assumée, et non quelque chose passé entre les mailles du filet.

L'angle mort du questionnaire : l'auto-déclaration

Chaque réponse est une affirmation que le fournisseur fait sur lui-même. Certaines sont honnêtes, d'autres optimistes, d'autres tout simplement périmées au moment où vous les lisez. Un questionnaire vous dit ce qu'un fournisseur croit (ou voudrait vous faire croire) de sa sécurité ; il ne vous dit pas ce qui est réellement exposé sur internet ce matin.

C'est pourquoi les programmes les plus solides placent le questionnaire à côté d'une preuve technique externe. Quand un fournisseur écrit « oui, tout le trafic est chiffré » et qu'un scan trouve un certificat expiré ou un formulaire de connexion en clair, vous avez une contradiction qui mérite une conversation. Le questionnaire capture le processus et l'intention ; le monitoring externe continu le corrobore, ou démasque son bluff. Le but n'est pas d'en choisir un. C'est d'utiliser les deux.

Un modèle de questionnaire gratuit à adapter

Reprenez ces sections dans votre propre processus. Gardez les réponses en oui / non / en cours plus un champ de preuve, pour que chaque affirmation puisse être étayée (ou défaite) plus tard.

Comment norppa.io aide

norppa.io envoie le questionnaire d'auto-évaluation à vos fournisseurs directement depuis la plateforme : pas de tableurs, pas de relances d'e-mails. Les réponses reviennent suivies, versionnées et notées selon la pondération que vous fixez.

Le point essentiel : chaque réponse est placée à côté du profil de risque technique en direct du fournisseur : plus de cent contrôles, rafraîchis chaque jour. Là où un « oui » assuré entre en conflit avec ce que le scan voit réellement, norppa.io le signale, de sorte que vous lisez non seulement ce qu'un fournisseur dit, mais s'il tient. Exactement l'angle mort de la section ci-dessus, refermé.