Un grand compte vous envoie son questionnaire sécurité

La scène se répète chez nos clients. Une petite entreprise décroche un beau projet avec un grand groupe ou une collectivité. Arrive alors une convention de vingt pages, dont la moitié parle de protection des données, accompagnée d’un questionnaire. Et la première question qu’on nous transmet est rarement juridique. Récemment, c’était : « c’est quoi, le RSSI ? ».

Cette question n’a rien de honteux. Une entreprise de cinq personnes n’a pas de responsable de la sécurité des systèmes d’information, et celui qui a rédigé le questionnaire le sait très bien. Ce qu’il cherche, ce n’est pas un organigramme de multinationale, c’est la preuve que quelqu’un, chez vous, tient le sujet.

Pourquoi ces questionnaires se multiplient

Ce n’est pas une mode. L’article 28 du RGPD interdit à un responsable de traitement de confier des données à un sous-traitant qui ne présente pas de garanties suffisantes, et il doit pouvoir prouver qu’il a vérifié. La directive NIS 2, même en attente de transposition française, pousse les grandes entités à sécuriser leur chaîne d’approvisionnement, donc à auditer leurs fournisseurs. Et les assureurs cyber posent les mêmes questions avant de couvrir. Résultat : le questionnaire descend la chaîne, du donneur d’ordre vers la PME, et il descendra encore.

Nous le voyons des deux côtés : nous aidons des clients à répondre à ces questionnaires, et nous en rédigeons pour d’autres qui évaluent leurs propres prestataires.

Ce qu’il y a dedans, presque toujours

Les libellés varient, le fond non. Six blocs reviennent systématiquement :

• Gouvernance : qui est responsable de la sécurité, existe-t-il une politique écrite, un DPO est-il désigné et auprès de la CNIL ;
• Données : quelles données personnelles vous traiterez pour le client, où elles sont hébergées, chez qui, dans quel pays ;
• Sous-traitance : vos propres prestataires, et depuis peu la question monte, utilisez-vous des outils d’IA, lesquels, sur quelles données ;
• Sécurité technique : chiffrement, sauvegardes, gestion des accès, mises à jour, journalisation ;
• Incidents : votre procédure en cas de violation de données, vos délais d’alerte du client ;
• Droits et contrats : votre capacité à signer leur accord de traitement des données et à répercuter les demandes d’exercice de droits.

Les cases qui font perdre le marché

Trois réponses tuent un dossier plus sûrement que toutes les autres. « DPO : non désigné » quand le traitement le justifie, parce qu’elle signale que le sujet n’est porté par personne. « Localisation des données : inconnue », parce qu’elle rend impossible l’analyse de transfert que le client doit faire. Et l’absence totale de procédure d’incident, parce qu’elle transforme votre problème futur en son problème futur.

À l’inverse, une réponse honnête et datée sur un point faible passe bien : « chiffrement des postes en cours de déploiement, échéance T4 2026 » vaut mieux qu’un oui de complaisance qu’un audit contractuel démentira. Ces questionnaires engagent : y répondre faussement fragilise le contrat qui s’appuie dessus.

Se préparer avant qu’il arrive

Tout l’enjeu est là. Un questionnaire rempli dans l’urgence un vendredi soir se voit. Le socle qui permet de répondre en une heure au lieu d’une semaine tient en peu de choses : un registre des traitements à jour, la liste de vos sous-traitants avec leur localisation, une note de sécurité d’une ou deux pages qui décrit vos mesures réelles, une procédure de violation de données, et un interlocuteur désigné.

C’est précisément le dossier qu’un audit RGPD construit, et qu’un DPO externalisé maintient à jour. Le nom du DPO dans la case correspondante fait le reste : c’est souvent la première chose que le client vérifie.