Questionnaire de sécurité reçu d'un donneur d'ordre : comment répondre (sans consultant)

Par Grace Kabeya · Ex-cheffe de projet certification cybersécurité (ISO 27001, TISAX, RGPD)

Vous venez de recevoir un email de votre client — ou pire, il est arrivé dans un appel d'offres : un fichier Excel de 60 à 200 questions sur votre « sécurité des systèmes d'information », avec des pièces jointes exigées et un délai de réponse de 10 jours. Vous n'avez ni service informatique, ni RSSI, ni la moindre idée de ce qu'est une « PSSI ».

Bonne nouvelle : ce questionnaire est plus gérable qu'il n'y paraît, à condition de suivre une méthode. Voici celle que nous recommandons, issue de plusieurs années passées des deux côtés de la table (organisme de certification et direction des systèmes d'information d'un grand groupe).

Pourquoi votre client vous envoie ça maintenant

Ce n'est pas de la paperasse gratuite. Les réglementations européennes (NIS2 en tête) obligent les grandes entreprises à évaluer la sécurité de leur chaîne d'approvisionnement — c'est-à-dire vous, leurs prestataires. Leurs assureurs et leurs propres auditeurs leur demandent des preuves. Votre questionnaire est la preuve qu'ils collectent.

Conséquence directe : une réponse absente, en retard ou visiblement bâclée est devenue un critère d'élimination dans les consultations. Souvent sans que la vraie raison vous soit communiquée.

Étape 1 — Lisez tout avant d'écrire quoi que ce soit

Parcourez l'intégralité du questionnaire et classez chaque question en trois piles : « je sais répondre », « je fais mais ce n'est pas écrit », « je ne fais pas ». La deuxième pile est presque toujours la plus grosse : la plupart des PME appliquent des mesures de bon sens (mots de passe, sauvegardes, antivirus) sans jamais les avoir formalisées. Le problème n'est pas votre sécurité, c'est votre documentation.

Étape 2 — Ne mentez jamais, jamais, jamais

La tentation classique : cocher « oui » partout pour accélérer la vente. C'est la pire stratégie. Les acheteurs et RSSI expérimentés repèrent les réponses trop parfaites, demandent des preuves, et un mensonge découvert détruit la relation commerciale bien plus sûrement qu'une lacune avouée. La formule qui fonctionne : « Mesure partiellement en place — plan d'action engagé, échéance [date] ». Un fournisseur lucide sur ses écarts inspire davantage confiance qu'un fournisseur prétendument parfait.

Étape 3 — Produisez les 3 documents que tout le monde demande

Trois pièces jointes couvrent l'essentiel des exigences documentaires :

1. Une politique de sécurité (2 à 5 pages suffisent pour une PME) : qui accède à quoi, règles de mots de passe, sauvegardes, mises à jour, postes de travail.
2. Une procédure de gestion des incidents : qui fait quoi en cas d'attaque ou de fuite de données, et qui prévient le client sous quel délai.
3. Un registre de vos propres sous-traitants : vos clients doivent vérifier que vous surveillez votre propre chaîne (hébergeur, infogérant, logiciels cloud…).

Ces documents doivent décrire votre réalité, pas un idéal copié-collé d'internet — voir l'étape 2.

Étape 4 — Répondez avec précision, pas avec des slogans

« La sécurité est notre priorité » n'est pas une réponse. « Les postes sont verrouillés par mot de passe, mise en veille automatique à 10 minutes, antivirus [nom] mis à jour automatiquement » en est une. Règle simple : chaque réponse doit contenir un fait vérifiable — un outil, une fréquence, un responsable ou un délai.

Étape 5 — Renvoyez dans les délais, avec une note de synthèse

Joignez à votre réponse une page de présentation de votre dispositif sécurité : votre « carte de visite sécurité ». Elle montre que le sujet est piloté, cadre la lecture du questionnaire, et vous distingue immédiatement des concurrents qui renvoient un Excel sec, incomplet et en retard.

Le raccourci honnête

Tout cela est faisable à la main en une à deux semaines de travail. Si votre échéance est plus courte — ou si vous préférez consacrer ce temps à votre métier — c'est exactement ce que DossierConforme automatise : un diagnostic guidé de 15 minutes, en langage courant, qui génère votre dossier de confiance fournisseur complet, personnalisé et fidèle à vos pratiques réelles, avec une banque de 50 réponses types aux questions les plus fréquentes.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique.