Le questionnaire arrive avec un renouvellement de contrat, ou dans les conditions d'achat d'un client plus gros que vous. « Utilisez-vous l'authentification multifactorielle ? Testez-vous vos sauvegardes ? Qui contacter en cas d'incident ? » Parfois, une clause suit et vous demande de respecter « les exigences NIS2 ». Votre société compte douze personnes et ne travaille dans aucun secteur visé par la loi. Que répondre ?
Voici comment je m'y prends. Je ne suis pas juriste : pour la clause elle-même, faites-la relire par votre conseil. Les règles citées viennent de la loi, de l'arrêté royal et du site du Centre pour la Cybersécurité Belgique (CCB).
Pourquoi vous recevez ce questionnaire
La loi belge du 26 avril 2024, dite loi NIS2, est entrée en vigueur le 18 octobre 2024. En principe, elle vise les organisations établies en Belgique qui fournissent un service repris dans ses annexes (énergie, transports, santé, numérique, fabrication, entre autres) et qui ont au moins la taille d'une moyenne entreprise : 50 équivalents temps plein, ou plus de 10 millions d'euros à la fois de chiffre d'affaires annuel et de total du bilan. Quelques types d'entités sont visés quelle que soit leur taille, comme les fournisseurs de services DNS ou de communications électroniques publiques. En dehors de ces cas, et sauf désignation par le CCB, une petite entreprise n'a ni à s'enregistrer auprès de lui ni à lui notifier ses incidents.
Votre client, lui, est dans le champ. L'article 30 de la loi lui impose des mesures de gestion des risques, parmi lesquelles « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». Il doit tenir compte des vulnérabilités propres à chaque fournisseur direct, mais la loi ne fixe pas la méthode. Le questionnaire est sa façon de faire, et une trace qu'il pourra montrer en cas d'inspection.
Pour les entités essentielles, l'arrêté royal du 9 juin 2024 prévoit une évaluation de conformité en deux temps : une première étape au plus tard le 18 avril 2026, la suivante au plus tard le 18 avril 2027. Dans les niveaux supérieurs du CyFun, documenter ses fournisseurs et encadrer leurs obligations par contrat fait partie des contrôles.
Ce que le client cherche à savoir
Derrière la longue liste, il y a surtout trois questions. Est-ce que vous pouvez être la porte d'entrée d'un incident chez lui ? Est-ce qu'il le saura vite ? Est-ce que vous vous en relèveriez ? Une entité NIS2 doit envoyer une alerte précoce au CSIRT national dans les 24 heures après avoir eu connaissance d'un incident significatif, puis une notification d'incident dans les 72 heures. Si votre messagerie piratée envoie des factures piégées à sa comptabilité, il doit l'apprendre par vous, et tôt.
Le cadre de référence : CyFun Basic
Le CCB conseille à toute organisation susceptible de se trouver dans la chaîne d'approvisionnement d'une entité NIS2 d'appliquer au moins les mesures du niveau Basic des CyberFundamentals (CyFun). Le cadre est gratuit et s'accompagne d'un outil d'autoévaluation sous Excel. Il existe aussi un niveau de départ, Small, prévu pour les micro-organisations ou les équipes avec peu de connaissances techniques. Les versions 2023 et 2025 coexistent jusqu'au 18 avril 2027.
Les mesures clés du niveau Basic recoupent presque ligne par ligne ce que les questionnaires demandent :
- l'authentification multifactorielle dès que c'est possible, et toujours pour l'accès à distance ;
- des sauvegardes des données critiques, stockées sur un autre système que celui qui les contient ;
- les correctifs de sécurité installés sur les systèmes d'exploitation et les composants critiques ;
- des droits d'accès limités au nécessaire, et personne en administrateur pour le travail courant ;
- un pare-feu actif et des journaux conservés.
Les questions qui reviennent
Je réponds question par question, avec trois éléments : ce qui est en place, depuis quand, et ce qui ne l'est pas encore. Les sujets qu'on retrouve presque toujours :
- double authentification : sur quels comptes (messagerie, administrateurs, accès à distance), et lesquels n'en ont pas encore, avec une date prévue ;
- sauvegardes : où elles sont stockées, à quelle fréquence, et la date du dernier test de restauration. « Oui, nous sauvegardons » ne lui apprend rien ;
- mises à jour : automatiques sur les postes ou non, et qui s'occupe du pare-feu, du NAS ou du serveur. Si c'est votre prestataire, écrivez-le ;
- contact en cas d'incident : un nom, une adresse et un numéro joignables, un remplaçant, et un délai de prévenance que vous pouvez réellement tenir ;
- accès de vos sous-traitants : qui, chez vos propres prestataires, peut entrer dans vos systèmes ou dans ceux du client, avec quel compte, et comment ces accès sont retirés en fin de mission.
Un registre daté, avec des noms
Avant de remplir quoi que ce soit, je fais ouvrir un registre. Un tableur suffit : la mesure, où elle s'applique, la personne responsable, la date de mise en place, la date du dernier contrôle et la preuve (une capture d'écran, un rapport, une facture). Il rend les réponses vérifiables et resservira au questionnaire suivant.
Il vous protège aussi. Si une réponse devient fausse, parce que le prestataire change ou qu'un compte perd sa double authentification, vous le voyez et vous prévenez le client avant qu'il ne le découvre.
Ce que je déconseille
- Cocher « oui » partout. Un questionnaire signé engage la société, et il ressortira après un incident. « Partiellement, finalisé en mars » sert davantage le client qu'un « oui » impossible à prouver.
- Signer telle quelle une clause qui vous impose « toutes les obligations NIS2 ». Votre société n'est pas une entité NIS2. Demandez quelles mesures précises sont attendues, et faites relire le texte.
- Acheter une certification par réflexe. Un certificat ISO/IEC 27001 ou un label CyFun, obtenu après vérification par un organisme agréé, se justifie quand un client l'exige noir sur blanc ou que plusieurs le demandent. Sinon, une autoévaluation CyFun Basic honnête et un registre à jour suffisent souvent.
- Confier tout le questionnaire à une seule personne. Le prestataire informatique connaît les mises à jour, le gérant sait qui a accès à quoi, la comptabilité sait si une assurance couvre les cyberattaques.
Par où commencer cette semaine
Téléchargez l'outil d'autoévaluation CyFun Basic sur le site du CCB et remplissez-le une première fois sans arrondir, en bloquant une demi-journée. Ouvrez le registre avec les cinq sujets ci-dessus. Répondez ensuite au client, en datant ce qui manque.
Si les bases (sauvegardes, comptes, mises à jour) ne sont pas encore en place, j'avais décrit par où commencer dans cet article.
Si vous voulez remplir l'autoévaluation et le questionnaire avec quelqu'un, sur un pack d'heures : info@z80.be, +32 494 111 041, www.z80.be.