Comment Répondre au Questionnaire Cybersécurité Fournisseur NIS2 : Guide Pratique

Vous venez de recevoir un email de votre client — une entité essentielle ou importante au sens de NIS2 — vous demandant de compléter un questionnaire cybersécurité fournisseur. Délai : 4 semaines. Le questionnaire fait 80 pages, couvre des domaines que votre équipe n'a jamais formalisés, et demande des "preuves documentées" pour chaque contrôle. Par où commencer ? Ce guide pratique est conçu pour les responsables IT, RSSI et dirigeants de PME et ETI confrontés pour la première fois à un questionnaire de sécurité NIS2 supply chain. Nous couvrons les différents types de questionnaires, la structure type d'un questionnaire NIS2, la préparation des preuves, les erreurs à éviter, comment argumenter les écarts, et les délais réalistes selon votre niveau de maturité initial.

Types de questionnaires cybersécurité fournisseur NIS2

Tous les questionnaires fournisseurs ne se ressemblent pas. Avant de commencer à répondre, il est essentiel d'identifier à quel type de questionnaire vous faites face, car la stratégie de réponse diffère significativement.

ReCyF : le questionnaire standard ANSSI

ReCyF V2.5 est le questionnaire publié par l'ANSSI et utilisé par la majorité des entités essentielles françaises. Il couvre 112 contrôles en 12 domaines, avec une cotation en trois niveaux pour chaque contrôle. Sa structure est publique et documentée, ce qui vous permet de vous préparer avant même de recevoir le questionnaire de votre client. Avantage majeur : une fois préparé pour ReCyF, vous pouvez répondre à plusieurs clients utilisant ce référentiel avec le même dossier de preuves. La probabilité que votre client EE utilise ReCyF est élevée (estimée à plus de 70% des EE françaises en 2026).

TISAX : le questionnaire de l'industrie automobile

TISAX (Trusted Information Security Assessment Exchange) est le référentiel utilisé par les constructeurs automobiles et les équipementiers (PSA, Renault, Stellantis, leurs sous-traitants). Si votre client est dans l'industrie automobile, vous recevrez probablement une demande d'évaluation TISAX. TISAX dispose de sa propre plateforme (ENX Portal) et ses évaluations sont réalisées par des prestataires accrédités. Le partage des résultats via la plateforme ENX évite de devoir répondre séparément à chaque constructeur.

Questionnaires propriétaires des grands groupes

Certaines grandes entreprises (notamment dans les secteurs de l'énergie et des télécommunications) utilisent leurs propres questionnaires, construits sur la base de NIS2 et de leur propre politique de sécurité. Ces questionnaires peuvent contenir entre 50 et 300 questions selon la criticité de la relation. Ils sont généralement proches de ReCyF dans leur structure mais peuvent inclure des exigences spécifiques liées à l'environnement technique du client (accès VPN, intégration SSO, protocoles de communication sécurisée).

Structure type d'un questionnaire NIS2 supply chain

Quelle que soit sa forme, un questionnaire NIS2 supply chain suit généralement une structure en domaines couvrant les thèmes suivants. Comprendre cette structure vous permet d'anticiper les questions et de préparer les preuves en amont.

Section 1 : Gouvernance et organisation

Cette section vérifie l'existence d'une organisation cyber formalisée : qui est responsable de la sécurité (RSSI ou équivalent), existe-t-il une politique de sécurité approuvée par la direction, comment est-elle communiquée aux collaborateurs, quelle est la fréquence de révision. Les questions types : "Disposez-vous d'une PSSI formalisée et approuvée par la direction générale ?", "Qui est le référent sécurité de votre organisation ?", "Votre politique de sécurité est-elle revue au moins annuellement ?"

Section 2 : Gestion des risques

Cette section évalue la maturité de votre démarche de gestion des risques : avez-vous un processus formel d'identification et d'évaluation des risques, un registre des risques, des plans de traitement ? Les questions types portent sur la fréquence des analyses de risques, les critères d'acceptation des risques, et l'intégration des risques liés aux fournisseurs dans votre propre démarche.

Section 3 : Sécurité des systèmes et des réseaux

C'est souvent la section la plus longue. Elle couvre la gestion des correctifs (patch management), la segmentation réseau, la détection d'intrusion, la gestion des vulnérabilités, la sécurité des postes de travail, la sécurité des accès distants. Les questions sont très concrètes : fréquence des patches de sécurité, existence d'un antivirus/EDR, utilisation du MFA pour les accès distants, existence d'un inventaire des actifs.

Section 4 : Gestion des incidents

Cette section est spécifiquement renforcée dans les questionnaires NIS2 supply chain. Elle vérifie votre capacité à détecter, contenir et notifier les incidents. Les questions clés : "Disposez-vous d'une procédure formalisée de gestion des incidents ?", "Quels sont vos délais de notification d'un incident à vos clients NIS2 ?", "Avez-vous un canal de communication sécurisé dédié aux notifications d'incidents ?", "Des exercices de gestion de crise ont-ils été réalisés dans les 12 derniers mois ?"

Section 5 : Continuité d'activité

Plan de continuité d'activité (PCA), plan de reprise d'activité (PRA), tests de restauration des sauvegardes, RTO (Recovery Time Objective) et RPO (Recovery Point Objective) définis. Les questionnaires NIS2 exigent que vous ayez testé votre PCA au cours des 12 derniers mois et que vous puissiez justifier de vos capacités de reprise.

Préparer les preuves : ce que vous devez rassembler

La réponse à un questionnaire NIS2 supply chain n'est pas seulement déclarative. Chaque affirmation doit être soutenue par une preuve documentée. Voici ce que vous devez préparer.

Documents fondamentaux à constituer avant de commencer

Avant même de lire le questionnaire, constituez les documents suivants s'ils n'existent pas encore : la Politique de Sécurité des Systèmes d'Information (PSSI) signée par le DG et datée, l'inventaire des actifs (au moins pour les actifs impliqués dans les services fournis au client), le registre des risques avec dates de révision, la procédure de gestion des incidents avec les canaux de notification, le plan de continuité d'activité avec les derniers résultats de test, la liste des accès distants et la documentation de déploiement du MFA, le dernier rapport de test de restauration des sauvegardes.

Preuves techniques et opérationnelles

Pour les contrôles techniques, les preuves attendues sont : captures d'écran de la console d'administration MFA avec liste des utilisateurs concernés, rapport de déploiement des correctifs des 3 derniers mois (export de votre outil de patch management), rapport du dernier audit de vulnérabilités ou test d'intrusion, tableau de bord ou export de votre solution EDR/antivirus, documentation de la segmentation réseau (schéma réseau anonymisé).

Organisation de votre dossier de preuves

Structurez votre dossier de preuves en miroir du questionnaire : un dossier par domaine, avec les preuves correspondantes clairement nommées et datées. Un document de synthèse expliquant pour chaque contrôle la preuve fournie et sa localisation dans le dossier facilite considérablement la revue par votre client. Cette organisation est particulièrement importante si vous êtes amené à répondre à plusieurs clients avec des questionnaires similaires — vous pourrez réutiliser le dossier.

Erreurs fréquentes à éviter

Répondre "Oui" sans preuve

La première erreur est de cocher "Oui" à des contrôles qui existent de façon informelle mais ne sont pas documentés. Un questionnaire NIS2 supply chain sera généralement suivi d'une demande de preuves ou d'un audit. Si vous avez déclaré disposer d'une procédure de gestion des incidents mais que vous ne pouvez pas la produire, vous serez considéré comme ayant fourni de fausses informations, ce qui est bien plus problématique qu'un "Non" honnête.

Sous-estimer l'effort de préparation des preuves

La deuxième erreur est de commencer à répondre au questionnaire sans avoir préparé les preuves. La réponse au questionnaire prend 20% du temps, la collecte et la mise en forme des preuves 80%. Si vous commencez par remplir le questionnaire, vous vous retrouverez dans une situation où vous avez affirmé des choses que vous ne pouvez pas prouver, ou que vous devrez rétroactivement formaliser dans l'urgence.

Négliger les contrôles organisationnels au profit des techniques

Beaucoup d'équipes IT se concentrent sur les contrôles techniques (MFA, patches, EDR) et négligent les contrôles organisationnels (révision de la PSSI, formation des utilisateurs, exercices de crise). Or les contrôles organisationnels représentent souvent 40 à 50% des contrôles d'un questionnaire NIS2 et sont facilement vérifiables lors d'un audit.

Ne pas lire les définitions des niveaux

Les questionnaires ReCyF et similaires définissent précisément ce que signifient les niveaux "Initial", "Défini", "Optimisé". Beaucoup de répondants surévaluent leur niveau parce qu'ils ne lisent pas ces définitions. Un niveau "Défini" exige une procédure documentée, communiquée, appliquée et testée. Se coter "Défini" parce qu'une procédure existe dans un tiroir mais n'est jamais appliquée est une erreur qui sera détectée lors d'un audit.

Comment argumenter les écarts

Personne n'attend d'un fournisseur qu'il soit parfait. Ce que vos clients EE attendent, c'est une honnêteté sur les écarts et un plan de remédiation crédible. L'argumentaire des écarts est souvent aussi important que les points de conformité.

Structure d'un bon plan de remédiation

Pour chaque écart identifié, votre argumentaire doit contenir : une description précise de l'écart et de son niveau de risque estimé, la mesure compensatoire en place si elle existe (un écart sans mesure compensatoire est plus grave qu'un écart avec), le plan d'action avec une date d'échéance réaliste, le responsable interne de ce plan d'action, et les ressources allouées. Un plan de remédiation qui engage la direction générale sur des échéances précises est bien reçu par les clients EE.

Négocier les délais sur les écarts non critiques

Certains écarts sont critiques (absence de MFA sur les accès distants, absence de sauvegardes testées) et doivent être remédiés en priorité. D'autres sont moins urgents (absence d'un outil de gestion des vulnérabilités, CMDB manquante). Il est possible de négocier avec votre client EE un calendrier de remédiation sur 12 à 18 mois pour les écarts non critiques, à condition de fournir un plan documenté et de proposer un point de suivi trimestriel.

Délais réalistes et accompagnement

Auto-assessment : combien de temps faut-il prévoir

Pour une ETI de 50 à 200 personnes avec une DSI de 3 à 10 personnes, un auto-assessment complet d'un questionnaire NIS2 supply chain (type ReCyF) prend généralement entre 3 et 6 semaines de travail effectif. Ce délai inclut la lecture et la compréhension du référentiel (1 semaine), la collecte et la formalisation des preuves existantes (1 à 2 semaines), la rédaction des réponses et la rédaction des plans de remédiation pour les écarts (1 à 2 semaines), et la revue et validation interne (1 semaine).

Accompagnement professionnel vs auto-assessment

L'auto-assessment est possible pour les entreprises disposant d'un RSSI interne ou d'une DSI avec une culture de la sécurité. Il présente des limites : le risque de biais dans l'auto-évaluation (tendance à surévaluer), le risque de manquer des contrôles importants, et la difficulté à formaliser des preuves qui n'ont jamais été documentées. Un accompagnement par un cabinet spécialisé apporte une neutralité, une expertise sur les attentes réelles des clients EE, et un gain de temps significatif. Pour un questionnaire ReCyF complet avec constitution du dossier de preuves, un accompagnement professionnel représente généralement 15 à 30 jours-homme selon la taille et la maturité initiale.

FAQ : Répondre aux questionnaires cybersécurité fournisseur NIS2

Mon client m'a donné 4 semaines pour répondre à un questionnaire ReCyF complet — est-ce réaliste ?

4 semaines est un délai court mais possible si votre entreprise dispose déjà de preuves documentées sur les contrôles fondamentaux. Si vous partez de zéro (aucune PSSI, pas d'inventaire, pas de procédure d'incidents documentée), 4 semaines est insuffisant pour faire les choses correctement. Dans ce cas, il vaut mieux négocier avec votre client un délai de 8 semaines, tout en lui fournissant une réponse partielle sur les contrôles pour lesquels vous disposez de preuves à date.

Puis-je utiliser la réponse faite pour un client pour répondre à un autre client ?

Oui, si les deux clients utilisent le même référentiel (ReCyF). Le dossier de preuves est portable d'un client à l'autre, sous réserve de vérifier que les preuves sont toujours à jour et que le périmètre des services est similaire. Certains questionnaires propriétaires contiennent des questions spécifiques au contexte du client (accès à tels systèmes, protocoles spécifiques) qui nécessiteront une réponse personnalisée.

Que se passe-t-il si je ne réponds pas du tout au questionnaire ?

L'absence de réponse est généralement traitée comme une non-conformité par le client EE. Selon les clauses contractuelles, cela peut entraîner une mise en demeure, une suspension des commandes, ou la non-reconduction du contrat. Il vaut toujours mieux répondre partiellement avec honnêteté et un plan d'action qu'ignorer le questionnaire.

Mon questionnaire demande un test d'intrusion réalisé dans les 12 derniers mois — je n'en ai pas. Que faire ?

C'est un écart fréquent. Répondez honnêtement que le dernier test d'intrusion date de plus de 12 mois (ou n'a jamais été réalisé), décrivez les mesures compensatoires en place (analyse de vulnérabilités interne, EDR, monitoring), et proposez un plan d'action avec engagement de conduire un test dans les 3 à 6 mois. La plupart des clients EE acceptent cette réponse si le plan est crédible et engagé par la direction.

Où puis-je télécharger le référentiel ReCyF V2.5 pour me préparer ?

ReCyF V2.5 est disponible en téléchargement sur cyber.gouv.fr, le site officiel de l'ANSSI. Le référentiel est accompagné d'un guide d'utilisation et de fiches pratiques par domaine. Pour une préparation structurée, consultez notre guide ReCyF NIS2 supply chain et notre page sur la directive NIS2 en France. L'ENISA publie également des lignes directrices sur la sécurité de la chaîne d'approvisionnement sur enisa.europa.eu, et le texte complet de NIS2 est sur EUR-Lex.

Comment présenter votre démarche au client EE : l'entretien d'évaluation

Au-delà du questionnaire écrit, certains clients EE conduisent des entretiens d'évaluation avec les fournisseurs les plus critiques. Ces entretiens, souvent conduits par le RSSI de l'EE ou par un prestataire PASSI mandaté, peuvent durer entre 2 et 4 heures et couvrent les points clés du questionnaire avec une demande de justification orale et de présentation des preuves.

Pour réussir un entretien d'évaluation ReCyF, plusieurs règles s'appliquent. Premièrement, faites-vous représenter par les bons interlocuteurs : le RSSI ou le responsable IT qui connaît réellement les pratiques, pas uniquement un responsable commercial qui aurait signé le questionnaire. Deuxièmement, soyez préparé à montrer les preuves en temps réel : accès à votre console d'administration MFA, à votre outil de patch management, à votre PSSI. Un écart entre ce que vous avez déclaré et ce que vous pouvez montrer en direct est fatal à votre crédibilité. Troisièmement, anticipez les questions sur les incidents passés : si vous avez subi un incident de sécurité (même mineur) dans les 24 derniers mois, préparez votre retour d'expérience documenté — un incident bien géré est souvent mieux perçu qu'une affirmation d'absence d'incident difficile à croire.

Les 10 questions les plus fréquentes en entretien d'évaluation NIS2

Voici les 10 questions les plus fréquemment posées lors des entretiens d'évaluation NIS2 supply chain, avec les éléments de réponse attendus. Première question : "Comment avez-vous déployé le MFA pour vos accès distants ?" — préparez une démonstration ou une capture d'écran de votre outil. Deuxième question : "Quel est votre délai moyen de déploiement des correctifs de sécurité critiques ?" — répondez avec des métriques réelles issues de votre historique de patches. Troisième question : "Qui est responsable de la sécurité dans votre organisation, et quel est son niveau hiérarchique ?" — un RSSI qui reporte à la direction est bien perçu. Quatrième question : "Comment évaluez-vous la sécurité de vos propres fournisseurs ?" — préparez votre processus d'évaluation, même s'il est simple. Cinquième question : "Quand avez-vous testé votre PCA pour la dernière fois ?" — ayez le rapport de test à portée de main. Sixième question : "Décrivez votre procédure de notification d'un incident à notre équipe sécurité." — connaissez les délais NIS2 (24h/72h/1 mois) et pouvez les illustrer avec un scénario concret. Septième question : "Avez-vous réalisé un test d'intrusion dans les 12 derniers mois ?" — si non, expliquez les mesures compensatoires et votre plan. Huitième question : "Comment gérez-vous les mots de passe et les comptes de service ?" — mentionnez votre gestionnaire de mots de passe et votre politique de rotation. Neuvième question : "Vos employés sont-ils formés à la cybersécurité ?" — préparez les dates et contenus des dernières formations. Dixième question : "Comment segmentez-vous l'accès aux données traitées pour notre compte ?" — soyez précis sur les contrôles d'accès et la ségrégation.

Outils et ressources pratiques pour la préparation

Plusieurs outils et ressources pratiques peuvent faciliter la préparation et la réponse aux questionnaires NIS2 supply chain.

Outils de gestion des politiques et des preuves

Des solutions comme Vanta, Drata, Tugboat Logic ou Sprinto permettent d'automatiser la collecte de preuves (connexion aux outils IT existants pour extraire automatiquement les rapports de compliance) et de gérer les questionnaires fournisseurs. Ces outils, initialement conçus pour la certification SOC 2 et ISO 27001 américaine, s'adaptent progressivement aux référentiels européens dont ReCyF. Leur coût (entre 10 000 et 30 000 euros par an pour une PME) est justifiable si vous répondez à plus de 5-6 questionnaires clients par an.

Prestataires spécialisés en accompagnement ReCyF

Des cabinets de conseil en cybersécurité proposent des missions d'accompagnement spécifiquement pour la conformité ReCyF. Ces missions incluent généralement une auto-évaluation guidée, la constitution du dossier de preuves, la rédaction des plans de remédiation et la préparation aux entretiens d'évaluation. La durée typique d'une mission d'accompagnement est de 15 à 30 jours selon la taille et la maturité initiale, pour un coût compris entre 15 000 et 40 000 euros. Un RSSI à temps partiel externalisé peut également être une solution adaptée aux PME qui préfèrent un accompagnement dans la durée plutôt qu'une mission ponctuelle.

Maintenir la conformité dans le temps : le pilotage continu

La conformité ReCyF n'est pas un état permanent — c'est un processus continu. Après une première évaluation réussie, les fournisseurs doivent maintenir leur niveau de conformité, car les clients EE conduisent des réévaluations annuelles. Ce pilotage continu implique quelques pratiques essentielles : une revue trimestrielle du registre des risques et du dossier de preuves, une veille sur les évolutions du référentiel ReCyF (des mises à jour mineures peuvent être publiées en cours d'année), la mise à jour de la PSSI dès que des changements organisationnels ou technologiques significatifs interviennent, et la réalisation régulière d'exercices de gestion de crise documentés. Les entreprises qui abordent la conformité ReCyF comme un projet ponctuel plutôt que comme un processus continu se retrouvent régulièrement en situation de non-conformité lors des réévaluations annuelles, avec les risques commerciaux associés.