Questionnaire sécurité fournisseur : la checklist pour y répondre sereinement

Le mail arrive un jeudi après-midi. Objet : « Évaluation de la sécurité de nos fournisseurs ». En pièce jointe, un tableur de 80 lignes. Date de retour : dans quinze jours.

Première réaction : qui va remplir ça, et avec quelles informations ?

Bonne nouvelle : ces questionnaires se ressemblent tous. Une fois vos réponses rédigées, vous les réutilisez pour les suivants. Voici les huit sections que vous allez rencontrer, ce qu’on attend vraiment dans chacune, et les trois règles qui évitent les faux pas.

Pourquoi vous le recevez

Vos clients régulés doivent sécuriser leur chaîne d’approvisionnement. Ils sont responsables du niveau de sécurité de leurs prestataires, et le seul moyen de le démontrer, c’est de vous le demander par contrat.

D’où ces trois formats, qui arrivent souvent ensemble : le questionnaire de sécurité (30 à 120 questions, 15 à 30 jours pour répondre), l’annexe sécurité à signer, et l’appel d’offres avec ses exigences intégrées.

La sanction d’une non-réponse n’est pas réglementaire. Elle est commerciale : sortie de la liste des fournisseurs référencés, suspension du contrat, ou non-renouvellement à l’échéance.

À retenir
Un questionnaire bien rempli est un argument commercial. À prestation équivalente, le fournisseur qui répond en trois jours avec ses pièces à jour passe devant celui qui demande un délai supplémentaire.

Les huit sections du questionnaire

1. Gouvernance

Qui pilote la sécurité chez vous, et avec quel mandat ? On attend un nom, un rattachement, et une politique de sécurité écrite, même courte. Une politique de quatre pages réellement appliquée vaut mieux qu’un document de quarante pages jamais ouvert.

2. Hébergement et données

Où sont physiquement vos données, chez quel opérateur, sous quelle juridiction ? Y a-t-il des transferts hors Union européenne, y compris via un sous-traitant ? Préparez le nom de l’hébergeur, la localisation des datacenters et la liste de vos sous-traitants.

3. Certifications

ISO 27001 le plus souvent, parfois SOC 2. Attention au détail qui change tout : on vous demande le périmètre de la certification, pas seulement son existence. Joignez l’attestation et la date du dernier audit.

4. Gestion des accès

Authentification multifacteur, comptes à privilèges, revue périodique des droits, procédure de départ d’un collaborateur. C’est la section où les réponses approximatives se repèrent vite : on vous demandera la date de votre dernière revue des accès.

5. Sauvegardes et continuité

Fréquence, durée de rétention, isolement des copies. Puis la question piège : à quelle date remonte votre dernière restauration testée ? Une sauvegarde jamais restaurée n’est pas une sauvegarde, c’est une intention. Même logique côté plan de reprise : objectifs de temps et de perte de données annoncés, date du dernier test, résultats obtenus.

6. Détection et supervision

Que surveillez-vous, avec quels outils, pendant combien de temps conservez-vous vos journaux, et qui est alerté la nuit ? La couverture horaire compte autant que l’outillage.

7. Notification d’incident

Sous quel délai prévenez-vous votre client ? Le délai contractuel demandé est souvent de 24 heures maximum, volontairement plus court que les délais réglementaires, pour laisser à votre client le temps de remplir ses propres obligations. Préparez le contenu minimal de votre notification et les contacts désignés de part et d’autre.

8. Vos propres fournisseurs

La question descend d’un cran : avez-vous identifié vos prestataires critiques, les avez-vous évalués, et vos contrats comportent-ils des clauses cyber ? C’est la section la plus souvent bâclée, et celle qui révèle le plus sur votre maturité réelle.

Les pièces à joindre

Presque toujours les mêmes, quel que soit le client :

• Politique de sécurité (PDF)
• Attestation de certification de votre hébergeur, avec son périmètre
• Procédure de gestion des incidents
• Dernier rapport d’audit ou de test d’intrusion
• Attestation de cyber-assurance

Rassemblez-les une fois dans un dossier unique. Vous gagnerez trois jours au prochain questionnaire.

Trois règles pour répondre sereinement

Ne cochez pas « oui » par confort. Le questionnaire engage votre responsabilité contractuelle, et le droit d’audit permet de vérifier. Une réponse honnête assortie d’un plan d’action daté passe mieux qu’une case cochée à tort : « Non, pas encore. Déploiement prévu au premier trimestre 2027 » est une réponse professionnelle.

Répondez à la question posée. Pas de littérature. Un fait, une date, une pièce jointe. Les équipes qui dépouillent ces questionnaires en traitent des dizaines : la clarté joue en votre faveur.

Impliquez votre hébergeur dès la réception. Les trois quarts des réponses techniques dépendent de lui. C’est lui qui détient les preuves, et il a souvent déjà rédigé les réponses pour d’autres clients.

Ce que votre hébergeur doit vous fournir

Regardez les huit sections : cinq dépendent directement de votre infrastructure et de son exploitation. Chez HostMe, ces éléments sont documentés et transmis sur simple demande, parce que nos clients nous les réclament chaque mois.

• Localisation précise des données : deux datacenters français, à Roubaix et Strasbourg, sans transfert hors Union européenne.
• Attestation ISO 27001 avec son périmètre écrit, à joindre telle quelle.
• Politique de sauvegarde Veeam, PRA intégré, et dates des tests de restauration réalisés.
• Description de la supervision, de la journalisation et de la procédure d’escalade, avec la couverture horaire.
• Engagement de notification compatible avec le délai de 24 heures demandé par vos clients.

À retenir
Un bon hébergeur ne se contente pas de sécuriser votre infrastructure : il vous fournit les preuves que vos clients réclament, dans un format directement utilisable.

Vous préférez qu’on regarde ensemble ?

Vous avez un questionnaire sur le bureau et vous butez sur les sections techniques ? Notre diagnostic conformité dure 30 minutes : un ingénieur passe en revue votre hébergement, vos sauvegardes, votre capacité de détection et vos dépendances. Vous repartez avec un compte rendu écrit et les écarts à combler. Gratuit et sans engagement.

Demander mon diagnostic conformité

Cet article décrit les pratiques constatées sur le marché. L’analyse de vos clauses contractuelles relève d’un conseil juridique. Sources : ANSSI (Référentiel Cyber France), directive NIS2 article 21.