Questionnaires de sécurité fournisseurs : ce qu'un certificat ISO 27001 évite
Pourquoi les questionnaires de sécurité se multiplient
Un prestataire qui travaille pour des entreprises soumises à des obligations de cybersécurité reçoit de plus en plus de questionnaires : plusieurs centaines de questions, un fichier différent par client, souvent avant la signature puis à chaque renouvellement. Ces demandes découlent de textes précis.
La directive NIS2 (article 21, paragraphe 2, point d) inclut la sécurité de la chaîne d’approvisionnement dans les mesures de gestion des risques des entités essentielles et importantes, y compris les relations avec leurs fournisseurs et prestataires de services directs. Le paragraphe 3 leur demande de tenir compte des vulnérabilités propres à chaque fournisseur et de la qualité de ses pratiques de cybersécurité.
Le règlement DORA va plus loin pour le secteur financier. Avant de conclure un contrat, l’entité financière fait preuve de diligence à l’égard du prestataire de services TIC (article 28, paragraphe 4). Elle ne contracte qu’avec des prestataires qui respectent « des normes adéquates en matière de sécurité de l’information » (paragraphe 5) et inscrit chaque contrat dans son registre d’informations. Le détail figure dans des règlements délégués (RTS) et d’exécution (ITS).
Le RGPD (article 28) demande enfin au responsable de traitement de ne recourir qu’à des sous-traitants capables de démontrer des mesures techniques et organisationnelles appropriées.
Aucun de ces textes n’impose de certificat. Tous obligent le client à évaluer son fournisseur, et le questionnaire est l’outil le plus courant pour le faire.
Ce que le client lit sur un certificat ISO 27001
Un certificat ISO 27001 répond d’un coup à la question qui ouvre la plupart des questionnaires : le prestataire dispose-t-il d’un système de management de la sécurité de l’information, évalué par un tiers indépendant ? Il atteste que l’organisation a défini un périmètre, apprécié et traité ses risques, choisi ses mesures dans une déclaration d’applicabilité, conduit des audits internes et des revues de direction. Un organisme de certification l’a vérifié, puis le vérifie de nouveau chaque année lors de l’audit de surveillance.
Avant d’en tenir compte, le client vérifie plusieurs mentions :
- la raison sociale : le certificat couvre-t-il l’entité qui signe le contrat, ou une autre société du groupe ?
- le périmètre : les services, les activités et les sites achetés y figurent-ils ?
- la version de la norme : ISO/IEC 27001:2022, la transition des certificats de 2013 s’étant achevée le 31 octobre 2025 ;
- les dates de validité et le statut du certificat ;
- l’accréditation : marque et numéro de l’accréditeur, le COFRAC en France pour ISO 27001.
La vérification de la validité d’un certificat se fait auprès de l’organisme qui l’a délivré.
Les questions auxquelles le certificat répond
Une bonne partie d’un questionnaire porte sur des thèmes que l’audit de certification examine. Pour ces questions, le prestataire peut renvoyer au certificat et aux mesures correspondantes de l’annexe A, sous réserve qu’elles soient déclarées applicables.
| Thème du questionnaire | Ce que l’audit ISO 27001 examine |
|---|---|
| Gouvernance et politiques | Engagement de la direction, politique de sécurité, rôles (chapitre 5, mesures A.5.1 à A.5.4) |
| Gestion des risques | Appréciation et traitement des risques, déclaration d’applicabilité (chapitres 6 et 8) |
| Ressources humaines | Sélection, sensibilisation, formation, fin de contrat (A.6.1 à A.6.5) |
| Contrôle d’accès | Gestion des identités, droits d’accès, accès à privilèges, authentification (A.5.15 à A.5.18, A.8.2, A.8.5) |
| Incidents | Planification, évaluation, réponse, retour d’expérience, preuves (A.5.24 à A.5.28) |
| Continuité | Sécurité pendant une perturbation, préparation des TIC (A.5.29, A.5.30) |
| Sous-traitants du prestataire | Relations fournisseurs, chaîne d’approvisionnement TIC, services en nuage (A.5.19 à A.5.23) |
| Exploitation | Vulnérabilités techniques, sauvegardes, journalisation, surveillance (A.8.8, A.8.13, A.8.15, A.8.16) |
| Obligations légales et contractuelles | Identification des exigences applicables (A.5.31) |
L’audit de certification procède par échantillonnage. Il vérifie que le système de management fonctionne et que les mesures retenues sont en place, sans tester chaque contrôle de façon exhaustive.
Ce que le certificat ne remplace pas
Le certificat allège le questionnaire sans le supprimer. Plusieurs familles de questions restent propres à chaque relation commerciale :
- les caractéristiques du service acheté : localisation des données, choix de chiffrement, niveaux de service, liste des sous-traitants ultérieurs ;
- les éléments dont le client a besoin pour ses propres obligations : informations du registre DORA, clauses contractuelles imposées par l’article 30 de DORA, contrat de sous-traitance prévu par l’article 28 du RGPD ;
- les preuves de fonctionnement de contrôles précis, comme des résultats de tests d’intrusion ou l’historique des incidents ;
- tout ce qui se situe hors du périmètre certifié.
Les entités financières gardent aussi leurs droits d’accès, d’inspection et d’audit sur les prestataires qui soutiennent des fonctions critiques ou importantes (DORA, article 30, paragraphe 3). Les RTS DORA les autorisent à s’appuyer sur des certifications tierces, à condition notamment que leur périmètre couvre les systèmes et contrôles clés. Elles ne peuvent pas s’en remettre à ces seuls documents dans la durée.
Déclaration d'applicabilité et rapport d'audit : ce qui circule
La déclaration d’applicabilité liste les 93 mesures de l’annexe A et justifie l’inclusion ou l’exclusion de chacune. C’est un document interne. Le prestataire décide de le communiquer ou non, le plus souvent sous accord de confidentialité. Le certificat fait référence à la version de la déclaration d’applicabilité en vigueur lors de l’audit.
Le rapport d’audit appartient à la relation entre l’organisme de certification et l’organisation certifiée. ISO/IEC 17021-1 impose à l’organisme de garder confidentielles les informations obtenues pendant l’audit. Il ne transmet donc ni rapport ni constat au client d’un prestataire. Seule l’organisation certifiée peut choisir de partager des extraits.
Un certificat suivi dans la durée
Un questionnaire décrit la situation d’un jour. Un certificat ISO 27001 couvre un cycle de trois ans, avec des audits de surveillance au moins annuels et un audit de renouvellement. Un certificat peut être suspendu ou retiré si les exigences ne sont plus respectées, et son statut reste vérifiable.
Lorsque le périmètre change, il peut être étendu à tout moment, lors d’un audit d’extension distinct, ou à l’occasion d’un audit de surveillance ou de renouvellement. Le client qui reçoit un nouveau certificat sait ainsi quels services ont été ajoutés.
Certi-Trust est un organisme d’évaluation : il réalise la certification ISO 27001 sous accréditation COFRAC n° 4-0612 et ne rédige ni ne corrige les réponses aux questionnaires de ses clients. Pour échanger avec un auditeur sur votre périmètre : nous contacter.
Questions fréquentes
Un certificat ISO 27001 dispense-t-il de répondre à un questionnaire de sécurité ?
Non. Il couvre une partie des questions, celles qui portent sur le système de management et les mesures de l’annexe A déclarées applicables. Les questions propres au service acheté et aux obligations du client restent à traiter.
Le client peut-il demander le rapport d’audit de certification ?
Il peut le demander, mais l’organisme de certification ne le lui transmettra pas : il est tenu à la confidentialité. C’est l’organisation certifiée qui décide de partager ou non tout ou partie du rapport.
Faut-il communiquer sa déclaration d’applicabilité ?
Aucune norme ne l’impose. Beaucoup de clients la demandent pour savoir quelles mesures de l’annexe A s’appliquent au service. Le prestataire choisit de la transmettre, en général sous accord de confidentialité.
Un certificat ISO 27001 suffit-il pour un client soumis à DORA ?
Le règlement n’impose aucune certification. L’entité financière peut tenir compte d’un certificat dans son évaluation, mais elle reste responsable de l’évaluation et conserve ses droits d’audit et d’inspection. Voir DORA et ISO 27001.