Des solutions sur mesure pour les entreprises B2B
Qui livre de grandes entreprises est contrôlé régulièrement : par des questionnaires, des audits clients et des exigences contractuelles. NIS2 et DORA obligent vos clients à évaluer leur chaîne d’approvisionnement. Sightadel garde vos réponses et vos preuves au même endroit, pour que chaque contrôle parte du même état des lieux.
Situation de départ
Pour les fournisseurs et prestataires, la sécurité chez le client fait partie de la mission. Vous avez accès aux systèmes, aux données ou aux processus de production de vos clients. Un incident chez vous peut y causer des dommages. C’est pourquoi les grands clients veulent savoir comment vous travaillez, avant et pendant la collaboration.
Les exigences prennent de nombreuses formes. Un questionnaire de cent questions, un audit fournisseur sur site, une annexe de sécurité au contrat-cadre, la demande d’un certificat. Depuis NIS2 et DORA, de nombreux clients sont légalement tenus de piloter la sécurité de leur chaîne d’approvisionnement. Ils vous transmettent cette obligation par contrat.
Les questions se ressemblent, les formulaires non. Répondre à chaque questionnaire séparément occupe sans cesse les ventes, l’informatique et la direction avec les mêmes sujets. Avec un SMSI selon ISO 27001, les réponses sont vérifiées et justifiées une fois, et un certificat répond à beaucoup de questions à l’avance.
Pourquoi maintenant
La date est fixée, l’auditeur arrive avec une liste. Il pose des questions sur les politiques, les accès, le plan d’urgence et la gestion des incidents, à chaque fois avec preuve.
Chaque client envoie son propre formulaire, souvent sous Excel et avec un délai. Les réponses se répartissent entre plusieurs personnes et se contredisent parfois.
Selon le § 30 de la BSIG, la sécurité de la chaîne d’approvisionnement fait partie de la gestion des risques des entités importantes et essentielles. Vos clients doivent donc vous évaluer et vous engager par contrat.
DORA exige des entités financières qu’elles recensent et évaluent leurs prestataires tiers de services TIC et concluent des contrats au contenu minimal défini. En tant que prestataire, vous le constatez dans les questionnaires et les annexes contractuelles.
Les donneurs d’ordre publics et les grands donneurs d’ordre privés posent souvent ISO 27001 comme condition. Sans certificat, vous n’entrez pas dans la liste restreinte.
Ce que votre client exige de vous, vous devez souvent le répercuter sur vos propres sous-traitants. Cette chaîne a elle aussi besoin de preuves.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
La preuve que la plupart des clients connaissent et reconnaissent. Un certificat d’un organisme accrédité répond à l’avance à beaucoup de questions des questionnaires et des audits. Il est valable trois ans, avec des audits de surveillance annuels.
Voir le framework →Directement concerné si votre secteur figure dans la BSIG et que vous atteignez les seuils de taille. Indirectement concerné presque toujours, dès que des clients sont assujettis et doivent piloter la sécurité de la chaîne d’approvisionnement selon le § 30 de la BSIG.
Voir le framework →Si vous traitez des données à caractère personnel pour le compte de vos clients, vous êtes sous-traitant. Il faut alors des contrats selon l’art. 28 du RGPD, des mesures décrites et une chaîne de notification pour les violations de données.
Voir le framework →S’applique aux entités financières. Si vous fournissez des services TIC à des banques ou des assureurs, vous recevez les exigences par les contrats, les questionnaires et les droits d’audit. La preuve passe généralement par votre SMSI.
Voir le framework →Exigée de toute façon dans de nombreuses relations fournisseurs. Vous gérez la maîtrise des documents, l’audit interne et la revue de direction en commun avec ISO 27001.
Voir le framework →Ordre recommandé
Quels clients exigent quoi ? Les questionnaires, annexes contractuelles et rapports d’audit des dernières années montrent les thèmes qui reviennent et la preuve qui a le plus d’effet.
Un SMSI selon ISO 27001 couvre la plus grande partie. Les exigences propres à un client qui vont au-delà se créent en framework personnalisé, relié aux preuves existantes.
Où sont les données, qui y a accès, comment sont-elles sauvegardées, comment les incidents sont-ils notifiés ? Chaque réponse reçoit un justificatif daté et une personne responsable.
Les audits clients et l’audit de certification s’appuient sur les mêmes documents. Les auditeurs reçoivent dans Sightadel leur propre rôle, sans droit de suppression.
Certificats, politiques approuvées, mesures et sous-traitants figurent sur une page dédiée. Vous répondez aux nouveaux questionnaires par un lien et les quelques questions individuelles.
Priorité
Les questionnaires fournisseurs ne disparaîtront pas. Ces étapes vous aident à y répondre plus vite et de façon cohérente.
La plupart des questions portent sur les mêmes thèmes : accès, chiffrement, sauvegarde, plan d’urgence, formation et sous-traitants. Les réponses se trouvent dans le SMSI et valent pour tous les clients.
Vous importez depuis Excel ou Word les référentiels récurrents des grands clients. Chaque exigence devient un point de contrôle, et vous reliez les preuves existantes au lieu de chercher à nouveau.
Dans le Trust Center, vous montrez certificats, résumés de politiques et sous-traitants. Les éléments confidentiels comme les rapports d’audit ou les plans réseau ne sont communiqués que sur demande.
Ce que les clients exigent de vous, vous le vérifiez chez vos propres prestataires. Le module Fournisseurs les gère avec risque, contrat et preuves avec date de validité.
Comment Sightadel vous aide
Vous créez les référentiels d’exigences et annexes de sécurité propres à un client comme framework personnalisé, y compris par import depuis Excel ou Word. Vous travaillez avec comme avec tout autre framework.
En savoir plus →Une page dédiée avec certificats, documents approuvés, mesures de sécurité et sous-traitants. Les achats de vos clients trouvent eux-mêmes les réponses.
En savoir plus →ISO 27001 et NIS2 sont traitées contrôle par contrôle. Là où les exigences recoupent celles des référentiels clients, une même preuve vaut pour tous.
En savoir plus →Les preuves portent une date, une version et une date d’expiration. Si un client demande une preuve lors d’un audit, vous la trouvez au même endroit que pour l’audit de certification.
En savoir plus →Vos propres sous-traitants figurent dans une liste avec criticité, questionnaire et preuves. Les certificats expirés se remarquent avant que le client ne pose la question.
En savoir plus →Sightadel vérifie la surface d’attaque de vos domaines visible de l’extérieur. Beaucoup de clients évaluent leurs fournisseurs précisément sous cet angle.
En savoir plus →Sur demande
Certains grands clients envoient des annexes de sécurité volumineuses ou demandent des rapports sous une forme précise. Vous créez vous-même des frameworks personnalisés. Si un référentiel est très volumineux ou si vous avez besoin d’une connexion supplémentaire, nous le réalisons pour vous sur demande.
Fournisseurs et prestataires avec de grands référentiels clients ou des exigences particulières
Le périmètre et les coûts figurent au préalable dans un devis. La réalisation ne démarre qu’après votre accord.
Voir les adaptations sur mesureEffort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. Les facteurs les plus déterminants sont le nombre et l’ampleur des exigences clients et la part déjà justifiée.
Ce que vous souscrivez · généralement Professional
Un fournisseur typique pilote ISO 27001 et le RGPD dans l’édition Professional. Elle comprend dix utilisateurs, 25 fournisseurs et trois frameworks personnalisés, de quoi couvrir les référentiels de vos principaux clients. Licence pour ISO 27001 : à partir de 750 € par mois. Si ISO 27001 fait partie de la licence, le RGPD et au besoin NIS2 coûtent durablement moins. Avec de nombreux référentiels clients ou plusieurs sociétés, Enterprise convient mieux.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
Rarement en totalité. Beaucoup de clients acceptent le certificat pour une grande partie de leurs questions et veulent une réponse pour le reste, par exemple sur les sites, les sous-traitants ou des points du contrat. Avec certificat et Trust Center, il ne reste en général que quelques questions individuelles.
Pas automatiquement. Votre propre assujettissement dépend de votre secteur et de votre taille. Indépendamment de cela, votre client doit évaluer sa chaîne d’approvisionnement et vous transmet des exigences par le contrat. L’appréciation de votre cas se clarifie avec votre conseil.
Vous importez les référentiels récurrents comme framework personnalisé et reliez les preuves existantes. Pour les questionnaires ponctuels, vous utilisez les réponses vérifiées de votre SMSI et renvoyez au Trust Center.
Les auditeurs reçoivent leur propre rôle, sans droit de suppression. Vous décidez vous-même si vous donnez un tel accès à un client pour un audit ou si vous communiquez des documents de façon ciblée.
Certificats, résumés de politiques, mesures de sécurité et liste des sous-traitants. Les noms de systèmes internes, les plans réseau ou les rapports d’audit complets n’ont pas leur place sur une page publique. Vous les communiquez sur demande.
Consultez d’abord la liste des frameworks disponibles. Si le référentiel manque, vous reproduisez les exigences dont vous disposez en framework personnalisé. Si cela suffit comme preuve auprès du client, vous le clarifiez avec lui ou avec l’organisme d’évaluation compétent.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
