Questionnaires de sécurité, volets cyber des appels d’offres, clauses contractuelles : nous préparons des réponses exactes, adossées à vos preuves, et suivons les engagements pris jusqu’à leur échéance.
Un questionnaire rempli à la hâte crée deux risques : perdre le marché par une réponse trop prudente, ou s’engager sur une mesure que vous n’appliquez pas. Le second se découvre à l’audit du client, ou après un incident.
Nous répondons donc à partir de ce qui existe et se prouve. Chaque réponse renvoie à une preuve ; chaque engagement nouveau entre dans un plan suivi, avec un responsable et une échéance.
Le même socle de réponses sert tous vos clients ; il s’enrichit à chaque questionnaire.
Vous obtenezUne grille des exigences, classées par enjeu
Vous obtenezDes réponses étayées, avec leurs pièces jointes
Vous obtenezUne position argumentée, clause par clause
Vous obtenezUn registre des engagements et des preuves
Vos clients ne posent pas ces questions par curiosité : leurs propres textes les obligent à encadrer leurs prestataires, et ils vous en transmettent les exigences.
Les entités financières doivent prévoir dans leurs contrats de services TIC, entre autres, des dispositions sur la protection des données et l’assistance du prestataire en cas d’incident lié au service.123
La directive demande aux États membres de veiller à ce que les entités tiennent compte de la qualité des produits et des pratiques de cybersécurité de leurs fournisseurs ; le ReCyF (version de travail) leur fixe l’objectif de s’assurer, notamment par la voie contractuelle, de la conformité des prestations informatiques à leurs propres obligations.456
Le contrat de sous-traitance prévoit que le sous-traitant prend les mesures de sécurité de l’article 32 et met à disposition les informations nécessaires pour démontrer sa conformité, y compris lors d’audits.78
La CNIL recommande au responsable de traitement de fixer contractuellement les obligations de sécurité de ses sous-traitants et de prévoir les moyens d’en vérifier l’effectivité.910
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Nous tenons à jour votre socle de réponses et signalons les preuves périmées et les engagements à échéance.
LivrablesNous analysons chaque demande et préparons les réponses et la position sur les clauses, que vous validez.
LivrablesNous animons le suivi des engagements avec vos équipes, sans effectuer les changements dans votre SI.
LivrablesUne même mesure répond à des questions formulées selon ISO 27001, DORA, NIS 2 ou le guide de la CNIL : nous la décrivons une fois.
Un assistant IA propose des réponses à partir de vos documents ; chaque réponse est relue et validée par un expert avant envoi.
Plan d’assurance sécurité, annexe de sécurité, clauses de notification : des modèles à adapter, déjà confrontés aux exigences des clients.
Non. Nous préparons les réponses et les preuves ; vous les validez et vous les envoyez. L’engagement reste le vôtre, et nous ne vous faisons promettre que ce que vous appliquez ou planifiez.
C’est à l’entité financière que le règlement impose de faire figurer certaines dispositions dans ses contrats de services TIC ; elle vous les transmet donc. Nous vous aidons à distinguer ce que le texte exige de ce que le client ajoute, qui se négocie.1
Le contrat de sous-traitance doit prévoir que vous contribuez aux audits menés par le responsable de traitement ou par un auditeur qu’il mandate. Mieux vaut donc en convenir les modalités à l’avance : préavis, périmètre, fréquence, confidentialité.8
L’écrire. Une réponse « non, prévu pour telle date » assortie d’un plan est souvent mieux reçue qu’un « oui » fragile. Nous chiffrons l’écart et proposons la formulation et l’échéance.
Décrivez la demande et son échéance. Nous revenons vers vous avec une première lecture des exigences et une proposition de périmètre.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
32022R2554-a30-p2The contractual arrangements on the use of ICT services shall include at least the following elements:32022R2554-a30-p2-3provisions on availability, authenticity, integrity and confidentiality in relation to the protection of data, including personal data;32022R2554-a30-p2-6the obligation of the ICT third-party service provider to provide assistance to the financial entity at no additional cost, or at a cost that is determined ex-ante , when an ICT incident that is related to the ICT service provided to the financial entity occurs;32022L2555-a21-p2-4supply chain security, including security-related aspects concerning the relationships between each entity and its direct suppliers or service providers;32022L2555-a21-p3Member States shall ensure that, when considering which measures referred to in paragraph 2, point (d), of this Article are appropriate, entities take into account the vulnerabilities specific to each direct supplier and service provider and the overall quality of products and cybersecurity practices of their suppliers and service providers, including their secure development procedures. Member States shall also ensure that, when considering which measures referred to in that point are appropriate, entities are required to take into account the results of the coordinated security risk assessments of critical supply chains carried out in accordance with Article 22(1).recyf:obj-3Les entités [importantes ou essentielles] réalisent et maintiennent à jour une liste des prestataires et fournisseurs informatiques intervenant dans la réalisation de leurs activités ou dans la fourniture de leurs services et avec lesquels il existe une relation de droit ou de fait ainsi que le périmètre et la nature de la prestation ou du service fourni.
Les entités [importantes ou essentielles] mettent en place des processus visant à s’assurer, notamment par la voie contractuelle de la conformité des prestations informatiques dont elles bénéficient aux obligations auxquelles l’entité est assujettie notamment en matière de gestion des risques qui menacent la sécurité de leurs réseaux et systèmes d’information et de notification des incidents importants.32016R0679-a28-p3-3takes all measures required pursuant to Article 32;32016R0679-a28-p3-8makes available to the controller all information necessary to demonstrate compliance with the obligations laid down in this Article and allow for and contribute to audits, including inspections, conducted by the controller or another auditor mandated by the controller. With regard to point (h) of the first subparagraph, the processor shall immediately inform the controller if, in its opinion, an instruction infringes this Regulation or other Union or Member State data protection provisions.F14-PE-02Prévoir un contrat avec les sous-traitants, qui définit notamment l’objet, la durée, la finalité du traitement ainsi que les obligations des parties, notamment en termes de sécurité. S’assurer qu’il contient en particulier des dispositions fixant : la répartition des responsabilités et des obligations en matière de confidentialité des données personnelles confiées ; des contraintes minimales en matière d’authentification des utilisateurs ; les conditions de restitution et de destruction des données en fin du contrat ; les règles de gestion et de notification des incidents. Celles-ci devraient comprendre une information du responsable de traitement en cas de découverte de faille de sécurité ou d’incident de sécurité et cela dans les plus brefs délais lorsqu’il s’agit d’une violation de données personnelles ; l’assistance que doit fournir le sous-traitant pour garantir le respect des obligations de sécurité ; la revue régulière des mesures de sécurité et, le cas échéant, les conditions de leur révision.F14-PE-03Prévoir les moyens permettant de vérifier l’effectivité des garanties offertes par le sous-traitant en matière de protection des données (ex. : audits de sécurité, visite des installations). Ces garanties incluent notamment : le chiffrement des données selon leur sensibilité ou, à défaut, l’existence de procédures garantissant que la société de prestation n’a pas accès aux données qui lui sont confiées si cela n’est pas nécessaire à l’exécution de son contrat ; le chiffrement des transmissions de données (ex. : connexion de type HTTPS, mise en place de VPN) ; des garanties en matière de protection du réseau, de traçabilité, de gestion des habilitations, d’authentification, de pratiques d’administration, d’audits, etc.