Le questionnaire qui bloque 80% des PME🔗
Vous décrochez un rendez-vous avec un grand compte suisse. L'échange se passe bien. Puis arrive l'email fatidique : « Pouvez-vous remplir notre questionnaire de sécurité fournisseur ? »
60 questions. Sur vos pratiques, vos certifications, votre politique de mots de passe, votre plan de continuité, votre conformité nLPD. Et une date butoir à deux semaines.
Beaucoup de PME perdent des contrats à cette étape, non parce qu'elles sont moins bonnes techniquement, mais parce qu'elles n'ont jamais structuré leur sécurité. Ce guide vous montre comment passer cette étape et faire de la sécurité un argument commercial.
Pourquoi les grands comptes vous demandent ça🔗
Ce n'est pas de la paranoïa. C'est une obligation légale et une responsabilité contractuelle.
Depuis la nLPD et le RGPD, une entreprise est responsable des données que ses sous-traitants traitent pour elle. Si vous gérez des données clients pour un grand compte et que vous subissez une fuite, la responsabilité remonte au grand compte.
Résultat : la due diligence fournisseur est devenue systématique. Aucun grand compte suisse n'aurait signé un contrat avec un sous-traitant sans vérifier sa sécurité depuis 2023.
Ce que le grand compte vérifie🔗
- Sécurité technique : chiffrement, sauvegardes, contrôle d'accès
- Sécurité organisationnelle : politiques, formation, procédures
- Conformité légale : nLPD, RGPD si clients européens, ISO 27001
- Capacité de réponse : que faites-vous en cas d'incident
- Chaîne d'approvisionnement : vos propres sous-traitants sont-ils sûrs
Les 5 documents qu'ils demandent systématiquement🔗
1. Politique de sécurité de l'information🔗
Un document de 5 à 15 pages qui décrit :
- Vos engagements en matière de sécurité
- Vos règles internes (mots de passe, 2FA, usage des outils)
- Vos processus (gestion des incidents, sauvegardes, contrôle d'accès)
- Vos responsabilités internes (qui est le RSSI ? qui décide ?)
Pas besoin d'un document complexe. Un PDF de 8 pages clair et à jour suffit. Le contraire — un document de 50 pages jamais appliqué — est pire que pas de document du tout.
2. Plan de continuité d'activité (PCA)🔗
Que se passe-t-il si vos serveurs tombent ? Si votre hébergeur subit une panne majeure ? Si un ransomware chiffre vos données ?
Le PCA décrit :
- Vos systèmes critiques
- Vos RTO (temps de reprise) et RPO (perte de données acceptable)
- Vos procédures de bascule
- Vos tests de continuité
3. Plan de réponse aux incidents🔗
En cas d'attaque, que faites-vous dans les premières heures ?
Ce document précise :
- Qui contacter en interne et en externe
- Comment isoler les systèmes touchés
- Comment documenter les faits
- Comment notifier les autorités (NCSC) et les clients si nécessaire
- Comment communiquer en externe
4. Registre des traitements de données (nLPD)🔗
Obligatoire depuis septembre 2023. C'est un tableau qui liste :
- Quelles données vous traitez
- Pour quelles finalités
- Où elles sont hébergées
- Qui y a accès
- Combien de temps vous les conservez
Voir notre article dédié à la nLPD pour le template.
5. Attestation de conformité🔗
Un document signé par votre direction qui atteste que vous appliquez vos propres politiques. Pas de certification externe nécessaire pour les PME — une simple attestation sur l'honneur de bonne foi, appuyée par des preuves.
Les certifications : lesquelles viser🔗
ISO 27001🔗
La référence. Reconnaissance internationale, coût de certification entre 15'000 et 40'000 CHF selon la taille, cycle de 3 ans, audits de surveillance annuels.
Pour qui ? Pour les PME qui traitent des données sensibles pour des grands comptes réguliers. Rentable uniquement si votre chiffre d'affaires B2B dépasse 1 million CHF.
ISO 27001 « light » : le SOC 2🔗
Plus courant aux États-Unis, reconnu en Suisse pour les clients tech. Coût : 20'000 à 50'000 CHF.
Cyber Essentials (UK)🔗
Certification britannique légère, 3'000 à 6'000 CHF. Reconnaissance limitée en Suisse.
Alternatives pragmatiques pour les PME🔗
Si ISO 27001 est hors budget, voici ce qui rassure vraiment un grand compte suisse :
- Attestation de conformité nLPD (gratuit)
- Hébergement chez Infomaniak, Exoscale ou Swisscom (souveraineté suisse)
- Audit de sécurité annuel par un tiers (3'000 à 8'000 CHF)
- Assurance cyber (500 à 2'000 CHF/an)
- Politique de sécurité documentée (interne)
Ces mesures couvrent 70% des exigences d'un questionnaire standard.
Comment répondre aux 60 questions🔗
Préparez vos réponses à l'avance🔗
Ne répondez jamais à un questionnaire de sécurité au cas par cas. Créez un document maître avec toutes vos réponses types. Le prochain questionnaire sera rempli en 1 heure au lieu de 3 jours.
Structurez votre réponse🔗
Pour chaque question :
- Réponse : oui, non, partiellement
- Preuve : document, capture d'écran, attestation
- Fréquence : à quelle fréquence cette mesure est-elle vérifiée
- Responsable : qui en est chargé
Assumez vos limites🔗
Mieux vaut dire « nous n'avons pas de SOC 24/7 » et proposer une alternative (« nous avons un plan de réponse documenté et un prestataire sous contrat avec SLA 4h ») que de mentir. Un grand compte vérifie toujours.
Négociez les exigences🔗
Certaines questions ne s'appliquent pas à votre activité. Un questionnaire conçu pour un prestataire qui traite des données de santé n'a pas de sens pour vous si vous faites du conseil marketing.
Dites-le clairement : « cette exigence ne s'applique pas car nous ne traitons pas ce type de données. Voici pourquoi. »
Les erreurs qui vous coûtent le contrat🔗
Erreur 1 : Répondre « oui » à tout🔗
Le grand compte vérifie. Si votre réponse est démentie par une vérification ultérieure, vous êtes disqualifié immédiatement.
Erreur 2 : Minimiser les incidents passés🔗
Si vous avez subi un incident mineur en 2023, dites-le. Les grands comptes valorisent la transparence et l'apprentissage. Un incident bien géré est un signal positif, pas un signal négatif.
Erreur 3 : Ne pas avoir de RSSI désigné🔗
Même si ce n'est pas une personne à temps plein, il faut un responsable sécurité nommé. C'est souvent le premier point vérifié.
Erreur 4 : Sous-traiter sans contrat🔗
Si vos développeurs sont en Inde ou en Ukraine, votre client veut savoir comment vous les encadrez. Contrats, clauses de confidentialité, restrictions d'accès. Sans ça, vous serez bloqué.
Erreur 5 : Ignorer la partie « gestion des sous-traitants »🔗
Vous êtes responsable de la sécurité de vos propres sous-traitants. Si vous utilisez AWS, Stripe, Slack, chacun doit avoir été évalué, et vous devez pouvoir le prouver.
Construire votre dossier en 30 jours🔗
Semaine 1 : Documentation🔗
- Rédiger la politique de sécurité (8 pages)
- Créer le registre des traitements nLPD
- Nommer un référent sécurité (peut être le dirigeant)
Semaine 2 : Technique🔗
- Activer 2FA partout
- Vérifier que tous les disques sont chiffrés
- Mettre en place les sauvegardes 3-2-1
- Auditer les accès (qui a accès à quoi ?)
Semaine 3 : Procédures🔗
- Rédiger le plan de continuité
- Rédiger le plan de réponse aux incidents
- Documenter la gestion des sous-traitants
- Former l'équipe (2 heures)
Semaine 4 : Preuves🔗
- Souscrire une assurance cyber
- Faire un audit de sécurité externe (facultatif mais rassurant)
- Préparer le document maître des réponses
- Signer l'attestation de conformité
À la fin du mois, vous êtes prêt à répondre à n'importe quel questionnaire.
FAQ🔗
Combien coûte cette démarche ?🔗
Hors certification ISO 27001 : 2'000 à 6'000 CHF (audit externe, assurance cyber, éventuel accompagnement). Le reste, c'est du temps interne.
Faut-il un DPO (Délégué à la Protection des Données) ?🔗
Pas obligatoire pour les PME en Suisse. Un référent interne formé suffit dans la plupart des cas.
Est-ce que ces documents sont valables en Europe ?🔗
Oui, à 80%. Le RGPD européen a des exigences proches de la nLPD. Pour les clients français ou allemands, quelques ajustements suffisent (mention du DPO, transferts hors UE).
Que se passe-t-il si je réponds mal ?🔗
Selon votre contrat : pénalité financière, résiliation, perte de confiance. Sur un contrat de 200'000 CHF, mal répondre peut coûter très cher.
Combien de temps pour passer ISO 27001 ?🔗
6 à 18 mois selon votre point de départ et votre engagement. Comptez 15'000 à 40'000 CHF pour la PME type.
Conclusion🔗
La sécurité B2B n'est plus un sujet technique. C'est un critère de sélection commercial. Les PME qui ont structuré leur sécurité passent les filtres et remportent les contrats. Celles qui ne l'ont pas fait restent bloquées à l'étape du questionnaire.
La bonne nouvelle : structurer sa sécurité prend 30 jours et coûte moins de 6'000 CHF. Le retour sur investissement est souvent un seul contrat décroché.
Vous voulez préparer votre premier questionnaire client ? Contactez-nous. On vous aide à construire votre dossier de conformité.