Répondre à un questionnaire de sécurité client sans perdre le deal

Un prospect Enterprise vous envoie un tableur de deux cents lignes, votre contrat est suspendu à son retour, et personne chez vous n'a le temps de le remplir. Ce guide décrit ce que ces questionnaires contiennent réellement, ce que prouvent — et surtout ce que ne prouvent pas — SOC 2, ISO/IEC 27001 et un test d'intrusion, puis comment répondre sans mentir quand vous n'avez encore aucune des trois.

Ce qu'il y a réellement dans un questionnaire de sécurité fournisseur

Première bonne nouvelle : le fichier que vous avez reçu n'a probablement pas été écrit par votre client. Les questionnaires d'évaluation fournisseur dérivent presque tous de deux standards de fait, et les reconnaître vous fait gagner l'essentiel du travail.

Le CAIQ (Consensus Assessments Initiative Questionnaire) est publié par la Cloud Security Alliance. C'est la Cloud Controls Matrix retournée en questions fermées, oui/non. La version 4.1, mise en ligne le 27 janvier 2026, se télécharge sans compte ni frais ; la CCM v4.1, dont il dérive, compte selon la CSA « 207 controls across 17 security domains ». Si votre client vous envoie un questionnaire cloud, il y a de fortes chances que ses questions soient des reformulations de celles-là — vous pouvez donc les lire à l'avance.

Le SIG (Standardized Information Gathering) est publié par Shared Assessments et vise plus large que le cloud : c'est un outil de gestion du risque tiers, utilisé surtout par les grands comptes financiers et leurs équipes achats. Différence pratique majeure : son contenu n'est pas librement consultable. Au 20 août 2026, les pages publiques de Shared Assessments redirigent vers un écran d'authentification — vous ne pourrez donc pas le lire à froid, contrairement au CAIQ.

Le reste, ce sont des questionnaires maison : un mélange des deux, plus les obsessions propres au secteur du client. Quelle que soit l'origine, les rubriques sont toujours les mêmes.

• Gouvernance — qui est responsable de la sécurité chez vous, quelles politiques existent par écrit, à quelle fréquence elles sont revues.
• Gestion des accès — MFA, moindre privilège, revue des comptes, départ d'un salarié, comptes d'administration, accès des développeurs à la production.
• Chiffrement — en transit et au repos, gestion des clés, et de plus en plus : où sont hébergées les données et sous quelle juridiction.
• Journalisation et détection — ce que vous journalisez, combien de temps vous le gardez, qui regarde.
• Gestion des vulnérabilités — scans, correctifs, délais de correction par gravité, tests d'intrusion et leur fréquence.
• Sous-traitance — la liste de vos propres fournisseurs, leur niveau d'assurance, votre préavis en cas de changement.
• Continuité — sauvegardes, restauration testée, RTO et RPO annoncés.
• Réponse à incident — procédure écrite, délai de notification au client, qui il appelle à 3 h du matin.

La case « sous-traitance » n'est pas du zèle : elle vient du droit

Beaucoup d'éditeurs vivent le questionnaire comme une brimade d'acheteur. C'est une erreur de lecture qui mène à des réponses agressives, donc à des deals perdus. Quand votre client vous demande des preuves, il exécute une obligation qui pèse sur lui.

Le même article 28 impose, en son point 4, que les obligations de protection des données soient répercutées par contrat sur vos propres sous-traitants. Autrement dit : votre client vous interroge parce qu'il doit pouvoir démontrer, à son tour, qu'il vous a interrogé. Refuser tout droit d'audit dans son principe, c'est lui demander de manquer à une obligation légale — aucun juriste ne signera.

Selon le secteur de votre client, cette pression se cumulera avec d'autres textes : la directive (UE) 2022/2555 (NIS 2) impose à ses assujettis, en son article 21.2.d, de traiter la sécurité de leur chaîne d'approvisionnement, ce qui remonte mécaniquement jusqu'à vous, éditeur SaaS. En France, au 20 août 2026, la loi de transposition n'est pas promulguée : l'ANSSI parle encore de « futurs assujettis ». Concrètement, ce qui vous atteint aujourd'hui n'est donc pas la directive elle-même, mais la répercussion contractuelle qu'anticipent déjà les grands comptes. Nous détaillons cette mécanique dans notre guide NIS 2 pour les MSP et MSSP, dont la logique de répercussion contractuelle s'applique à l'identique aux éditeurs.

SOC 2, ISO/IEC 27001, test d'intrusion : trois preuves différentes

C'est ici que la plupart des réponses dérapent, parce que les trois objets sont traités comme interchangeables alors qu'ils ne prouvent pas la même chose.

SOC 2 est une attestation, pas un label. L'examen porte, selon l'AICPA, sur « a service organization's controls over security, availability, processing integrity, confidentiality, and privacy » : cinq catégories de critères. La catégorie security (les common criteria) est incluse dans tout examen SOC 2, les quatre autres sont retenues selon l'engagement (AICPA, Trust Services Criteria, TSP section 100). Deux points comptent pour votre acheteur. D'abord le type : un type 1 regarde la conception des contrôles, un type 2 leur fonctionnement sur une période d'observation — c'est cette période, écrite en première page, qui définit ce qui est réellement prouvé, pas la date d'émission du rapport. Ensuite la diffusion : le SOC 3, plus sommaire, est un rapport à usage général, librement diffusable ; le SOC 2, lui, se transmet sous accord de confidentialité.

ISO/IEC 27001 certifie un système de management, sur un périmètre que vous avez vous-même déclaré. C'est sa force — la sécurité y est un processus tenu — et sa faiblesse en avant-vente : un certificat peut couvrir votre SI interne sans couvrir la plateforme que votre client s'apprête à acheter. Quand vous présentez le vôtre, présentez le périmètre avec ; sinon votre interlocuteur le lira seul, et la découverte se fera contre vous.

Le test d'intrusion est le seul des trois qui touche au produit. C'est aussi le seul que vous pouvez obtenir en cycle court, sans période d'observation préalable ni audit de certification. C'est pour cette raison qu'il sert de comblement de case : là où vous ne pouvez pas cocher « certifié », vous pouvez souvent joindre un rapport daté et un plan de correction. Encore faut-il que le périmètre testé soit celui que le client achète — un scan de votre site vitrine ne dit rien de votre API multi-locataire.

Et en France : la question PASSI

Dans les grands comptes français et le secteur public, une case supplémentaire apparaît : votre auditeur est-il qualifié PASSI par l'ANSSI ?

La qualification est délivrée au titre de l'article 14 du décret n° 2015-350, pour une ou plusieurs de cinq activités : audit organisationnel et physique, audit d'architecture, audit de configuration, audit de code source, tests d'intrusion. La liste est publique, avec pour chaque prestataire les activités couvertes et les dates de début et de fin de qualification — votre client vérifie en une minute. Disons-le nettement : Hydra n'est pas qualifié PASSI. Si votre acheteur exige un auditeur PASSI, prenez un prestataire de la liste de l'ANSSI. Si ce n'est pas exigé — c'est le cas de la grande majorité des questionnaires SaaS B2B — la question ne se pose pas.

Sources : Cloud Security Alliance, CCM et CAIQ v4.1 (27/01/2026) · AICPA, critères de description SOC 2 · AICPA, Trust Services Criteria (TSP section 100) · ANSSI, catalogue des produits et services qualifiés (PDF, 13/08/2026) · ANSSI, page directive NIS 2.

Répondre quand vous n'avez ni SOC 2 ni ISO 27001

La majorité des éditeurs qui reçoivent leur premier questionnaire Enterprise n'ont ni l'un ni l'autre. Ce n'est pas rédhibitoire. L'est en revanche le fait de répondre « oui » partout et de se faire attraper sur une ligne : toutes les autres deviennent alors suspectes.

1. Triez les questions en quatre tasVrai et documenté · vrai mais non documenté · faux · hors périmètre. Ce tri prend une demi-journée et détermine tout le reste. Les deux tas du milieu sont ceux qui se travaillent.
2. Documentez le tas « vrai mais non documenté »Une politique d'accès d'une page, écrite, datée et signée, vaut mieux qu'un « oui » nu. Beaucoup de contrôles existent déjà chez vous sous forme de pratique implicite : les rendre écrits est le meilleur rendement du chantier.
3. Publiez une auto-évaluation CAIQLa CSA propose un niveau 1 STAR décrit comme « a complimentary offering » : vous soumettez le CAIQ, il devient public dans le registre STAR. C'est gratuit, vérifiable par n'importe quel acheteur, et cela répond par avance à une grande partie du questionnaire suivant.
4. Comblez la case technique par un test datéÀ défaut de certification, un rapport d'audit récent sur le périmètre acheté, accompagné du plan de correction et de l'état d'avancement, transforme une case vide en engagement traçable.
5. Répondez « non » proprementFormule qui passe : « Non. Mesure compensatoire en place : X. Échéance cible : T. » Un non daté et compensé se négocie. Un oui non prouvé se paie plus tard, quand il est devenu une pièce contractuelle.

Si votre plateforme est un SaaS multi-locataire, l'ordre des priorités techniques est connu : cloisonnement entre locataires, contrôle d'accès au niveau de l'objet, et gestion des jetons. C'est ce que nous regardons en premier dans un audit de plateforme SaaS, parce que c'est là que les questionnaires deviennent des incidents.

Ce qui se négocie, ce qui ne se négocie pas

Un questionnaire est une négociation déguisée en formulaire. Trois lignes se négocient presque toujours ; trois ne se négocient jamais.

Quatre pièges qui coûtent le deal

1. Promettre une certification « en cours ». Si vous l'écrivez, écrivez l'organisme, la date de démarrage et l'échéance visée. Sans ces trois éléments, un acheteur expérimenté lit « nous n'avons rien commencé », et vous perdez plus de crédit que si vous aviez répondu non.

2. Répondre oui sans preuve mobilisable. La bonne question à se poser sur chaque ligne : si un incident survient dans dix-huit mois, quel document produirai-je pour montrer que cette réponse était vraie le jour où je l'ai écrite ?

3. Accepter une clause d'audit qu'on ne pourra pas honorer. Un droit d'audit sur site illimité, sans préavis, à votre charge, se signe en cinq secondes et devient ingérable au troisième client qui l'exerce. Plafonnez la fréquence, ou substituez un rapport de tiers.

4. Confondre scan et test d'intrusion. Un scan automatisé énumère des symptômes connus ; un test d'intrusion cherche à enchaîner. Les deux ont leur place, mais annoncer un test d'intrusion en n'ayant qu'un scan est l'écart qu'un RSSI acheteur détecte en ouvrant votre rapport. Nos prestations d'audit distinguent explicitement les deux.

Ce que nous faisons à cette étape précise

Notre travail n'est pas de remplir votre questionnaire à votre place — c'est de vous donner de quoi le remplir honnêtement. Le scan préliminaire gratuit vous rend un score de A à F, un décompte par gravité et une faille détaillée : de quoi savoir, avant de répondre, si vos cases « gestion des vulnérabilités » sont défendables. L'audit complet est établi sur devis, d'après le périmètre réel de votre plateforme, et la remédiation peut être prise en charge en option. Nous contribuons à votre dossier de conformité ; nous ne vous « mettons pas en conformité », ce qu'aucun prestataire technique ne peut faire à votre place — voyez notre page conformité pour ce partage des rôles.

Sur la compétence technique, nous préférons les traces vérifiables aux adjectifs. Red Hat crédite notre fondateur sur CVE-2026-12478, une lecture hors limites (CWE-125) dans le traitement des trames WebSocket de libsoup : « Red Hat would like to thank Adel Bouachraoui and Gerard Capdevila for reporting this issue. » Et l'avis Apple 127121, pour Safari 26.5, crédite CVE-2026-28962 à six chercheurs, dont Adel Bouachraoui — un crédit partagé, que nous présentons comme tel.