Un client nous envoie un questionnaire de sécurité, comment y répondre ?

Par ce que vous pouvez prouver, pas par ce que vous pensez avoir. Le diagnostic de conformité sectorielle, 2 500 € HT en 15 jours ouvrés, distingue ce qui est en place, ce qui est écrit mais pas tenu, et ce qui manque, avec les preuves que vous pourrez produire. Pour un repère immédiat et gratuit, le score de souveraineté donne un niveau en huit questions et quatre-vingt-dix secondes, sans email.

Quinze jours ouvrés à compter de la réception des accès, avec une restitution à la direction et, si vous le souhaitez, à votre conseil. Le dossier est signé, remis en formats ouverts, et reste votre propriété : il est utilisable tel quel face à un contrôle ou à un client, sans le cabinet.

Il produit la matière : registre des traitements confronté à la réalité de vos outils, état des contrats de sous-traitance prestataire par prestataire au regard de l'article 28, classification de vos usages d'intelligence artificielle par niveau de risque, et chaque écart rattaché au texte qui l'impose. La signature des réponses reste la vôtre, et la lecture juridique celle de votre conseil : le cabinet est ingénieur, pas avocat.

Le diagnostic n'en délivre aucune et n'engage aucun organisme ; le cabinet ne revendique ni ISO 42001, ni hébergement HDS, ni qualification SecNumCloud. Ce qu'un client exigeant accepte le plus souvent, c'est un registre tenu, des contrats de sous-traitance signés, une localisation des données écrite et une procédure d'incident qui tient, preuves à l'appui.

Par un registre vivant plutôt qu'un dossier refait chaque fois. Le contrat de gouvernance tient le registre, le comité, la formation et l'astreinte, à partir de 12 000 € HT par an, avec un registre exportable tel quel pour un contrôle au palier Gouvernance à 25 000 € HT. Sans comité, le palier Souverain du maintien, 690 € HT par mois, tient un registre léger qui n'est pas opposable à un contrôle, et une veille écrite quand une obligation change.

Des preuves, pas des intentions : inventaire des systèmes et des données traitées, localisation de l'hébergement et des sauvegardes, liste des sous-traitants et contrats conformes à l'article 28 du RGPD, gestion des accès et des départs, politique de mises à jour, sauvegardes avec restauration testée, procédure et délais de notification d'incident, chiffrement, formation du personnel, continuité d'activité. Un questionnaire n'est pas un contrôle, c'est une condition d'achat, et une réponse vide coûte le contrat. La plupart des organisations échouent non sur leur niveau de sécurité mais sur l'absence de pièces datées.

Une personne nommée, avec un dossier de référence, et non la dernière personne sollicitée dans un fil de courriels. Le dossier de référence contient les pièces récurrentes, inventaire, hébergement, sous-traitants, accès, sauvegardes restaurées, procédure d'incident, formation attestée, de sorte que chaque questionnaire devient un assemblage plutôt qu'une enquête interne. Le cabinet produit ces pièces et les tient à jour, mais il n'usurpe pas la signature du client, qui reste l'auteur de ses déclarations. Sous contrat de gouvernance, cette tenue est un livrable du comité.

En écrivant l'état réel, la mesure décidée et sa date. Un donneur d'ordre sanctionne rarement un écart documenté accompagné d'un plan daté : il sanctionne une réponse fausse qu'un incident démentira. Le dossier de diagnostic classe les écarts par gravité avec la mesure qui les referme, ce qui donne la matière d'une réponse honnête et tenable. Le cabinet vend la conformité et ne la contourne pas : il ne rédige aucune réponse qu'un relevé ne soutient pas.

Certains le demandent, et il faut alors distinguer deux prestations. La reconnaissance offensive, 2 400 € HT en cinq jours ouvrés sous mandat écrit, cartographie ce que l'infrastructure expose à un attaquant sans rien exploiter ni forcer. Un test d'intrusion exploite des failles pour en démontrer l'impact, et ce n'est pas la prestation du cabinet : la reconnaissance est l'étape qui le précède, et elle suffit souvent à répondre à la question posée. Dans les deux cas, aucun relevé actif ne démarre sans mandat écrit, même pour un client sous contrat.

À chaque changement, pas à date fixe : un nouveau prestataire, une migration d'hébergement, un outil d'intelligence artificielle ouvert dans une équipe, le départ d'un administrateur. Un dossier relu une fois par an est périmé neuf mois sur douze, et c'est ce décalage que le donneur d'ordre découvre au pire moment. Le registre vivant du contrat de gouvernance est mis à jour à chaque changement et exportable tel quel pour un contrôle à partir du palier Gouvernance. Sous contrat de maintien Souverain, le registre existe mais reste léger, donc non opposable.

La liste des systèmes utilisés outil par outil, leur classification par niveau de risque, la localisation et la non-réutilisation des données pour l'entraînement écrites au contrat du fournisseur, la charte d'usage signée et annexée au règlement intérieur, et la formation attestée nominativement qui est la preuve de l'article 4 de l'AI Act. Déclarer un usage nul est risqué quand des comptes personnels sont ouverts sur les postes, ce que le relevé sur place met au jour. Mieux vaut un usage encadré et documenté qu'une déclaration que le premier incident contredira.

Largement les mêmes, avec davantage de poids sur la sauvegarde restaurée, la gestion des accès à privilèges, les mises à jour appliquées et la procédure d'incident avec ses délais. Les pièces produites pour un questionnaire client servent donc aussi au dossier d'assurance, à condition d'être datées. Le contrat de maintien produit les deux preuves les plus souvent manquantes : les mises à jour appliquées chaque mois et une restauration réellement essayée chaque trimestre, consignée au rapport. Le cabinet ne délivre aucun label et n'engage aucun organisme : il produit des faits vérifiables.