Questionnaire de sécurité fournisseur : modèle et questions clés

Un questionnaire de sécurité fournisseur sert à évaluer le niveau de cybersécurité d'un prestataire avant de lui confier vos données ou un accès à votre système d'information, puis tout au long du contrat. Pour être utile, il doit être proportionné à la criticité du fournisseur, exiger une preuve pour chaque réponse importante et déboucher sur une décision. Ce guide, qui prolonge notre article sur la gestion des risques tiers (TPRM), vous donne la méthode et un modèle de 30 questions à télécharger.

Le questionnaire est l'outil de base de l'évaluation cybersécurité d'un fournisseur. Il intervient à trois moments : lors de la sélection (pour comparer les offres et écarter un candidat trop faible), avant la signature (pour savoir quelles exigences inscrire au contrat) et pendant la relation (pour vérifier que le niveau se maintient). Il ne remplace ni l'analyse de risques, ni l'audit, mais il permet de décider où les concentrer.

Il répond aussi à une obligation. NIS 2 demande de tenir compte des vulnérabilités et des pratiques de cybersécurité de chaque fournisseur direct, DORA impose une diligence raisonnable avant tout contrat de services TIC, et le RGPD exige de ne travailler qu'avec des sous-traitants offrant des garanties suffisantes : nous détaillons ces textes dans notre article sur les risques tiers, NIS 2 et DORA. L'enjeu est concret : selon le rapport DBIR 2025 de Verizon, un tiers est impliqué dans 30 % des violations de données étudiées.

Questionnaire, audit, notation externe : trois outils complémentaires

Le questionnaire recueille la parole du fournisseur sur ses pratiques ; il couvre beaucoup de sujets pour un coût faible. L'audit, sur pièces ou sur place, vérifie ces pratiques en profondeur, mais coûte cher et se réserve aux tiers critiques. Les services de notation externe observent ce que le fournisseur expose sur Internet (certificats, ports ouverts, fuites connues) : utiles pour repérer un signal faible, ils ne disent rien de son organisation interne. Une démarche mature combine les trois selon la criticité, et le questionnaire reste la porte d'entrée.

Envoyer 200 questions à un fournisseur de fournitures de bureau et 20 à votre infogérant est l'erreur la plus répandue. Commencez par classer vos tiers selon quatre critères, puis dérivez-en un niveau :

Trois niveaux suffisent dans la plupart des organisations : standard (une dizaine de questions, revue au renouvellement), important (environ vingt-cinq questions avec preuves) et critique (questionnaire complet, preuves systématiques, droit d'audit). Le modèle ci-dessous applique cette logique : choisissez un niveau pour voir le questionnaire s'alléger ou s'enrichir.

Gouvernance

Le fournisseur a-t-il une politique de sécurité approuvée par sa direction, un responsable identifié, une analyse de risques couvrant le service ? Ces questions disent si la sécurité est pilotée ou subie.

Gestion des accès

C'est la famille la plus prédictive des incidents : authentification multifacteur, comptes à privilèges nominatifs, revue des droits, départs traités sans délai, accès d'administration passant par un point maîtrisé. Le guide de l'ANSSI sur l'externalisation insiste sur ce point pour les interventions à distance.

Chiffrement et protection des données

Chiffrement en transit et au repos, y compris des sauvegardes, cloisonnement entre clients, et surtout : qui détient les clés ? Pour des données sensibles, la maîtrise des clés par le client change beaucoup le niveau de risque.

Exploitation et vulnérabilités

Délais d'application des correctifs, tests d'intrusion réguliers, journaux centralisés et surveillés : ce sont les signes d'une exploitation tenue.

Sauvegardes et continuité

Une sauvegarde non testée n'est qu'une hypothèse. Demandez une copie isolée, un test de restauration récent et, pour un service critique, des objectifs de reprise (RTO, RPO) cohérents avec votre propre plan de continuité d'activité.

Gestion des incidents

Existence d'une procédure, délai de notification exprimé en heures, historique des incidents récents et des mesures prises. Le délai doit être compatible avec vos propres obligations de notification.

Sous-traitance de rang 2

Votre fournisseur a lui-même des fournisseurs : hébergeur, assistance technique délocalisée, éditeurs. Demandez la liste, les pays, les exigences qu'il leur impose et l'engagement de vous prévenir de tout changement. Les attaques par la chaîne d'approvisionnement passent souvent par ce rang que personne ne regarde.

Localisation et hébergement

Pays d'hébergement, de sauvegarde et d'accès (l'assistance technique compte aussi), exposition à des lois non européennes, conditions de restitution et d'effacement en fin de contrat.

Certifications et qualifications

• ISO/IEC 27001:2022 : certification du système de management de la sécurité de l'information ; tout dépend de son périmètre.
• HDS : obligatoire pour héberger des données de santé en France ; le référentiel publié au Journal officiel le 16 mai 2024 impose un hébergement dans l'Espace économique européen et laissait aux hébergeurs déjà certifiés jusqu'au 16 mai 2026 pour migrer (voir notre article sur la certification HDS).
• SecNumCloud : qualification de l'ANSSI pour les services cloud, qui inclut des exigences de protection contre les lois extra-européennes (voir notre article SecNumCloud).
• SOC 2 : rapport d'attestation américain ; le type II porte sur l'efficacité des contrôles sur une période, le type I seulement sur leur conception à une date.

Voici notre modèle : 30 questions réparties en neuf familles, chacune avec la preuve attendue et la criticité à partir de laquelle la poser. Il compte 11 questions pour un fournisseur standard, 25 pour un fournisseur important et 30 pour un fournisseur critique.

Télécharger le modèle de questionnaire (CSV, 30 questions) Fichier CSV en UTF-8, séparateur point-virgule : famille, question, preuve attendue, criticité minimale. Il s'ouvre dans Excel, LibreOffice ou Google Sheets.

Inutile de partir de zéro, ni de tout reprendre : piochez dans les référentiels reconnus, puis réduisez.

• Le guide de l'ANSSI « Externalisation et sécurité des systèmes d'information : un guide pour maîtriser les risques » (2010) propose en annexe des exigences de sécurité types (antivirus, correctifs, sauvegardes, authentification, filtrage, traçabilité, sécurité physique, qualification du personnel) et des clauses contractuelles. Il reste la référence française pour l'infogérance.
• Le CAIQ (Consensus Assessment Initiative Questionnaire) de la Cloud Security Alliance, aligné sur la Cloud Controls Matrix : 261 questions dans sa version 4.0, 283 dans la version 4.1 publiée en janvier 2026. Beaucoup de fournisseurs de services cloud en publient un déjà rempli : demandez-le avant d'envoyer le vôtre.
• Le SIG (Standardized Information Gathering) de Shared Assessments, mis à jour chaque année, décliné en version Lite et Core, très utilisé dans les secteurs financiers anglo-saxons.
• Les mesures 5.19 à 5.23 de l'annexe A de l'ISO/IEC 27001:2022, consacrées aux relations avec les fournisseurs et aux services cloud, et la série ISO/IEC 27036 pour aller plus loin.

Ces questionnaires standards sont exhaustifs par nature : ils servent de catalogue, pas de questionnaire à envoyer tel quel. Le bon réflexe consiste à accepter un CAIQ ou un SIG déjà rempli par le fournisseur, puis à ne poser que les questions propres à votre contexte.

Une réponse « oui » n'a de valeur que si elle peut être vérifiée. Quelques contrôles simples évitent la plupart des mauvaises surprises :

Pour un fournisseur critique, complétez par un entretien avec son responsable sécurité, voire un audit sur pièces ou sur place si le contrat le prévoit : c'est précisément le rôle du plan d'assurance sécurité (PAS) que de fixer ces engagements et ces droits de contrôle.

Une notation simple suffit : deux points pour une exigence satisfaite et prouvée, un point pour une réponse partielle ou non prouvée, zéro pour une non-conformité, les questions sans objet étant exclues. Le score donne une tendance ; la décision, elle, dépend des écarts eux-mêmes. Une seule non-conformité sur l'authentification multifacteur d'un infogérant peut justifier un refus, quel que soit le score global.

L'exemple ci-dessous montre pourquoi la vérification change tout : le même fournisseur passe de « acceptable » à « plan d'action requis » une fois les preuves examinées.

Quatre issues sont possibles :

• accepter le fournisseur en l'état ;
• accepter sous conditions, avec un plan d'action daté inscrit au contrat ;
• accepter le risque résiduel de manière formelle, par le propriétaire du risque, lorsque le service est indispensable ;
• refuser ou chercher une solution de remplacement.

Un questionnaire envoyé sans échéance revient rarement. Fixez une date de retour (deux à trois semaines pour un questionnaire complet), relancez à mi-parcours, puis faites remonter le dossier à l'interlocuteur commercial ou à l'acheteur. Prévenez le fournisseur dès le départ des preuves attendues : c'est ce qui prend le plus de temps.

L'évaluation n'est pas un instantané. Réévaluez au rythme de la criticité, et dès qu'un événement le justifie : incident chez le fournisseur, changement de sous-traitant ou d'hébergement, rachat, extension du périmètre du service. Repartir de l'évaluation précédente plutôt que de zéro fait gagner du temps aux deux parties et permet de mesurer les progrès.