Un questionnaire de sécurité en annexe d'un appel d'offres. Une clause d'audit dans un contrat-cadre renouvelé. Si votre PME fournit de grands donneurs d'ordre, vous avez vu ces demandes se multiplier. Ce n'est pas une mode. Les donneurs d'ordre s'équipent, et leurs exigences redescendent la chaîne. Voici comment y répondre une fois, plutôt que client par client.
Pourquoi ces questionnaires arrivent maintenant
Le point de départ est connu. En 2023, la cyberattaque contre le prestataire informatique Xplain a exposé des données de l'administration fédérale. Le Conseil fédéral en a tiré une série de mesures en mai 2024, pour prévenir les fuites de données chez ses prestataires.
Depuis, la Confédération a bâti un dispositif complet. Le rapport 2025 sur la sécurité de l'information au sein de la Confédération, publié le 12 août 2026, le montre pièce par pièce. La procédure fédérale pour les mandats sensibles est entièrement numérisée depuis l'automne 2025. Des audits vérifient chez les fournisseurs le respect des prescriptions légales et contractuelles. Un projet de gestion des fournisseurs axée sur les risques, Supply Risk Shield, déploie tous ses effets en 2026. Et la sécurité est impliquée dans les acquisitions dès les premières phases de projet, plus seulement en bout de course. Le communiqué qui accompagne le rapport range la gestion efficace des fournisseurs parmi les champs d'action prioritaires. Le dispositif s'installe pour durer.
L'année 2025 a rappelé pourquoi. En juin, un rançongiciel, un logiciel malveillant qui bloque les systèmes pour exiger une rançon, a touché le prestataire Radix. De la correspondance liée à des projets d'offices fédéraux a fuité, sans données sensibles selon le rapport. Les recommandations officielles tiennent en trois points. Gérer ses fournisseurs. Régler la sécurité par contrat. Ne transmettre que les données strictement nécessaires.
Vous n'êtes peut-être pas fournisseur de la Confédération. Le mécanisme vous concerne quand même. Les grands comptes privés et les assureurs adoptent les mêmes réflexes, questionnaires, clauses de sécurité, droits d'audit. Un dirigeant reconduit pour la troisième fois un contrat-cadre avec le même grand client. Cette année, une annexe nouvelle apparaît, avec des exigences de sécurité de l'information, un droit d'audit, un délai d'annonce en cas d'incident. La prestation n'a pas changé. Le client, lui, a changé de réflexes. Le dirigeant signe, puis se demande ce qu'il vient exactement de promettre.
Ce que votre client demande vraiment
Les attentes d'un donneur d'ordre se lisent à trois moments distincts. Les confondre fait répondre à côté.
Avant le contrat, le client cherche à vous qualifier. Un questionnaire, une déclaration à signer, des garanties sur les personnes qui traiteront ses données. La Confédération va jusqu'à exiger une formation avant de délivrer sa déclaration de sécurité, l'attestation qui autorise une entreprise à exécuter un mandat sensible. Les donneurs d'ordre privés s'inspirent des mêmes pratiques.
Dans le contrat, les attentes deviennent des engagements. Des clauses de sécurité, un droit d'audit ou de visite, l'obligation d'annoncer sans délai tout incident au client. S'y ajoute la parcimonie des données, un principe simple. On ne vous transmet que le strict nécessaire, et seules les personnes qui en ont besoin pour travailler y accèdent. Les contrats parlent de « need to know », le besoin d'en connaître. Nous avons vu ces clauses s'écrire du côté du donneur d'ordre, lors de la refonte du corpus contractuel de Wedo.
Pendant le mandat, le client regarde votre comportement. C'est le moment que les fournisseurs oublient le plus volontiers. Une attestation n'est pas un badge acquis, c'est un comportement continu. Le rapport fédéral le constate sans détour. Des incidents surviennent aussi chez des entreprises disposant d'une déclaration de sécurité valide. Ce que le client mesure alors, c'est votre réactivité et votre transparence.
La différence se joue pourtant bien avant l'incident, dans l'anticipation. Une responsable commerciale prépare une soumission pour un grand compte. En annexe du dossier, un questionnaire de sécurité d'une quarantaine de questions, à retourner avec l'offre. Elle le transfère à l'informatique la veille du délai. Les réponses partent incomplètes, faute de temps, alors que l'entreprise fait correctement les choses au quotidien. Le problème n'était pas la sécurité. C'était l'anticipation.
Ce que la Confédération a déjà mis en place pour ses fournisseurs
- Les mandats sensibles confiés à des tiers sont annoncés avant l'adjudication (l'attribution du marché). La base légale est la loi fédérale sur la sécurité de l'information (LSI), en vigueur depuis le 1er janvier 2024.
- Des formations sont exigées des personnes impliquées avant l'émission d'une déclaration de sécurité.
- Des visites sur site sont menées auprès des entreprises, choisies en fonction des risques.
- La procédure est entièrement numérisée depuis l'automne 2025, via une application dédiée (FABS).
Source : rapport sur la sécurité de l'information au sein de la Confédération 2025, point 2.2.
Répondre une fois, pas client par client
Un responsable informatique reçoit le troisième questionnaire de l'année. Chacun formule les mêmes attentes autrement. L'un parle de sauvegardes, l'autre de continuité, le troisième de chiffrement. Chaque fois, il repart de zéro. À la troisième itération, il compile ses réponses dans un document unique. Les questionnaires suivants se remplissent en quelques heures.
Ce document est le début d'un socle démontrable. Traiter chaque questionnaire comme une urgence unique coûte plus cher que de constituer une fois un dossier qui resservira. Le socle tient en six pièces. L'inventaire des données et des accès que chaque client vous confie. Des responsabilités écrites, qui décide, qui exécute, qui contrôle. Une description à jour de vos mesures de sécurité (sauvegardes, gestion des accès, chiffrement, continuité). Une preuve datée de la formation du personnel. Une procédure d'annonce d'incident. Et la liste de vos propres sous-traitants en contact avec les données de vos clients, car la cascade continue en dessous de vous.
Ce socle n'est pas un document marketing. Il reflète une organisation réelle, la même qui protège votre propre entreprise, ses accès, ses rôles, ses formations. Nous avons détaillé ces fondations organisationnelles de la cybersécurité dans un article dédié. Quand elles tiennent, le dossier fournisseur s'écrit presque tout seul. Dans les organisations que nous accompagnons, ces demandes arrivent de plus en plus souvent par les clients.
Reste un gain que les questionnaires ne montrent pas. Répondre vite et juste différencie. Face à deux offres comparables, le fournisseur qui documente sa sécurité de l'information sans improviser inspire confiance avant la première séance. L'accès aux mandats se prépare, et il se prépare une fois.
Le dossier de sécurité qui sert pour tous vos clients
Six pièces à réunir avant le prochain questionnaire.
- L'inventaire de ce qu'on vous confie. Quelles données, quels accès, pour quels clients.
- Une page de responsabilités. Qui décide, qui exécute, qui contrôle chez vous.
- La description de vos mesures de sécurité. Sauvegardes, gestion des accès, chiffrement, continuité, telles qu'elles existent vraiment.
- Une preuve de formation du personnel, datée de moins de dix-huit mois.
- Une procédure d'annonce d'incident. Qui prévient le client, dans quel délai, par quel canal.
- La liste de vos propres sous-traitants en contact avec les données de vos clients.
Aller plus loin : un état des lieux de votre sécurité de l'information prépare votre dossier fournisseur avant le prochain appel d'offres.
