Votre plus gros client exige des preuves de sécurité. On prépare le dossier, vous gardez le contrat.

Le vrai problème : la preuve, le seuil et la date

Le seuil n'est jamais écrit noir sur blanc. Il est fixé par le donneur d'ordre, pas par la plateforme, et dépend de la criticité des données que vous traitez pour lui. Le seul repère vérifiable : la moyenne des entreprises évaluées par CyberVadis est de 670 sur 1000, imprimée sur les rapports.

La date de votre client n'est pas celle de la plateforme. La fenêtre de soumission d'un outil et l'échéance de votre donneur d'ordre sont deux choses différentes. Le calendrier se construit à rebours de la date du client.

Une preuve manquante vaut zéro. Déclarer une bonne pratique ne suffit pas : il faut la prouver, datée. Politique écrite, journal activé, revue d'accès tracée. C'est là que la plupart des dossiers perdent leurs points, pas sur l'intention.

La première question à poser à votre interlocuteur achats, c'est le seuil exact et la date de campagne. Tant que vous n'avez pas ces deux informations, vous travaillez à l'aveugle.

Le Sprint Évaluation Fournisseur : conforme et soumis en six semaines

Six semaines entre la signature et la soumission, avec une première lecture d'écarts sous sept jours. Diagnostic priorisé en semaine 1, rédaction du socle documentaire et remédiations prioritaires, puis kit de preuves assemblé et revu avant soumission.

Vous ne rédigez rien : politiques, procédures, registres et preuves sont préparés pour vous, vous validez. Un seul interlocuteur chez vous suffit. Que votre client impose un questionnaire maison, une évaluation CyberVadis ou une base ISO 27001, la mécanique est la même.

Le score cible est fixé ensemble après le diagnostic, et nous le garantissons : nous travaillons jusqu'à son atteinte, sans facturation supplémentaire.

La preuve : deux dossiers repris, deux scores obtenus en six semaines

Un premier fournisseur est passé d'environ 450 à 918 sur 1000. Un second, de 550 à 959 sur 1000, au niveau Platinum, avec un certificat valable douze mois. Dans les deux cas en six semaines, quand la moyenne des entreprises évaluées est de 670.

Nous ne publions ni leur nom ni le détail de leurs écarts : c'est leur dossier de sécurité, pas notre argumentaire.

Qui fait le travail : un expert certifié, pas une équipe junior

Vous avez un seul interlocuteur, le même du diagnostic à la soumission : CISSP, OSCP, ISO 27001 Lead Implementer, AWS Solutions Architect, CRTE.

Cinq missions maximum en parallèle, pour tenir les délais annoncés.

Pas de sous-traitance en cascade : la personne qui diagnostique est celle qui monte le dossier et qui le soumet.

Le même expert, du premier échange à la restitution finale.

En prime : une base pour NIS2 et ISO 27001

Le dossier que vous constituez pour votre client recoupe une partie des exigences de l'article 21 de NIS2 et du documentaire d'ISO 27001. Ce n'est pas une certification automatique, mais une base de départ sérieuse.

Vous faites donc d'une pierre deux coups : le même dossier sert votre client et votre conformité réglementaire.

C'est l'argument à faire valoir en interne pour débloquer le budget : ce n'est pas une dépense de conformité client, c'est le socle de sécurité de l'entreprise.

Questions fréquentes

Combien de temps faut-il ?

Six semaines de la signature à la soumission, avec une première lecture d'écarts sous sept jours. Le calendrier se construit à rebours de la date de votre client.

Quel score ou quel niveau dois-je viser ?

Celui que votre donneur d'ordre a indiqué. S'il ne l'a pas fait, demandez-le avant toute chose. À titre de repère, la moyenne des entreprises évaluées par CyberVadis est de 670 sur 1000.

Je n'utilise pas CyberVadis, c'est un questionnaire de mon client.

Vous êtes au bon endroit. La démarche est la même : comprendre l'exigence, produire le dossier et les preuves, le soumettre dans les délais.

Puis-je réutiliser le dossier pour un autre client ?

Oui, c'est l'un des intérêts du dispositif : le dossier de preuves constitué sert aux questionnaires suivants.

Une certification ISO 27001 me dispense-t-elle de l'évaluation ?

Pas automatiquement, chaque donneur d'ordre décide. Sa vraie valeur est de constituer un socle unique qui répond à tous les questionnaires.