Vos clients grands comptes exigent une évaluation de sécurité. Repartez conforme, à temps, sans recruter.

Le problème : personne ne vous dit le score à atteindre

Vous lirez partout qu'il faut 700 sur 1000. C'est une simplification.

Le seuil est fixé par le donneur d'ordre, pas par la plateforme. Il dépend de la criticité des données que vous traitez pour lui, de votre niveau d'accès à ses systèmes, et parfois du contrat lui-même. Deux fournisseurs du même groupe peuvent se voir demander deux niveaux différents.

Ce qui est vérifiable, en revanche, c'est le point de comparaison : la moyenne des entreprises évaluées par CyberVadis est de 670 sur 1000. Ce chiffre est imprimé sur les rapports d'évaluation. Autrement dit, le niveau attendu par un grand donneur d'ordre est en général au-dessus de la moyenne du marché, et c'est tout le problème.

La première question à poser à votre interlocuteur achats, c'est le seuil exact et la date de campagne. Tant que vous n'avez pas ces deux informations, vous travaillez à l'aveugle.

L'offre : conforme et soumis en six semaines, sans rien rédiger

Six semaines entre la signature et la soumission. Diagnostic d'écarts priorisé la première semaine, rédaction du socle documentaire et remédiations prioritaires ensuite, kit de preuves assemblé et revue avant soumission, puis soumission et restitution.

Vous ne rédigez rien : politiques, procédures, registres et preuves sont préparés pour vous, vous validez. Un interlocuteur chez vous suffit.

Le score cible est fixé ensemble après le diagnostic, et nous travaillons jusqu'à son atteinte, sans facturation supplémentaire.

La preuve : 959 sur 1000, niveau Platinum

Deux fournisseurs que nous avons accompagnés ont obtenu 918 et 959 sur 1000, le second au niveau Platinum avec un certificat CyberVadis valable douze mois, quand la moyenne des entreprises évaluées est de 670.

Nous ne publions ni son nom ni le détail de ses écarts : c'est son dossier de sécurité, pas notre argumentaire.

En prime : votre socle NIS2 et ISO 27001

Le rapport de performance CyberVadis fait correspondre chaque contrôle évalué à l'article 21 de la directive NIS2, aux objectifs du projet de référentiel ANSSI 2024, aux piliers de DORA et aux articles de ses RTS, et aux mesures de l'Annexe A d'ISO 27001 version 2022.

Traduction : le dossier que vous constituez pour votre client est aussi une analyse d'écarts NIS2 et une base de départ ISO 27001. Si vous êtes concerné par NIS2, et la plupart des fournisseurs de grands groupes le deviennent par ricochet, vous faites le travail deux fois si vous traitez les deux sujets séparément.

C'est l'argument à faire valoir en interne pour débloquer le budget : ce n'est pas une dépense de conformité client, c'est le socle réglementaire de l'entreprise.

Questions fréquentes

Combien de temps faut-il ?

Six semaines de la signature à la soumission, avec une première lecture d'écarts sous sept jours. Le calendrier se construit à rebours de la date de campagne de votre client, pas de celle de la plateforme.

Quel score dois-je viser ?

Celui que votre donneur d'ordre vous a indiqué. S'il ne l'a pas fait, demandez-le avant toute chose. À titre de repère, la moyenne des entreprises évaluées est de 670 sur 1000.

Puis-je réutiliser mon évaluation pour un autre client ?

C'est l'un des intérêts du dispositif : le dossier de preuves constitué sert aux questionnaires suivants. Le partage de la scorecard elle-même dépend des modalités de votre compte.

J'ai déjà passé l'évaluation et le score est insuffisant. C'est fini ?

Non. Une réévaluation est possible, mais la campagne de votre client a une date limite. C'est le premier point à vérifier avant de décider quoi que ce soit.

Une certification ISO 27001 me dispense-t-elle de l'évaluation ?

Pas automatiquement, chaque donneur d'ordre décide. Sa valeur réelle est de constituer un socle unique qui répond à tous les questionnaires.