CyberVadis : comprendre l'évaluation et bien y répondre
Un donneur d'ordre déclenche une évaluation CyberVadis de votre entreprise ? Comment fonctionne l'évaluation, ce qui compte vraiment dans le score, et les erreurs à éviter.
L’email arrive généralement d’un service achats : « Dans le cadre de notre politique de gestion des risques fournisseurs, nous vous invitons à compléter une évaluation CyberVadis. » Derrière la formule polie, un enjeu très concret : votre score peut peser sur le maintien ou le renouvellement d’un contrat.
Ce qu’est CyberVadis — et ce que ça n’est pas
CyberVadis évalue la maturité cybersécurité des fournisseurs pour le compte de grands donneurs d’ordre. À ne pas confondre avec EcoVadis, son équivalent pour la RSE : même logique, sujet différent.
La différence essentielle avec un simple questionnaire sécurité : CyberVadis exige des preuves. Chaque réponse déclarative doit être appuyée par un document — politique datée et signée, capture de configuration, procédure, registre. Une équipe d’analystes examine ces preuves et établit le score ; répondre « oui » sans preuve revient à répondre « non ».
Les quatre domaines évalués
L’évaluation couvre l’ensemble du cycle de sécurité :
- Identifier — gouvernance, gestion des risques, conformité, gestion des tiers.
- Protéger — contrôle d’accès, sécurité des postes et du réseau, sensibilisation, données.
- Détecter — journalisation, supervision, détection d’incidents.
- Réagir & récupérer — réponse à incident, continuité, sauvegardes.
Les PME sont souvent correctes sur « Protéger » (antivirus, pare-feu, MFA partiel) et faibles sur « Identifier » et « Détecter » — précisément parce que ces domaines exigent de la gouvernance documentée, pas seulement des outils.
Les erreurs classiques
Répondre vite pour s’en débarrasser. Un score médiocre publié se rattrape à l’évaluation suivante, des mois plus tard. Pendant ce temps, il reste visible du donneur d’ordre.
Surdéclarer. Les analystes lisent réellement les preuves. Une politique générée la veille, non datée, sans propriétaire ni diffusion, se remarque — et décrédibilise le reste du dossier.
Tout traiter au même niveau. Toutes les questions ne pèsent pas pareil. Quelques mesures structurantes — MFA généralisé, sauvegardes documentées et testées, politique de sécurité formalisée, procédure d’incident — portent une part importante du score pour un effort raisonnable.
Comment se préparer efficacement
La bonne séquence, éprouvée sur le terrain :
- Lire l’évaluation en entier avant de répondre à quoi que ce soit, et cartographier : ce qu’on a, ce qu’on a partiellement, ce qu’on n’a pas.
- Prioriser par impact score / effort : produire d’abord les politiques et preuves à fort levier.
- Mettre en place les mesures rapides manquantes — activer le MFA manquant se fait en jours, pas en mois.
- Répondre de manière argumentée, en assumant honnêtement les points faibles avec un plan d’action daté : les analystes valorisent une trajectoire crédible.
Sur une mission récente, ce travail a tenu en deux jours facturés pour une PME dont l’existant était correct — et l’audit a été validé. Quand tout est à produire, comptez plutôt quelques semaines.
Et après ?
Une évaluation CyberVadis bien préparée laisse un actif durable : des politiques réelles, des preuves organisées, une photographie de maturité. C’est souvent le premier pas naturel vers une démarche ISO 27001 si vos clients montent en exigence — les référentiels se recouvrent largement.
Une évaluation CyberVadis à rendre, avec une échéance ? DRYIA propose un accompagnement court et ciblé, au forfait.