Sous-traitant horloger : les exigences numériques de vos donneurs d'ordre en 2026

Exemple fictif : un atelier de décolletage de 45 personnes, dans la Vallée de Joux, reçoit de son principal donneur d'ordre un questionnaire de 90 questions, à retourner sous six semaines. Sécurité des accès, sauvegardes, plan de reprise, sous-traitants, journalisation. Le dirigeant n'a pas d'informaticien salarié, un infogérant qui vient une fois par mois, et un contrat qui représente 40 % du chiffre d'affaires. La question n'est pas « faut-il répondre », c'est « comment répondre juste, sans dépenser 80 000 francs ».

Cet article décrit ce que ces questionnaires demandent réellement, ce qu'il faut construire, dans quel ordre, et ce que ça coûte.

Pourquoi ces questionnaires arrivent maintenant

Quatre raisons se cumulent, et aucune ne va disparaître.

La responsabilité remonte la chaîne. Un donneur d'ordre reste responsable de ce qu'il vous confie : plans, nomenclatures, cadences, prix de revient, parfois des données de ses propres clients. Il doit pouvoir démontrer qu'il a choisi un fournisseur qui présente des garanties suffisantes. La nLPD l'exige depuis septembre 2023 pour les données personnelles ; ses politiques internes l'exigent pour le reste.

Les incidents passent par les fournisseurs. Un atelier compromis devient un point d'entrée. Les assureurs cyber posent désormais les mêmes questions que les donneurs d'ordre, et refusent ou surtarifent sans réponses.

Les normes descendent. Un groupe certifié sur la sécurité de l'information doit encadrer ses fournisseurs critiques. Vous héritez d'un extrait de ses exigences, rarement de son budget.

L'IA a ajouté une ligne. Depuis deux ans, les questionnaires demandent quels outils d'IA vous utilisez, avec quelles données, et si vos employés y déposent des documents clients. C'est la question la plus mal préparée dans les ateliers.

Ce qu'ils demandent vraiment

Derrière 90 questions, il y a six sujets. Le tableau donne la preuve attendue et l'effort typique pour un atelier de 30 à 80 personnes qui part de l'existant.

Sujet	Question type	Preuve attendue	Effort
Sauvegardes	« Vos sauvegardes sont-elles testées ? »	Compte rendu de restauration daté, avec durée mesurée	1 à 2 jours
Accès	« Comment traitez-vous un départ ? »	Procédure écrite, liste des comptes, preuve d'une revue	2 à 3 jours
Confidentialité	« Où sont stockés nos plans ? »	Cartographie des données clients et droits par dossier	2 jours
Détection	« Comment détectez-vous un incident ? »	Alertes, journaux conservés 6 à 12 mois, contact d'astreinte	3 à 5 jours
Continuité	« En combien de temps reprenez-vous ? »	Plan de reprise avec délais écrits, testé une fois	3 à 5 jours
Sous-traitance	« Qui accède depuis l'extérieur ? »	Liste des prestataires, contrats, accès nominatifs	1 à 2 jours

Deux sigles reviennent et méritent d'être traduits, parce qu'ils décident du niveau d'investissement. Le premier est le délai de reprise visé : en combien de temps la production redémarre après un sinistre. Le second est la perte de données acceptée : combien d'heures de travail vous acceptez de perdre. Un atelier qui répond « 48 heures et une journée de données » n'achète pas la même infrastructure qu'un atelier qui répond « 4 heures et une heure ». Répondez d'abord à ces deux questions avec la direction, pas avec l'informatique.

Les cinq exigences qui reviennent toujours

1. Des sauvegardes testées, pas des sauvegardes existantes

La question n'est jamais « avez-vous des sauvegardes ». Elle est « quand avez-vous restauré pour la dernière fois, et combien de temps ça a pris ». Restaurez un fichier, une boîte aux lettres, une base de l'ERP et, spécificité de l'atelier, un programme de commande numérique avec ses paramètres machine. Notez la date, la durée, ce qui a manqué. Une page datée répond à quatre questions du formulaire.

Point souvent manqué : une sauvegarde stockée sur le même compte que les données est chiffrée avec elles en cas d'attaque. Il faut une copie hors ligne ou chez un second fournisseur.

2. Des comptes nominatifs et une procédure de départ

Les comptes partagés (« atelier », « bureau », « qualité ») rendent impossible toute réponse sérieuse sur la traçabilité. Un compte par personne, une double authentification sur la messagerie et l'ERP, une revue des accès par trimestre, et une procédure de départ appliquée le jour même. Le questionnaire demande souvent une preuve : un extrait de la liste des comptes avec la date de dernière connexion suffit.

3. Une cartographie des données du donneur d'ordre

Où sont ses plans, ses nomenclatures, ses commandes ? Sur quel serveur, dans quel dossier, avec quels droits, sauvegardés où, transmis à qui ? Une page, un schéma simple, une liste de dossiers avec les groupes autorisés. C'est aussi ce qui permet de dire non quand un opérateur veut envoyer un plan par messagerie personnelle pour le lire chez lui.

4. Une supervision et la capacité de dater un incident

Vous n'avez pas besoin d'un centre de surveillance. Vous avez besoin de trois choses : des alertes qui arrivent à une personne nommée (sauvegarde en échec, disque plein, service arrêté, certificat expiré), des journaux conservés six à douze mois, et un numéro d'astreinte. La question réelle derrière celle du questionnaire est : sauriez-vous dire, dans trois mois, ce qui s'est passé mardi dernier à 3 heures ?

5. Un plan de reprise avec des délais écrits

Deux pages : qui décide, qui appelle qui, dans quel ordre les systèmes redémarrent, où sont les sauvegardes, comment on travaille en mode dégradé pendant 48 heures. Puis un test annuel, même partiel, avec un compte rendu. Un plan jamais testé se voit immédiatement en audit.

Ajoutez la spécificité industrielle : les postes qui pilotent les machines vivent souvent sur d'anciennes versions de système, ne se mettent pas à jour comme les postes de bureau, et le fabricant de la machine dispose parfois d'un accès distant permanent. Segmenter le réseau atelier et le réseau bureau, et encadrer cet accès distant, répond à plusieurs questions à la fois et réduit le risque réel.

Comment répondre sans surinvestir

Répondez honnêtement. « Non, prévu pour le 31 mars » vaut mieux qu'un « oui » invérifiable. Un donneur d'ordre accepte un écart accompagné d'un plan daté ; il n'accepte pas une réponse fausse découverte lors d'un audit sur site. La sanction n'est pas une amende, c'est la fin de la relation.

Distinguez trois catégories. Ce qui est exigé au contrat, ce qui est recommandé, ce qui vous est vendu. Beaucoup de questionnaires listent des bonnes pratiques sans les rendre obligatoires. Faites la colonne « exigé » en premier.

Ne visez pas une certification si personne ne la demande. Une certification sur la sécurité de l'information représente, ordre de grandeur, plusieurs dizaines de milliers de francs la première année, plus une charge interne continue. Un dossier de preuves de vingt pages satisfait la quasi-totalité des questionnaires fournisseurs. Gardez la certification pour le jour où elle figure noir sur blanc dans un appel d'offres.

Écrivez une fois, servez partout. Le même dossier sert tous vos donneurs d'ordre, votre assureur cyber, votre conformité nLPD et votre banque. C'est le principal gain de ce chantier : la deuxième réponse coûte deux jours au lieu de six semaines.

Nommez un responsable. Une personne de la direction, pas l'infogérant. L'infogérant fournit les preuves techniques ; il ne peut pas engager l'entreprise.

Le calendrier type

Pour un atelier de 30 à 80 personnes qui part d'un existant ordinaire.

Semaine	Travail	Livrable
1	Inventaire : systèmes, comptes, prestataires, données du donneur d'ordre	Cartographie et liste des écarts
2	Preuves rapides : double authentification, comptes dormants, restauration test	Compte rendu de restauration, revue des accès
3	Procédures : départ, accès distants, gestion des supports, usage de l'IA	Trois procédures signées
4	Continuité : délais de reprise décidés, plan écrit, sauvegarde hors site	Plan de reprise, première version
5	Rédaction des réponses, avec les preuves en pièces jointes	Questionnaire complété
6	Relecture, plan daté pour les écarts restants, envoi	Dossier et plan d'action

Six semaines correspondent au délai habituellement laissé. Le chemin critique n'est ni technique ni budgétaire : c'est la disponibilité des personnes qui savent comment l'atelier fonctionne.

Ce que ça coûte

En interne, comptez 6 à 10 jours de travail répartis sur six semaines, dont la moitié pour la direction et l'encadrement.

Avec un tiers, en ordres de grandeur issus de notre catalogue : audit de sécurité et plan de sauvegarde et de reprise, 3 500 à 6 000 € HT (4 900 à 8 400 CHF) ; gestion des accès et des secrets, 2 500 à 5 000 € (3 500 à 7 000 CHF) ; supervision et alertes, 2 500 à 5 000 € (3 500 à 7 000 CHF) ; documentation des process et des outils, 4 000 à 8 000 € (5 600 à 11 200 CHF). Un dossier complet pour un atelier de cette taille se situe donc entre 8 000 et 20 000 CHF selon l'existant, une fois. À cela s'ajoutent 100 à 400 CHF par mois de sauvegarde hors site et de supervision, et une demi-journée de revue par trimestre.

Comparez ce montant au contrat en jeu, pas à votre budget informatique. Dans l'exemple fictif de départ, six semaines de travail et 15 000 CHF protègent 40 % du chiffre d'affaires. C'est aussi, accessoirement, ce qui permet de redémarrer après un sinistre.

Trois erreurs à éviter

Signer un questionnaire sans preuve. Le jour de l'audit, l'écart entre le formulaire et la réalité coûte plus cher que l'écart lui-même.

Acheter un outil au lieu d'écrire une procédure. Aucun logiciel ne répond à « comment traitez-vous un départ ». Une page signée, oui.

Traiter l'atelier comme un bureau. Les postes machines, les licences flottantes et les accès distants des fabricants demandent des règles propres. C'est là que se trouvent les écarts les plus graves, et c'est là que les auditeurs regardent.

À retenir

• Derrière 90 questions, il y a six sujets : sauvegardes testées, accès nominatifs, cartographie des données confiées, détection, continuité, sous-traitants.
• Décidez d'abord, avec la direction, votre délai de reprise et la perte de données acceptable : ces deux chiffres fixent le budget.
• Répondez honnêtement, avec un plan daté pour les écarts. Une réponse fausse découverte en audit met fin à la relation.
• Pas de certification tant que personne ne l'exige : un dossier de preuves de vingt pages suffit à la plupart des questionnaires.
• Ordre de grandeur : six semaines, 6 à 10 jours en interne, 8 000 à 20 000 CHF avec un tiers, puis 100 à 400 CHF par mois.

Vous venez de recevoir un questionnaire fournisseur ? Mesurez d'abord votre position avec le Thermomètre Cape Pebble, puis envoyez-nous le document : nous vous dirons ce qui est exigé et ce qui ne l'est pas.