Préparer son reporting cyber au board : quatre questions, quatre réponses chiffrées

Ce qu’un comité exécutif ou board évalue en séance, c’est la décision qu’on lui soumet. Le RSSI arrive avec des mois de travail (projets livrés, couverture EDR, taux de correctifs, résultats d’audit), et les administrateurs cherchent dans ce matériau de quoi trancher : faut-il débloquer ce budget, accepter ce niveau de risque, revoir la couverture d’assurance. Une présentation qui part de l’état des chantiers oblige le board à reconstruire lui-même le lien entre ces chantiers et la décision.

En parallèle, l’article 20 de la directive NIS2 demande aux organes de direction des entités concernées d’approuver les mesures de gestion des risques cyber, d’en superviser la mise en œuvre, et il rend ces organes responsables en cas de manquement. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2 et DORA, est inscrit à l’ordre du jour de l’Assemblée nationale depuis le 7 octobre 2026.

Les administrateurs qui devront approuver les projets cyber demandent de quoi décider en connaissance de cause.

D’une entreprise à l’autre, les questions qui reviennent en séance se ressemblent beaucoup. Nous en retenons quatre :

• quelles pertes l’organisation peut-elle subir, et à quelle fréquence ?
• sommes-nous dans le niveau de risque que nous avons accepté ?
• que change le budget demandé ?
• que reste-t-il ensuite, et qui le porte ?

Pour chacune, cet article montre à quoi ressemble une réponse chiffrée, à partir d’un exemple fictif que nous suivons de bout en bout : un groupe industriel européen de 2 milliards d’euros de chiffre d’affaires, avec une dizaine de sites de production.

Question 1 : quelles pertes pourrions-nous subir et à quelle fréquence ?

Le board raisonne en événements qui touchent l’activité : une usine à l’arrêt, des données clients exposées ou un virement frauduleux par exemple. La réponse la plus utilisable décrit donc chaque scénario dans ces termes, puis lui associe deux valeurs : sa fréquence, exprimée en « une fois tous les X ans » plutôt qu’en probabilité, et la perte qu’il entraînerait, en euros. Le produit des deux donne une perte annualisée (l’ALE, dans la méthode FAIR), qui permet de comparer des scénarios très différents sur une même échelle.

Dans notre exemple, le RSSI présente quatre scénarios.

Deux éléments rendent ce tableau défendable face à un administrateur qui le challenge.

Le premier est l’origine de la fréquence. Une fréquence tirée d’une moyenne sectorielle ancienne ne résiste pas à la question « pourquoi nous et pourquoi maintenant ». Une fréquence construite à partir des groupes d’attaquants qui ciblent effectivement l’industrie manufacturière européenne, de leurs modes opératoires et de la capacité des contrôles en place à les arrêter, s’explique en une phrase et se met à jour quand la menace évolue.

Le second est la décomposition de la perte : arrêt de production, coûts de réponse à incident, pénalités contractuelles, sanctions éventuelles. Un directeur financier vérifie ces postes avec ses propres chiffres, ce qui fait du montant une base de discussion commune.

Les valeurs du tableau sont les plus probables. Chaque estimation repose sur une fourchette (minimum, plus probable, maximum), et la garder sous la main en séance évite de laisser croire à une précision que personne ne revendique. Jean-Paul Joanany, DSSI et responsable de la continuité d’activité d’Action Logement Services, décrit l’effet de ce type de présentation :

« Avec des métriques claires et des scénarios concrets, Citalid nous permet de justifier nos choix en matière de sécurité et de mettre en lumière l’impact financier pour les décideurs. »

Question 2 : sommes-nous dans le niveau de risque que nous avons accepté ?

Un montant de 11,5 M€ par an prend son sens face à un repère qui indique s’il appelle une action. Ce repère est l’appétit au risque : le niveau de perte annualisée que la direction juge acceptable au regard de sa stratégie, de sa trésorerie et de ses autres risques. Pour le cyber, il est souvent implicite.

Le RSSI peut faire de cette lacune un point de séance. Il propose des seuils, construits avec la direction des risques et la direction financière, et demande au board de les valider. Dans notre exemple :

Avec une perte annualisée de 11,5 M€, le groupe se situe en zone de vigilance, à 3,5 M€ au-dessus du seuil acceptable et à 0,5 M€ de la zone d’alerte. Cette phrase suffit à cadrer le reste de la séance : le sujet devient l’écart à combler, et le budget demandé à la question suivante se lit comme le moyen de le combler.

L’exercice a un autre effet. Une fois les seuils validés, ils appartiennent au board. La décision de rester en zone de vigilance, si elle est prise, est une décision de la direction, documentée comme telle, et le RSSI cesse d’être le seul porteur d’un risque que personne d’autre n’a formellement accepté. Pour une entité soumise à NIS2, cette trace d’approbation par l’organe de direction répond directement à ce que l’article 20 attend.

Question 3 : que change le budget que le RSSI demande ?

C’est la question sur laquelle la séance se joue, et celle où la présentation par projet montre ses limites. Une liste de projets avec leur coût laisse le board comparer des montants sans savoir ce qu’ils achètent. La réponse attendue rattache chaque projet à un scénario de la question 1 et chiffre la réduction de perte annualisée qu’il produit.

Dans notre exemple, le RSSI demande 970 k€ pour trois initiatives.

Le budget ramène la perte annualisée de 11,5 M€ à 7,5 M€ par an, sous le seuil acceptable de 8 M€ validé à la question 2. La demande se formule alors en une phrase que le board peut accepter ou refuser en connaissance de cause : 970 k€ pour revenir dans l’appétit au risque.

Le tableau permet aussi de hiérarchiser. Le rapport entre la réduction de perte annualisée et le coût de chaque initiative, base du calcul du ROSI (Return on Security Investment), donne un premier ordre de priorité : 5,8 pour l’authentification résistante à l’hameçonnage et la double validation des virements (0,7 M€ de réduction pour 120 k€), 4,4 pour le contrôle des accès des prestataires, 3,7 pour la segmentation des réseaux industriels, et 4,1 pour l’ensemble du plan. Ce classement se lit avec le seuil d’appétit en tête. Engagées seules, les deux initiatives présentant le meilleur ratio laisseraient la perte annualisée à 9,7 M€, en zone de vigilance : la segmentation a le rapport le plus faible des trois, alors même que c’est elle qui ramène le groupe sous les 8 M€. Le board arbitre alors l’ordre de traitement en sachant ce que chaque séquence produit.

Un dernier critère gagne à être montré : l’effet de chaque initiative sur une « mauvaise année ». La segmentation limite la propagation d’un rançongiciel d’un site à l’autre, et c’est l’initiative qui réduit le plus la perte d’une année défavorable. Dans notre exemple, elle porte l’essentiel de la baisse de la perte qui ne serait dépassée qu’une année sur vingt, de 70 M€ avant investissement à 48 M€ après.

Le tableau rend aussi visible ce qu’un refus coûte. Écarter la segmentation des réseaux industriels revient à accepter 2,2 M€ de perte annualisée supplémentaire et à maintenir le groupe en zone de vigilance. Cette lecture évite au RSSI de plaider : le board arbitre entre deux montants, et l’arbitrage lui revient. Le RSSI d’un fonds de capital-investissement accompagné par Citalid résume ce changement :

« On peut désormais affirmer : « Cet investissement réduit notre perte potentielle de 15 %. » Ce qui transforme les arbitrages budgétaires en choix stratégiques basés sur le ROI cyber. »

Deux précautions renforcent la crédibilité de ce tableau. Les réductions sont des estimations assorties d’une fourchette, qu’il vaut mieux montrer avant qu’un administrateur ne la demande. Et le coût affiché doit inclure ce que le directeur financier comptera de toute façon : licences récurrentes, temps des équipes internes, éventuel arrêt planifié des lignes de production pendant les travaux. Georges Richard, RSSI d’Unicil, observe l’effet de cette approche sur la direction générale : « l’intérêt, l’implication et les prises de décisions sont plus rapides ».

Question 4 : quel risque reste-t-il ensuite et qui le porte ?

Après investissement, le groupe de notre exemple conserve 7,5 M€ de perte annualisée. Ce montant comprend le risque réduit par les trois initiatives et le scénario de fuite de données, laissé en l’état cette année (2,0 M€ par an). Le board doit savoir que ce reliquat existe, et qu’il l’accepte en validant le plan.

Ce risque résiduel suppose que les trois initiatives ont été déployées. Entre la validation du budget et la mise en service, plusieurs mois s’écoulent : la segmentation des réseaux industriels, en particulier, peut s’étaler sur plusieurs trimestres et demander des arrêts planifiés de production. Pendant cette période, la perte annualisée reste celle de la question 1, soit 11,5 M€ par an, au-dessus de l’appétit validé. Le board doit savoir comment le groupe couvre cet écart temporaire, et c’est un premier usage du partage de risque : une police d’assurance calibrée sur l’exposition actuelle protège l’organisation pendant la montée en charge du plan. Présenter ensemble le calendrier de déploiement et la date de renouvellement de la police rend cette articulation visible.

La perte annualisée reste toutefois une moyenne. Elle sert à arbitrer un budget, et elle répond mal à la question que posent le directeur financier et le comité d’audit : que se passe-t-il la mauvaise année ? Pour y répondre, le RSSI présente un second chiffre, la perte cumulée qui ne serait dépassée qu’une année sur vingt. Dans notre exemple, elle s’établit à 48 M€ après investissement, portée surtout par un rançongiciel touchant plusieurs sites à la fois.

Ce second chiffre ouvre la discussion sur le partage du risque. Le groupe dispose d’une police d’assurance cyber avec une limite de 25 M€ et une franchise de 1 M€. Lors d’une année défavorable, environ 23 M€ resteraient donc à sa charge, franchise comprise, sans compter les postes que le contrat ne couvre pas. Trois options se présentent au board : retenir ce montant en connaissance de cause, relever la limite au prochain renouvellement, ou financer des mesures supplémentaires sur le scénario qui porte cette queue de distribution. La comparaison se fait en euros, avec la prime supplémentaire d’un côté et la réduction de la perte extrême de l’autre.

La lecture du contrat fait partie de la réponse. Pour chaque scénario présenté, le RSSI et le risk manager vérifient ce que prévoient les garanties : pertes d’exploitation, interruption chez un prestataire, frais de notification, fraude. Un scénario majeur rattaché à une garantie absente ou plafonnée bas est un risque retenu, et le board doit le savoir comme tel. Le RSSI du fonds de capital-investissement cité plus haut décrit le résultat de ce travail :

« Nous savons désormais quels risques nous souhaitons transférer et lesquels nous préférons mitiger. Nous avons mené une analyse précise des couvertures et des exclusions face à notre exposition réelle. »

Pour le RSSI, ce travail sur le transfert a une valeur propre. Il rattache le plan de sécurité à une décision que la direction financière et le risk manager pilotent déjà, le renouvellement de la police d’assurance, et place le RSSI dans cette discussion. Il apporte aussi un argument au budget : une réduction de la perte extrême documentée en euros devient une donnée que l’organisation peut présenter à ses assureurs au renouvellement. Nous détaillons cette préparation dans notre précédent article sur le renouvellement de l’assurance cyber.

Après la séance : la suivante se prépare dès maintenant

Une séance bien préparée produit des décisions : des seuils d’appétit validés, un budget accordé en tout ou partie, un risque résiduel accepté. Les consigner le jour même, avec les chiffres sur lesquels elles reposent, constitue le point de départ du prochain reporting. À la séance suivante, un administrateur demandera ce que les 970 k€ ont produit, et pourquoi la perte annualisée n’est plus de 7,5 M€.

Cette variation a deux origines, à présenter séparément. Une part vient des actions de l’organisation : un projet livré en avance, un autre retardé. L’autre part vient de la menace : un groupe d’attaquants qui se met à cibler l’industrie manufacturière européenne, une vulnérabilité exploitée massivement dans un logiciel présent sur les sites, peuvent faire monter une fréquence sans que rien n’ait changé en interne. Un board qui voit cette distinction comprend qu’une hausse du chiffre peut survenir malgré un plan exécuté, et juge le plan sur ce qui relève de lui.

Rendre cette comparaison possible suppose de garder d’une séance à l’autre les mêmes scénarios, la même méthode et les mêmes seuils, et de mettre à jour les fréquences au rythme de la menace plutôt qu’au rythme du calendrier du board. Le même RSSI décrit cette pratique :

« On a cassé l’idée que la quantification est un exercice one-shot annuel. C’est une activité récurrente : nous analysons notre exposition et l’évolution du paysage de la menace une fois par mois. »

À retenir

Un reporting cyber au board se construit à partir des décisions que le board doit prendre. Ces décisions appellent notamment quatre réponses chiffrées :

• les pertes possibles par scénario, avec leur fréquence ;
• la position par rapport à un appétit au risque validé par le board ;
• la réduction de perte que produit chaque euro demandé ;
• le risque qui reste après investissement, en moyenne et sur une mauvaise année, avec la part transférée à l’assurance.

Selon le moment, le reporting poursuit aussi d’autres objectifs que la décision : faire comprendre au board son exposition (lors d’une première présentation ou après un incident marquant dans le secteur), rendre compte des engagements pris à la séance précédente, et documenter le risque que la direction accepte. Fixer cet objectif avant de construire la présentation indique lesquelles des quatre questions développer, et lesquelles traiter en une ligne.

Questions fréquentes

Combien de scénarios présenter au board ?

Quatre à six suffisent en général. Ils doivent couvrir l’essentiel de la perte annualisée totale et rester assez concrets pour qu’un administrateur se représente chacun d’eux. Le détail des autres scénarios reste en annexe.

Faut-il encore présenter des indicateurs de maturité ou de conformité ?

Oui, en appui. Un score de maturité explique pourquoi une fréquence est élevée ou basse, et un état de conformité répond aux obligations réglementaires. Ils trouvent leur place derrière les réponses chiffrées, comme justification.

Comment répondre à un administrateur qui conteste un chiffre ?

En montrant la fourchette et les hypothèses qui ont permis d’arriver à ce chiffre : la fréquence d’attaque retenue et sa source, l’efficacité estimée des mesures de sécurité face à ces attaques, les types de perte. Une hypothèse que le board juge trop optimiste ou trop pessimiste est notée en séance, puis réévaluée avec les équipes concernées, et le chiffre se recalcule pour la séance suivante. Une contestation apporte ainsi au RSSI une information qu’il n’avait pas et le chiffre en sort plus solide.

Sur quelle méthode s’appuyer ?

FAIR (Factor Analysis of Information Risk) est une méthode de quantification du risque publiée comme standard par The Open Group sous le nom Open FAIR. Elle structure le risque en fréquence et en ampleur de perte, ce qui correspond directement aux quatre questions de cet article.