Ce qu’un comit\u00e9 ex\u00e9cutif ou board \u00e9value en s\u00e9ance, c’est la d\u00e9cision qu’on lui soumet. Le RSSI arrive avec des mois de travail (projets livr\u00e9s, couverture EDR, taux de correctifs, r\u00e9sultats d’audit), et les administrateurs cherchent dans ce mat\u00e9riau de quoi trancher : faut-il d\u00e9bloquer ce budget, accepter ce niveau de risque, revoir la couverture d’assurance. Une pr\u00e9sentation qui part de l’\u00e9tat des chantiers oblige le board \u00e0 reconstruire lui-m\u00eame le lien entre ces chantiers et la d\u00e9cision.<\/p>\r\n\r\n
En parall\u00e8le, l’article 20 de la directive NIS2<\/a> demande aux organes de direction des entit\u00e9s concern\u00e9es d’approuver les mesures de gestion des risques cyber, d’en superviser la mise en \u0153uvre, et il rend ces organes responsables en cas de manquement. En France, le projet de loi relatif \u00e0 la r\u00e9silience des infrastructures critiques et au renforcement de la cybers\u00e9curit\u00e9, qui transpose NIS2 et DORA, est inscrit \u00e0 l’ordre du jour de l’Assembl\u00e9e nationale depuis le 7 octobre 2026.<\/p>\r\n\r\n Les administrateurs qui devront approuver les projets cyber demandent de quoi d\u00e9cider en connaissance de cause.<\/p>\r\n\r\n D’une entreprise \u00e0 l’autre, les questions qui reviennent en s\u00e9ance se ressemblent beaucoup. Nous en retenons quatre :<\/p>\r\n\r\n Pour chacune, cet article montre \u00e0 quoi ressemble une r\u00e9ponse chiffr\u00e9e, \u00e0 partir d’un exemple fictif que nous suivons de bout en bout : un groupe industriel europ\u00e9en de 2 milliards d’euros de chiffre d’affaires, avec une dizaine de sites de production.<\/p>\r\n\r\n Le board raisonne en \u00e9v\u00e9nements qui touchent l’activit\u00e9 : une usine \u00e0 l’arr\u00eat, des donn\u00e9es clients expos\u00e9es ou un virement frauduleux par exemple. La r\u00e9ponse la plus utilisable d\u00e9crit donc chaque sc\u00e9nario dans ces termes, puis lui associe deux valeurs : sa fr\u00e9quence, exprim\u00e9e en \u00ab une fois tous les X ans \u00bb plut\u00f4t qu’en probabilit\u00e9, et la perte qu’il entra\u00eenerait, en euros. Le produit des deux donne une perte annualis\u00e9e (l’ALE, dans la m\u00e9thode FAIR<\/a>), qui permet de comparer des sc\u00e9narios tr\u00e8s diff\u00e9rents sur une m\u00eame \u00e9chelle.<\/p>\r\n\r\n Dans notre exemple, le RSSI pr\u00e9sente quatre sc\u00e9narios.<\/p>\r\n\r\n\r\n
Question 1 : quelles pertes pourrions-nous subir et \u00e0 quelle fr\u00e9quence ?<\/h2>\r\n\r\n