Un RSSI présente une liste de vingt-trois mesures, classées par criticité technique, avec un budget global. La direction demande un délai de réflexion. Le sujet revient six mois plus tard, inchangé.
Le problème n’est presque jamais le montant. C’est la manière dont la demande est construite.
Pourquoi l’argument technique ne fonctionne pas
« Nous avons 4 000 vulnérabilités dont 300 critiques » ne produit aucune décision. Le chiffre est ininterprétable pour quelqu’un qui n’a pas de référence : est-ce beaucoup ? comparé à qui ? et que se passe-t-il si on ne fait rien ?
Une direction générale n’arbitre pas entre des risques techniques. Elle arbitre entre des risques d’entreprise : arrêt d’activité, perte de clients, sanction, atteinte à la réputation, responsabilité personnelle des dirigeants.
Tant que la demande n’est pas traduite dans ces termes, elle reste un sujet de la DSI.
Ce qui fonctionne : le scénario
Un scénario raconté obtient ce qu’aucun tableau n’obtient.
« Un prestataire de maintenance dispose d’un accès permanent à notre réseau. Si ses identifiants sont compromis, l’attaquant atteint notre ERP en quelques jours. Nos sauvegardes sont administrées avec les mêmes comptes, donc destructibles. La production s’arrête. D’après notre bilan d’impact, nous tenons quatre jours avant de ne plus pouvoir livrer. »
C’est exactement la logique de la méthode EBIOS Risk Manager : partir de scénarios plausibles, pas d’un inventaire de failles.
Trois à cinq scénarios suffisent. Au-delà, l’effet s’inverse et on retombe dans la liste.
Chiffrer sans inventer
La tentation est d’aller chercher un coût moyen d’incident dans une étude. C’est fragile : le chiffre vient d’un autre secteur, d’un autre pays, d’une autre taille d’entreprise, et un directeur financier le démontera.
Ce qui tient, ce sont vos chiffres :
- Le chiffre d’affaires quotidien de l’activité concernée.
- Le coût d’une journée d’arrêt de production, que le contrôle de gestion connaît déjà.
- Les pénalités contractuelles de vos contrats clients en cas d’indisponibilité.
- Le coût de la remédiation d’un incident, si vous en avez déjà vécu un.
« Quatre jours d’arrêt représentent X euros » est une phrase qu’une direction sait traiter. Elle vient de leurs données, pas des vôtres.
Les trois leviers qui débloquent réellement
1. L’obligation réglementaire
C’est le levier le plus efficace aujourd’hui. L’article 20 de NIS 2 impose aux organes de direction d’approuver les mesures, d’en superviser la mise en œuvre, et prévoit qu’ils puissent être tenus responsables des manquements.
Ce n’est plus un risque d’entreprise abstrait : c’est une responsabilité qui remonte aux personnes présentes dans la salle. Dans les organisations que nous accompagnons, c’est cet article, bien plus que les plafonds de sanction, qui déclenche l’arbitrage.
2. L’exigence client
Un appel d’offres perdu faute de certification, ou un questionnaire sécurité auquel on ne sait pas répondre, se traduit immédiatement en chiffre d’affaires. C’est le langage le plus direct.
Conservez les demandes clients : elles constituent le meilleur dossier de justification.
3. L’assurance
Les assureurs conditionnent la couverture et la prime à des mesures précises : authentification renforcée, sauvegardes déconnectées, plan de continuité testé. Un refus de couverture ou une surprime documentée est un argument financier direct.
Comment présenter la demande
Trois options, pas une. Un scénario minimal qui traite le risque le plus élevé, un scénario intermédiaire, un scénario complet. Une demande unique appelle un oui ou un non ; trois options appellent un choix — et un choix se prend.
Ce qui se passe si on ne fait rien, explicitement, pour chaque option écartée. Cela transforme le silence en décision consciente, ce qui change tout en matière de responsabilité.
Un calendrier réaliste. Une direction qui a été échaudée par un projet en retard se méfiera davantage du délai que du montant.
Une trace écrite. Le compte rendu qui acte la décision — y compris le refus — est ce qui protège tout le monde, y compris la direction, en cas de contrôle.
L’erreur à éviter absolument
Faire peur. La dramatisation fonctionne une fois, et détruit la crédibilité ensuite. Un RSSI qui annonce la catastrophe chaque année et dont rien ne se produit cesse d’être écouté — au moment précis où le risque devient réel.
La posture qui tient dans la durée est celle de l’aide à la décision : voici les scénarios, voici les coûts, voici les options, la décision vous appartient.
Sources
- Directive (UE) 2022/2555 (NIS 2), articles 20 et 34
- ISO/IEC 27001:2022, clause 5 — leadership et engagement de la direction
- ANSSI — guides à destination des dirigeants
Aller plus loin
La construction de ces scénarios et leur présentation en comité de direction font partie de nos missions de gouvernance, risques et conformité, y compris dans un format RSSI à temps partagé.