Analyse & Gestion des risquesCe qu’exigent NIS 2, DORA, le RGPD et ISO 27001
La cybersécurité ne peut pas reposer uniquement sur des mesures techniques déployées au fil de l’eau. Sans une analyse formelle et structurée des risques, les organisations avancent à l’aveugle : elles protègent ce qu’elles voient, sans nécessairement protéger ce qui compte vraiment. Selon l’ANSSI, une part significative des incidents traités en France aurait pu être évitée ou limitée par une meilleure identification préalable des risques et des actifs critiques.
Qu’est-ce que l’analyse et la gestion des risques cyber ?
L’analyse et la gestion des risques cyber constituent le socle de toute démarche de sécurité des systèmes d’information sérieuse. Elles permettent d’identifier les actifs à protéger, d’évaluer les menaces et les vulnérabilités qui pèsent sur eux, et de définir des mesures de traitement proportionnées aux enjeux de l’organisation. C’est aussi une exigence explicite de la quasi-totalité des référentiels en vigueur : ISO 27001, NIS 2, DORA, RGPD, HDS, LPM…
DSI, RSSI, responsables conformité ou membres de la direction : cette page vous présente les exigences clés d’une démarche d’analyse des risques cyber, les méthodes reconnues pour la conduire, et son articulation avec les grands référentiels réglementaires.
L’analyse des risques cyber est une démarche structurée qui vise à identifier, évaluer et prioriser les risques numériques auxquels une organisation est exposée. Elle s’appuie sur une connaissance précise des actifs informationnels de l’organisation, des menaces susceptibles de les affecter, et des vulnérabilités qui pourraient être exploitées.
La gestion des risques va plus loin : elle consiste à définir et mettre en œuvre une stratégie de traitement pour chaque risque identifié, à en assurer le suivi dans le temps, et à rendre compte des risques résiduels acceptés par la direction. C’est un processus continu, pas un exercice ponctuel.
Concrètement, une démarche d’analyse et de gestion des risques cyber répond à quatre questions fondamentales :
- Quoi protéger ? Identification et classification des actifs informationnels critiques
- Contre quoi ? Identification des menaces et des vulnérabilités associées
- Quel est le niveau de risque ? Évaluation de la probabilité et de l’impact de chaque scénario
- Comment traiter ? Définition d’un plan de traitement avec responsables et échéances
Pourquoi l’analyse des risques est-elle indispensable ?
Une analyse des risques bien conduite produit des bénéfices concrets pour l’organisation :
- Elle permet de concentrer les investissements sécurité sur les risques les plus critiques
- Elle fournit à la direction une vision claire et documentée de l’exposition aux menaces
- Elle constitue la base du plan de traitement des risques et des plans de continuité d’activité
- Elle démontre aux parties prenantes, clients et régulateurs, que l’organisation maîtrise ses risques
- Elle est une condition préalable à la certification ISO 27001 et à la conformité NIS 2, DORA ou HDS
Les points de contrôle communs
Une analyse des risques conforme aux standards reconnus doit respecter cinq exigences fondamentales.
Une méthode formelle d’analyse des risques
L’analyse des risques ne peut pas reposer sur une approche intuitive ou informelle. Elle doit s’appuyer sur une méthode reconnue et documentée, telle qu’EBIOS RM, OCTAVE, FAIR, MEHARI ou ISO 27005. Cette exigence est explicite dans la clause 6.1 de la norme ISO 27001:2022, qui impose que l’organisation définisse et applique un processus d’appréciation des risques de sécurité de l’information.
La cartographie des actifs et leur classification
Avant d’évaluer les risques, il faut savoir ce que l’on protège. La cartographie des actifs consiste à recenser l’ensemble des éléments qui ont de la valeur pour l’organisation : données, applications, infrastructures, processus métiers, ressources humaines. Chaque actif est ensuite classifié selon son niveau de sensibilité et sa criticité pour l’activité.
Cette cartographie est la base de toute analyse des risques sérieuse. Elle permet d’identifier les actifs critiques sur lesquels concentrer les efforts de protection, et de dimensionner les mesures de sécurité de façon proportionnée.
Une revue périodique des risques (au moins annuelle)
L’analyse des risques n’est pas un exercice ponctuel. Les menaces évoluent, les systèmes d’information changent, les réglementations se renforcent. La norme ISO 27001:2022 (clause 8.2) impose une réévaluation régulière des risques, au minimum une fois par an ou lors de tout changement significatif dans l’organisation ou son environnement.
Un plan de traitement des risques avec responsables
Pour chaque risque identifié, l’organisation doit définir une stratégie de traitement parmi quatre options : réduction du risque (mise en œuvre de mesures de sécurité), transfert du risque (assurance, sous-traitance), évitement du risque (abandon de l’activité concernée), ou acceptation du risque résiduel. Le plan de traitement doit préciser les actions à mener, les responsables désignés et les échéances associées.
L’acceptation formelle des risques résiduels
Après application des mesures de traitement, un risque résiduel subsiste toujours. Ce risque résiduel doit être formellement accepté par la direction ou l’organe compétent. Cette acceptation doit être documentée et tracée, car elle engage la responsabilité de l’organisation vis-à-vis des référentiels et des régulateurs.
Les méthodes reconnues pour l’analyse des risques cyber
Toutes les approches d’analyse des risques ne se valent pas. Pour être reconnue par les référentiels et les autorités de régulation, une analyse des risques doit s’appuyer sur une méthode formelle et documentée. Deux méthodes font référence en France et en Europe.
EBIOS Risk Manager : la méthode de référence de l’ANSSI
EBIOS Risk Manager (EBIOS RM) est la méthode officielle d’analyse des risques numériques publiée par l’ANSSI. Développée depuis 1995 et mise à jour en 2010 puis en 2018 et enfin mars 2024 pour être pleinement conforme à la norme ISO 27005:2022, elle est aujourd’hui la méthode de référence pour les organisations françaises, publiques comme privées.
EBIOS RM repose sur trois valeurs fondamentales : la connaissance, l’agilité et l’engagement. Elle favorise une compréhension partagée des risques entre décideurs et acteurs opérationnels, et s’articule autour de cinq ateliers progressifs :
- Atelier 1 : Cadrage et socle de sécurité : définition de l’objet de l’étude, des participants, du périmètre et du cadre temporel
- Atelier 2 : Sources de risque : identification et caractérisation des sources de menace et de leurs objectifs
- Atelier 3 : Scénarios stratégiques : cartographie des menaces potentielles en prenant en compte l’écosystème de l’organisation et définition des scénarios stratégiques
- Atelier 4 : Scénarios opérationnels : détail des chemins d’attaque possibles et évaluation de leur vraisemblance
- Atelier 5 : Traitement du risque : synthèse des risques et définition de la stratégie de traitement
La méthode est documentée et téléchargeable gratuitement sur cyber.gouv.fr. Elle est reconnue par l’ENISA dans son inventaire des méthodes de gestion du risque, et recommandée par la CNIL pour la conduite des analyses d’impact relatives à la protection des données (AIPD) au titre de l’article 35 du RGPD.
ISO 27005 : le cadre normatif international
La norme ISO/IEC 27005, mise à jour en novembre 2022, fournit le cadre normatif international pour la gestion des risques liés à la sécurité de l’information. Elle est pleinement compatible avec EBIOS RM et constitue la référence méthodologique exigée par la norme ISO 27001 pour la conduite de l’analyse des risques dans le cadre d’un SMSI.
ISO 27005 structure la démarche en plusieurs étapes : établissement du contexte, identification des risques, analyse et évaluation des risques, traitement des risques, acceptation des risques résiduels, et surveillance continue. Elle couvre à la fois les sources de risque intentionnelles et non intentionnelles, ce qui la distingue d’EBIOS RM qui se concentre principalement sur les menaces délibérées.
Ce qu’en disent les référentiels
L’analyse et la gestion des risques constituent la famille d’exigences la plus transversale de tous les référentiels de cybersécurité. En structurant une seule fois cette démarche, notamment via ISO 27001, vous progressez simultanément sur l’ensemble de vos obligations réglementaires.
-
ISO 27701
Norme ISO/IEC 27701:2019 — PIMSVoir les exigences de ISO 27701La clause 6.1, complétée par le contrôle A.7.2.5 relatif à l’évaluation d’impact sur la vie privée (Privacy Impact Assessment), intègre explicitement les exigences d’analyse des risques dans une dimension protection des données personnelles.
-
ISO 27001
Norme ISO/IEC 27001:2022Voir les exigences de ISO 27001La clause 6.1 impose la définition d’un processus formel d’appréciation des risques. Les clauses 8.2 et 8.3 encadrent la mise en œuvre de l’appréciation et du traitement des risques. Les contrôles A.5.7 à A.5.12 couvrent la collecte de renseignements sur les menaces et la gestion des actifs informationnels. La couverture est explicite et constitue le cœur du SMSI.
-
HDS
Hébergement de Données de SantéVoir les exigences de HDSLe référentiel d’Hébergeur de Données de Santé applique la clause 8.2 de la norme ISO 27001, qui encadre la mise en œuvre de l’appréciation des risques. Une analyse des risques formalisée est une condition préalable à la certification HDS avec la couverture d’évènements redoutés spécifiques.
-
LPM / OIV
Loi de Programmation Militaire — OIVVoir les exigences de LPM / OIVLes arrêtés sectoriels applicables aux Opérateurs d’Importance Vitale imposent une analyse des risques des systèmes d’information d’importance vitale (SIIV) conduite selon la méthode EBIOS RM. Cette exigence est explicite et non négociable pour les OIV.
-
DORA
Règlement (UE) 2022/2554Voir les exigences de DORALes articles 6, 7 et 8 du règlement définissent le cadre de gestion des risques TIC applicable aux entités financières. Ils imposent une cartographie des actifs TIC, une identification des dépendances critiques et une évaluation continue des risques liés aux systèmes d’information et aux prestataires tiers.
-
NIS 2
Directive (UE) 2022/2555Voir les exigences de NIS 2L’article 21.2(a) impose aux entités essentielles de mettre en place des mesures de gestion des risques en matière de cybersécurité. Cette exigence est explicite et couvre l’ensemble du processus d’identification, d’évaluation et de traitement des risques pesant sur les réseaux et systèmes d’information.
-
RGPD
Règlement (UE) 2016/679Voir les exigences de RGPDL’article 35 impose la réalisation d’une analyse d’impact relative à la protection des données (AIPD ou DPIA) pour tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. La CNIL reconnaît explicitement EBIOS RM comme méthode acceptable pour conduire cette analyse.
-
SOC 2
System and Organization Controls 2 (AICPA)Voir les exigences de SOC 2Le critère CC3 (Risk Assessment) du référentiel SOC 2 évalue la capacité de l’organisation à identifier, analyser et gérer les risques susceptibles d’affecter l’atteinte de ses objectifs. Une démarche d’analyse des risques documentée y répond de façon explicite.
-
PCI DSS
Payment Card Industry Data Security Standard v4.0.1Voir les exigences de PCI DSSL’exigence 12.3 du standard PCI DSS v4 porte sur la gestion des risques liés à la sécurité de l’information. La couverture est partielle : elle se concentre sur les risques pesant sur les données de cartes de paiement et les environnements associés.
Analyse & Gestion des risques en 4 questions
Quelle est la différence entre EBIOS RM et ISO 27005 ?
EBIOS RM est une méthode opérationnelle développée par l’ANSSI, structurée en cinq ateliers et centrée sur les menaces délibérées. ISO 27005 est une norme internationale qui fournit le cadre méthodologique global pour la gestion des risques liés à la sécurité de l’information, couvrant également les sources de risque non intentionnelles. Les deux sont complémentaires : EBIOS RM version 1.5, publiée en 2024, est pleinement conforme à ISO 27005:2022.
L’analyse des risques est-elle obligatoire pour toutes les organisations ?
Elle est explicitement obligatoire pour les entités soumises à NIS 2, DORA, HDS ou LPM/OIV, ainsi que pour toute organisation souhaitant obtenir la certification ISO 27001. Elle est fortement recommandée par l’ANSSI pour toutes les organisations, quelle que soit leur taille, comme fondement de toute démarche de sécurité des systèmes d’information.
À quelle fréquence faut-il renouveler l’analyse des risques ?
La norme ISO 27001:2022 impose une revue au minimum annuelle. En pratique, une réévaluation doit également être déclenchée lors de tout changement significatif : évolution du système d’information, nouvelle réglementation applicable, incident de sécurité majeur, ou changement organisationnel important.
Qu’est-ce qu’un risque résiduel et comment le gérer ?
Le risque résiduel est le niveau de risque qui subsiste après la mise en œuvre des mesures de traitement. Il doit être évalué, documenté et formellement accepté par la direction ou l’organe compétent. Cette acceptation formelle est une exigence explicite de la norme ISO 27001 (clause 6.1.3) et des principaux référentiels de cybersécurité.
La valeur ajoutée de Fidens pour votre cybersécurité
Faire appel à Fidens pour votre démarche ISO/IEC 27001, c’est choisir un partenaire expert qui vous accompagne à chaque étape, de la mise en place de votre Système de Management de la Sécurité de l’Information (SMSI) à la pérennisation de votre certification. Grâce à nos consultants expérimentés, nos outils performants comme APOS, et notre approche sur-mesure, nous vous aidons à sécuriser vos informations, renforcer votre conformité, et optimiser vos processus internes.
Avec Fidens, vous ne faites pas qu’obtenir une certification, vous transformez la sécurité de l’information en un véritable levier stratégique pour protéger vos actifs, renforcer la confiance de vos parties prenantes et anticiper les menaces de demain. Contactez-nous dès aujourd’hui pour faire de votre certification un gage de succès durable.
