ROI cyber : 8 leviers chiffrés pour l'arbitrage Comex
Après la rétrospective, les impacts et le cadre légal détaillés dans les cinq premiers volets de ce dossier, place à l'action. Ce dernier volet objective le ROI cyber : pour chacun des huit leviers ci-dessous, nous associons un niveau d'effort (chiffré chaque fois qu'une source vérifiable existe), le risque qu'il permet d'éviter et le bénéfice attendu.
La Cour des comptes fournit l'argument le plus solide qui soit : dans son rapport du 16 juin 2025, elle chiffre le coût de mise en conformité NIS2 entre 450 000 et 880 000 € pour une entité essentielle, puis environ 10 % par an de maintien et conclut que ce coût est « sans commune mesure » avec celui d'une cyberattaque non anticipée[1]. C'est tout l'enjeu du ROI cyber : investir peu et tôt plutôt que beaucoup et trop tard.
La colonne « effort » reste volontairement qualitative (faible/modéré/structurant) : nous ne disposons pas, à ce jour, d'un référentiel de coûts de mise en œuvre suffisamment général et vérifiable pour être chiffré en euros sans induire en erreur selon la taille de l'organisation.
1) Audits ciblés (vs. audit global)
Effort : Modéré
Risque évité : Incident non anticipé : jusqu'à 20 M€ ou 4 % du CA (RGPD, art. 83)
Bénéfice attendu : Détection précoce, budget concentré sur l'essentiel
Abandonner l'audit de sécurité informatique global au profit d'audits ciblés. Un audit global reste utile pour cartographier un système d'information ou répondre à une obligation d'enregistrement (NIS2, DORA). Mais pour progresser en maturité, le meilleur ROI cyber se trouve dans des audits spécifiques plutôt que dans un audit exhaustif, coûteux et rarement suivi d'actions correctives concrètes.
2) 5 actions prioritaires RSSI/DSI
Effort : Faible
Risque évité : Inaction documentée en cas de contrôle (cf. France Travail, 5 M€, art. 32 RGPD)
Bénéfice attendu : Alignement Comex-RSSI, traçabilité des décisions
Faire désigner les 5 actions prioritaires par vos RSSI et DSI. Demandez-leur de désigner, devant le Comex, les cinq actions à mener en priorité dans les douze prochains mois et de les défendre en termes de risque évité, non de conformité cochée.
3) Qualité opérationnelle vs empilement d'outils
Effort : Modéré à structurant
Risque évité : Angles morts liés à la complexité (~30 outils/organisation, CESIN)
Bénéfice attendu : Détection et confinement accélérés
Viser la qualité opérationnelle, pas seulement l'empilement de mesures. Le baromètre CESIN relève que les organisations utilisent en moyenne une trentaine d'outils de cybersécurité différents, avec le risque que cette complexité nuise, paradoxalement, à l'efficacité réelle des dispositifs.
4) Fermeture des accès dormants sous-traitants
Effort : Faible
Risque évité : Jusqu'à 4 % du CA (RGPD) ; jusqu'à 2 % du CA pour un prestataire TIC critique (DORA)
Bénéfice attendu : Réduction immédiate de la surface d'attaque
Fermer en urgence les accès dormants ouverts vers vos sous-traitants. Identifiez les connexions ouvertes vers des sous-traitants dont le contrat est arrivé à échéance, et vérifiez que les données ont effectivement été supprimées ou les accès coupés ; un point lié à l'article 28 du RGPD et à la gestion du risque tiers exigée par NIS2 comme par DORA.
5) Segmentation bases et rôles
Effort : Modéré à structurant
Risque évité : Fuite massive : de 960 k€ à plus de 5,5 M€ selon les cas (Cour des comptes)
Bénéfice attendu : Confinement automatique d'une intrusion
Segmenter les bases de données et les rôles. La faille IDOR exploitée contre l'ANTS illustre les conséquences d'un défaut de segmentation. Cloisonner les bases et appliquer le principe du moindre privilège réduit mécaniquement la surface d'un incident.
6) Convergence sûreté / cybersécurité
Effort : Faible (organisationnel)
Risque évité : Sinistre physique lié à une fuite de données (cf. FFTir, cambriolages)
Bénéfice attendu : Gouvernance de crise unifiée
Rapprocher la sécurité numérique et la sûreté globale de l'organisation. RSSI et directeur sûreté gagnent à converger : un accès physique mal contrôlé peut compromettre l'efficacité d'une politique cyber par ailleurs solide.
7) Test réel du PCA
Effort : Modéré (exercice)
Risque évité : Interruption d'activité non anticipée, coûts indirects difficiles à chiffrer
Bénéfice attendu : Continuité prouvée, exigence NIS2/DORA (TLPT)
Tester réellement votre plan de continuité d'activité (PCA). Un PCA non testé n'est, en pratique, qu'une hypothèse de travail. NIS2 comme DORA imposent des exercices de gestion de crise et, pour les entités les plus critiques, des tests d'intrusion fondés sur la menace (TLPT).
8) Plateformisation et Zero Trust
Effort : Structurant (trajectoire pluriannuelle)
Risque évité : Écart de coût de violation documenté : 3,62 M$ vs 5,52 M$ (IBM/Ponemon, 2025)
Bénéfice attendu : Détection et confinement ~80 jours plus rapides
Aller plus loin : plateformisation et Zero Trust, pour rationaliser et accélérer la réponse à incident
Au-delà de ces sept leviers, une tendance de fond mérite l'attention du Comex : la bascule vers une cybersécurité plateformisée, adossée à une architecture Zero Trust. Selon Deloitte, 77 % des responsables sécurité font désormais de la consolidation de leurs outils leur priorité, pour rationaliser les opérations et accélérer la détection et la réponse aux menaces[2]. En France, les dépenses en cybersécurité ont progressé de 14 % en 2024 pour atteindre 7,2 milliards d'euros, portées notamment par la mise en conformité NIS2[3].
Sur le plan méthodologique, l'ANSSI a publié, le 20 juin 2025, ses « Fondamentaux du modèle Zero Trust » (ANSSI-PA-111) : l'objectif est de supprimer la confiance implicite accordée à tout utilisateur ou service, au profit de contrôles d'accès granulaires fondés sur le moindre privilège. L'agence est explicite sur un point de vigilance : le Zero Trust complète une défense en profondeur, il ne la remplace pas, et une mise en œuvre mal maîtrisée peut accroître la vulnérabilité d'un système[4].
Des solutions connues du marché permettent de matérialiser le Zero Trust, à l'image du ZTNA (Zero Trust Network Access) : ce modèle de sécurité n'autorise l'accès qu'à l'application nécessaire, avec une vérification continue de l'identité et du contexte tout au long de la session (contrairement au VPN, qui ouvre l'accès à l'ensemble du réseau dès la connexion et permet à un attaquant, en cas de vol d'identifiants, de s'y déplacer librement).
Le ZTNA réduit ainsi la surface d'attaque et limite la propagation en cas d'incident, chaque utilisateur restant cantonné à l'application pour laquelle il est autorisé. Cette architecture constitue une brique technique concrète pour répondre aux exigences de gestion des risques et de contrôle d'accès imposées par NIS2 (mesures de sécurité des réseaux) et DORA (résilience opérationnelle des systèmes d'information).
Sur le plan quantitatif, le rapport Cost of a Data Breach 2025 d'IBM et du Ponemon Institute montre que les organisations exploitant largement l'IA et l'automatisation de sécurité ramènent le coût moyen d'une violation à 3,62 millions de dollars contre 5,52 millions pour celles qui n'y ont pas recours, tout en réduisant le délai moyen d'identification et de confinement d'environ 80 jours.
Ces chiffres sont établis à l'échelle mondiale et donnent un ordre de grandeur plutôt qu'une projection pour une organisation française donnée. Ils confirment qu'une architecture consolidée et pilotée en Zero Trust réduit surtout le temps pendant lequel un attaquant reste indétecté, le facteur qui, dans plusieurs dossiers présentés dans ce dossier (ANTS, DGFiP, Éducation nationale), a le plus pesé sur l'ampleur finale de la fuite.
Ce qu'il faut retenir
Comment raisonner le ROI d'un investissement en cybersécurité ?
Le ROI cyber se raisonne en coût évité plutôt qu'en gain direct : il consiste à comparer le coût d'une mesure ciblée (audit spécifique, segmentation, PCA testé, plateformisation) au coût potentiel d'un incident majeur et/ou de sanctions RGPD jusqu'à 4 % du chiffre d'affaires, sanctions DORA jusqu'à 2 %, interruption d'activité, perte de confiance. La Cour des comptes elle-même juge le coût de mise en conformité NIS2 « sans commune mesure » avec celui d'une cyberattaque non anticipée.
Sources
• Cour des comptes, La réponse de l'État aux cybermenaces sur les systèmes d'information civils, 16 juin 2025
• ANSSI, Modèle Zero Trust — Les fondamentaux (ANSSI-PA-111), 20 juin 2025 ; Deloitte, Cybersecurity Platformization
• IDC France (2025) ; IBM / Ponemon Institute, Cost of a Data Breach Report 2025 ; CESIN-OpinionWay (janvier 2026)
[1] Cour des comptes, 16 juin 2025
[2] Deloitte, Cybersecurity Platformization
[3] IDC France, 2025
[4] ANSSI, juin 2025
