Cyber : le conseil d’administration ne peut plus déléguer le risque numérique aux informaticiens

J’ai assisté à des dizaines de conseils d’administration où la cybersécurité arrivait toujours à la fin de l’ordre du jour, juste avant les “questions diverses”. Quinze minutes, parfois dix. Un slide sur les attaques bloquées, un autre sur le “niveau de conformité”, deux acronymes, et tout le monde se rassure : “c’est sous contrôle”.

Ce temps-là est terminé. Juridiquement, politiquement, opérationnellement.

DORA met noir sur blanc que l’organe de direction porte la responsabilité ultime du risque TIC. NIS2 renforce les exigences de gouvernance de la cybersécurité, avec une obligation explicite d’implication des organes de direction. Le Cyber Resilience Act démarre ses obligations de reporting, depuis le 11 septembre 2026.

Ce n’est plus “un sujet d’informaticiens”. C’est un sujet d’administrateurs. Et tant pis si ça bouscule les habitudes.

Ce que le régulateur vous dit, sans le dire

Je simplifie, mais le message est clair :

• “Vous ne pouvez plus prétendre ne pas comprendre.”
• “Vous ne pouvez plus vous contenter d’un slide avec un feu tricolore.”
• “Vous ne pouvez plus déléguer le risque numérique aux seuls DSI/RSSI.”

Le régulateur ne vous demande pas de savoir configurer un pare-feu. Il vous demande de piloter un risque majeur, qui menace directement la continuité, la réputation et parfois la survie de votre organisation.

Quand j’étais DSI puis responsable de la digitalisation d’un grand groupe, je voyais bien le décalage. En comité de direction, tout le monde comprenait un budget, un P&L, un churn client. Dès qu’on passait aux risques cyber : regards vers la DSI, silence, acceptation tacite. Et, souvent, la même phrase : “On te fait confiance”.

La confiance, c’est bien. La gouvernance, c’est mieux.

Cinq questions qu’un administrateur doit savoir poser à son DSI / RSSI

Un administrateur n’a pas besoin de devenir expert technique. Il a besoin de savoir poser les bonnes questions, et de reconnaître une mauvaise réponse. Voici cinq questions concrètes que je conseille aux administrateurs de poser. Et surtout, le type de réponse qui doit alerter.

1. “Si on est attaqués lundi matin, qui décide quoi dans les 60 premières minutes ?”

Je commence volontairement par l’opérationnel. 
Parce que le jour où ça tombe, on ne parle plus de “maturité cyber”, mais de “qui fait quoi, tout de suite”.

Ce que vous cherchez à vérifier :

• Existe-t-il un plan de réponse à incident cyber formalisé ?
• Les responsabilités sont-elles claires : qui décide d’arrêter un système, d’informer le régulateur, de déposer plainte, de parler aux médias ?
• Ce plan a-t-il été testé (exercices de crise réels, pas seulement “on y pense depuis un moment”) ?

Réponse inquiétante :
“Ne vous inquiétez pas, on a des sauvegardes, on saura réagir.”

Mon expérience est une certitude: une sauvegarde non testée est une sauvegarde qui ne sert à rien.

Une bien meilleure réponse ressemblerait à :
“On a un plan de gestion de crise cyber, validé en COMEX. On l’a testé deux fois cette année avec un exercice impliquant la communication, le juridique, l’IT et le métier. On sait qui décide quoi en moins d’une heure.”

2. “Quels sont nos 10 actifs numériques que nous n’avons pas le droit de perdre ?”

Si votre DSI/RSSI ne peut pas les citer rapidement, c’est que votre cyber est encore trop théorique.

Vous n’avez pas besoin d’un inventaire de 800 applications. Vous avez besoin d’une hiérarchie claire :

• Les systèmes sans lesquels vous ne pouvez plus facturer, produire, indemniser, soigner, livrer.
• Les données dont la divulgation serait catastrophique (données de santé, données financières, secrets industriels…).
• Les services critiques visés par DORA ou NIS2, identifiés et assumés.

Réponse inquiétante : “Tout est important, on protège tout.”

Nous savons tous que quand tout est prioritaire, rien ne l’est.
La cybersécurité moderne c’est accepter que certains actifs sont vitaux et les traiter comme tels : redondance, supervision renforcée, plans B, C, parfois D.

En tant qu’administrateur, vous devez être en mesure de dire :
“Si ce système tombe, on perd X millions par jour et on met telle population en difficulté.”
Si vous ne pouvez pas, personne ne pilote vraiment le risque.

3. “Montrez-moi comment le risque cyber s’intègre à notre cartographie globale des risques”

Là, on touche à un sujet que j’ai vu dérailler très souvent.

Dans beaucoup d’organisations, on a :

• Une “cartographie des risques” pilotée par la conformité, l’audit ou le risk management.
• Une “cartographie des risques cyber” produite par la DSI / RSSI.

Et ces deux mondes se parlent peu.
Résultat : le conseil d’administration voit des colonnes, des niveaux de risque, des flèches qui baissent… sans lien réel avec la technologie.

Ce que vous devez exiger :

• Que le risque cyber apparaisse dans la cartographie globale, au même niveau que le risque financier, juridique, opérationnel.
• Que chaque risque cyber majeur soit relié à un risque métier compréhensible : interruption d’activité, perte de confiance, sanctions NIS2/DORA, responsabilité personnelle des dirigeants, etc.
• Que les appétits au risque soient explicités : jusqu’où vous acceptez de prendre le risque de rester vulnérables sur certains points.

Réponse inquiétante : “On a notre propre matrice de risques cyber, avec un scoring détaillé sur 5 niveaux.”

Traduction : la DSI parle une langue, le risque corporate en parle une autre, et le conseil administre des couleurs.

4. “Comment formez-vous nos équipes (y compris nous, administrateurs) au risque numérique ?”

Là, je prêche pour un sujet que je connais bien : les compétences digitales.

Ce que je constate depuis des années :

• On investit dans des outils de sécurité.
• On communique une fois par an une affiche “attention aux phishing”.
• On suppose que les dirigeants “ont compris le message”.

La bonne question, ce n’est pas “avez-vous fait de la sensibilisation ?”. La bonne question c’est :

• “Qui a été formé, à quoi, quand, et avec quel niveau de validation ?”
• “Comment vérifiez-vous que ce n’est pas juste une vidéo regardée en vitesse entre deux réunions ?”
• “Le conseil d’administration a-t-il lui-même suivi un module de formation ou un exercice de crise cyber récemment ?”

Si les seuls à être vraiment formés sont les équipes techniques, vous avez un problème structurel.
Parce que les décisions à fort impact cyber sont souvent prises ailleurs : achats, métiers, direction générale, M&A… et au conseil lui-même.

C’est précisément pour cela que j’ai créé Skills4All et la gamme de certifications BestCertifs : pour structurer, mesurer et reconnaître les compétences digitales, notamment en cybersécurité et en gouvernance des SI.
Aujourd’hui, ne pas former les décideurs, c’est comme rouler vite, sans permis, sur une route gelée. On peut tenir longtemps… jusqu’au jour où non.

5. “Quelles sont les 3 décisions d’investissement cyber que vous n’osez pas nous demander ?”

Celle-ci surprend souvent; pourtant, c’est l’une des plus utiles.

Beaucoup de DSI / RSSI s’autocensurent.
Ils savent que certains investissements sont difficiles à “vendre” au conseil :

• Segmenter réellement le réseau (donc revoir historiquement l’architecture).
• Sortir d’applications obsolètes mais “critiques” pour certains métiers.
• Arrêter de maintenir des systèmes qui ne peuvent tout simplement plus être sécurisés.

Du coup, ils pilotent “à la marge” : quelques outils en plus, un SOC, un EDR, un peu de monitoring… sans poser les questions qui fâchent :

• “Devons-nous encore exploiter ce système vieux de vingt ans au cœur de notre production ?”
• “Acceptons-nous explicitement le risque d’une compromission majeure parce qu’on ne veut pas toucher à tel process métier ?”

En posant cette question, vous envoyez un signal fort :

“Nous sommes prêts à entendre les vrais sujets. Même ceux qui impliquent un changement profond, pas juste un achat de logiciel.”

Réponse inquiétante :
“Non, on a tout ce qu’il nous faut, il n’y a rien que j’hésite à demander.”
Après trente ans dans ces métiers, j’ai rarement vu ça. Ou alors, c’était faux.

Ce qui se joue vraiment derrière ces questions

À ce stade, vous avez peut-être l’impression que c’est “encore une couche de contraintes”.
Je le vois autrement.

DORA, NIS2, le Cyber Resilience Act ne font qu’accélérer une prise de conscience inévitable : votre modèle d’affaires est numérique, donc votre risque principal est numérique, au même titre que le risque financier ou réglementaire.

Et ça, ce n’est pas une affaire de pare-feu. C’est une affaire de gouvernance, de culture et de compétences.

Quand j’ai commencé à travailler sur les réseaux de neurones dans les années 90, personne n’aurait imaginé que, trente ans plus tard, un simple ransomware pourrait arrêter des hôpitaux, des chaînes logistiques, des usines entières.
Pourtant, nous y sommes. Et nous y resterons.

Je ne crois pas que tous les administrateurs doivent devenir experts cyber. Par contre, ils doivent :

• Accepter que la cyber soit un sujet de stratégie, pas de “support”.
• Monter eux-mêmes en compétence minimale, comme ils l’ont fait jadis sur les produits dérivés, les IFRS, ou les LBO.
• Exiger de leurs DSI / RSSI un langage clair, relié aux risques métiers, pas un jargon technique ou des KPIs décoratifs.

Comment passer du discours à l’action sans attendre un incident

La pire manière de monter en maturité, c’est de réagir après une crise; même si c’est aussi la plus fréquente.

Concrètement, ce que je vois fonctionner dans les entreprises qui avancent vraiment :

• Un séminaire du conseil d’administration dédié au risque numérique : une demi-journée suffit souvent pour clarifier les notions essentielles, travailler sur des scénarios concrets et ajuster les attentes vis-à-vis de la DSI.
• Une formation structurée et certifiante pour les fonctions clés (RSSI, DSI, managers métiers) afin d’aligner le vocabulaire, les pratiques et les niveaux d’exigence.
• La mise en place d’un cadre de gouvernance cyber aligné ISO 27001 / DORA / NIS2, mais adapté à la réalité de l’organisation, pas copié-collé d’un modèle théorique.

De mon côté, c’est pour adresser ce besoin à grande échelle que nous avons co-développé, avec le groupe SAVEN, notre moteur ATLAS : une architecture industrielle qui transforme un référentiel de compétences cyber, un public (dirigeants, managers, équipes IT) et des objectifs métier en dispositifs de formation complets, déployables en quelques heures, dans plusieurs langues.
C’est de l’IA, oui, mais guidée par vingt-cinq ans de pratique des standards (ISO 27001, ISO 22301, ISO 38500, etc.) et de gouvernance réelle dans les organisations, pas par de la magie noire algorithmique.

L’objectif est simple : que le bon niveau de compétence cyber soit accessible à ceux qui prennent les décisions, avant que le régulateur ou un incident les y oblige.

Une responsabilité qui ne se délègue plus

J’ai dirigé l’informatique d’une grande administration, accompagné des groupes dans leur digitalisation, piloté des certifications ISO 27001, conseillé des RSSI qui n’en peuvent plus d’alerter dans le vide.
Très honnêtement, je ne suis plus certain qu’on puisse encore considérer la cybersécurité comme un “risque parmi d’autres”.

Pour un conseil d’administration, la vraie question n’est plus :
“Avons-nous un RSSI compétent ?”
mais :
“Sommes-nous, en tant qu’organe de direction, capables de lui poser les bonnes questions et d’assumer les arbitrages ?”

Les cinq questions ci-dessus ne font pas de vous un expert.
Elles font de vous un dirigeant qui prend au sérieux une responsabilité qu’il ne peut plus déléguer.

Au fond, la seule chose qui compte est peut-être celle-ci :
le jour où une attaque majeure surviendra, voudrez-vous expliquer que vous ne saviez pas quoi demander à vos propres équipes ?